北京链安链上监测系统发现，北京时间下午3点9分，Upbit交易所被盗ETH以阶梯数额形式分别以10、1000、1万、10万枚ETH的额度开始向三个地址转移账款，最后在16:55分以一笔109,270.16ETH的转账将所有ETH转出，中间这些地址曾各有100枚ETH向被盗资金首次转入的地址回流，同时，攻击者也正在对交易所进行微量ETH的转账测试。从行为特征来看，攻击者正在进行被盗ETH的第一阶段分散来回转移工作，以扰乱监测。同时，该事件发生后，大量其它地址打入到黑客地址的“到此一游”型微量ETH，甚至各种ERC20代币，也将进一步扰乱相关ETH流转线索。