北韓駭客偷幣之後，錢都去哪了？從 Bybit 到幣安，一文看懂 Lazarus 的洗錢路徑

SoSoValue Research 分析称，10 月 29 日晚币安遭遇疑似大规模黑客攻击，Chainalysis 估计被盗金额约 59 亿美元，链上分析师 ZachXBT 认为大概率与朝鲜 Lazarus 有关；事件仍在发展，数据可能更新。

作者以 2025 年 2 月 Bybit 被盗案作参考：约 50 万枚 ETH 在 10 至 12 天内几乎全部跨链兑换为 BTC，其中约 72% 经 THORChain、约 16% 经 eXch、约 8% 经 OKX Web3 钱包转移。两个月后，Bybit CEO 公布约 68.6% 仍可追踪、27.6% 已“消失”、3.8% 被冻结。
文章认为，黑客偏好将 ETH 等资产换成 BTC，主要因为 BTC 不存在发行方冻结机制、流动性和接受度较高，也便于长期持有。其可能路径为：被盗 ETH 跨链换成 BTC，再经拆分、混币，部分换为波场链 USDT，最后通过地下场外交易商兑换法币或实物价值。
美国财政部及多边制裁监督小组（MSMT）曾披露，朝鲜通常通过主要位于中国的场外交易商变现被盗加密资产；公开案例还涉及银行账户、银联卡、礼品卡及东南亚灰色金融平台。文章称，场外交易商可通过“对敲”将被盗资产交给其他买家，以切断链上资金与链下收款人的直接联系。
对行情而言，作者判断 ETH 卖压可能集中在前期，BTC 变现则可能通过场外交易持续数月甚至数年，对交易所盘口的直接冲击较小。此次币安事件中，大部分被盗资产据称为已被冻结的稳定币；约 19.5 万枚、价值约 4.4 亿美元的 ETH 无法直接冻结，规模小于 Bybit 案，但黑客仍可能通过 Uniswap、Aave 等协议将稳定币兑换为 ETH。文章建议关注 THORChain、Chainflip 等跨链协议的流量变化。

作者：SoSoValue Research

10 月 29 日晚，幣安遭遇疑似史上最大規模的駭客攻擊。Chainalysis 估計被盜金額約 59 億美元，鏈上偵探 ZachXBT 認為大概率是北韓 Lazarus 所為。

很多人關心：駭客會怎麼處理這些幣？會不會砸盤？要回答這個問題，最好的參考就是 2025 年 2 月同一夥人幹的 Bybit 案。

一、復盤 Bybit：50 萬 ETH，10 天全部換成 BTC

2025 年 2 月 21 日，Bybit 被盜約 50 萬 ETH，當時價值約 14 億美元，是此前史上最大的加密貨幣盜竊案。

駭客的處理速度非常快：

● 第 1 天： 先把 stETH、mETH 等質押衍生品換成原生 ETH，再拆分到大量地址。

● 第 5 天： 已透過 THORChain 跨鏈轉移了至少 16 萬 ETH。

● 第 9 天： 單日再轉移 6.22 萬 ETH，累計約 34.3 萬 ETH 已經轉走。

● 第 10–12 天： Arkham 確認，約 50 萬 ETH 已全部從以太坊跨成原生 BTC。

用了哪些渠道？

● THORChain（去中心化跨鏈協議）：約 72%，36.1 萬 ETH

● eXch（無 KYC 兌換平台）：約 16%，7.97 萬 ETH

● OKX Web3 錢包：約 8%，4 萬 ETH

THORChain 因此還賺了約 550 萬美元手續費，引起社群強烈批評。eXch 後來在 2025 年 5 月 1 日宣布關停。

最終能追回多少？ 兩個月後，Bybit CEO 公布的數據是：68.6% 仍可追蹤，27.6% 已經「消失」，只有 3.8% 被凍結。

結論：被盜的 ETH 幾乎全部換成了 BTC，真正追回的不到 4%。

二、為什麼駭客一定要換成 BTC？

沒人能凍結
USDT、USDC 有發行方，隨時可以拉黑地址。這次幣安事件中，Tether 和 Circle 很快凍結了約 24 億美元穩定幣。ETH 本身不能凍結，但以太坊生態裡的 DEX、借貸協議、跨鏈橋都可能攔截。比特幣鏈上沒有這些「關卡」。
流動性最深，接受度最高
全球任何一個場外幣商都收 BTC。MIT Technology Review 早在 2020 年就指出，駭客最終往往都要回到比特幣，因為沒有別的幣接受度這麼廣、這麼容易換成現金。
適合長期存放
Lazarus 是國家級駭客組織，不急著用錢。BTC 可以放幾個月甚至幾年，等風頭過去再分批變現。

三、換成 BTC 之後怎麼變現？

答案是：透過地下 OTC（場外交易）幣商出金。

美國財政部指出，北韓通常透過場外幣商把被盜加密資產換成傳統貨幣，這些幣商多數在中國，以避開金融機構和監管的視線。

大致路徑：

被盜 ETH → 跨鏈換成 BTC → 拆分、混幣 → 常換成波場鏈上的 USDT → 地下幣商 → 法幣或實物價值

幣商是怎麼「斷鏈」的？靠「對敲」。

幣商手裡同時有另一批需要加密貨幣、但不在乎來源的買家，比如想把資金轉出境的人、網賭和詐騙平台、灰色跨境貿易。幣商把駭客的幣賣給這些人，再把這些人支付的本地法幣交給駭客指定的人。鏈上的追蹤到幣商就斷了，鏈下的錢來自完全不相干的人。

法幣最終落到哪裡？ 公開案例包括：

● 銀行帳戶、銀聯卡。多邊制裁監督小組（MSMT）的報告指出，北韓網路部隊曾利用中國金融體系，包括銀聯信用卡和商業銀行來兌現被盜加密資產。

● 禮品卡。美國司法部 2020 年起訴的兩名中國籍人員，被指控把北韓的幣換成人民幣或蘋果禮品卡來變現。

● 東南亞灰色金融平台，比如柬埔寨的匯旺集團。

● 涉及的地區包括中國、俄羅斯、阿根廷、柬埔寨、越南、阿聯酋等。

四、「被標記的 BTC 不是進不了交易所嗎？」

這是最常見的疑問。答案分三點：

髒幣根本不需要進合規交易所。 它們賣給的是灰色經濟裡的買家，這些人拿幣是用來繼續流轉、結算的，不會充值到幣安或 Coinbase。
標記不是永久的「黑白」標籤，而是風險評分。 經過多層中轉、混幣、和其他資金混合後，追蹤會從「確定」變成「機率」。Bybit 案中 27.6% 的資金「消失」就是這個原因。
幣商用高收費覆蓋風險。 幣商知道是髒錢，會收取遠高於正常水平的費用。錢包、銀行卡、空殼公司用完就換，被制裁、被凍結的風險都算在價格裡。

當然，這條路也有代價：混幣費、跨鏈費、幣商折價、被凍結的部分，損耗可能相當可觀。但對一個受制裁、幾乎沒有其他外匯來源的國家來說，拿回一半也是巨大收益。MSMT 報告估計，北韓在 2024 年 1 月到 2025 年 9 月間盜取了約 28.4 億美元加密資產。