作者：SoSoValue Research

10 月 29 日晚，幣安遭遇疑似史上最大規模的駭客攻擊。Chainalysis 估計被盜金額約 59 億美元，鏈上偵探 ZachXBT 認為大概率是北韓 Lazarus 所為。

很多人關心：駭客會怎麼處理這些幣？會不會砸盤？要回答這個問題，最好的參考就是 2025 年 2 月同一夥人幹的 Bybit 案。

一、復盤 Bybit：50 萬 ETH，10 天全部換成 BTC

2025 年 2 月 21 日，Bybit 被盜約 50 萬 ETH，當時價值約 14 億美元，是此前史上最大的加密貨幣盜竊案。

駭客的處理速度非常快：

● 第 1 天： 先把 stETH、mETH 等質押衍生品換成原生 ETH，再拆分到大量地址。

● 第 5 天： 已透過 THORChain 跨鏈轉移了至少 16 萬 ETH。

● 第 9 天： 單日再轉移 6.22 萬 ETH，累計約 34.3 萬 ETH 已經轉走。

● 第 10–12 天： Arkham 確認，約 50 萬 ETH 已全部從以太坊跨成原生 BTC。

用了哪些渠道？

● THORChain（去中心化跨鏈協議）：約 72%，36.1 萬 ETH

● eXch（無 KYC 兌換平台）：約 16%，7.97 萬 ETH

● OKX Web3 錢包：約 8%，4 萬 ETH

THORChain 因此還賺了約 550 萬美元手續費，引起社群強烈批評。eXch 後來在 2025 年 5 月 1 日宣布關停。

最終能追回多少？ 兩個月後，Bybit CEO 公布的數據是：68.6% 仍可追蹤，27.6% 已經「消失」，只有 3.8% 被凍結。

結論：被盜的 ETH 幾乎全部換成了 BTC，真正追回的不到 4%。

二、為什麼駭客一定要換成 BTC？

沒人能凍結
USDT、USDC 有發行方，隨時可以拉黑地址。這次幣安事件中，Tether 和 Circle 很快凍結了約 24 億美元穩定幣。ETH 本身不能凍結，但以太坊生態裡的 DEX、借貸協議、跨鏈橋都可能攔截。比特幣鏈上沒有這些「關卡」。
流動性最深，接受度最高
全球任何一個場外幣商都收 BTC。MIT Technology Review 早在 2020 年就指出，駭客最終往往都要回到比特幣，因為沒有別的幣接受度這麼廣、這麼容易換成現金。
適合長期存放
Lazarus 是國家級駭客組織，不急著用錢。BTC 可以放幾個月甚至幾年，等風頭過去再分批變現。

答案是：透過地下 OTC（場外交易）幣商出金。

美國財政部指出，北韓通常透過場外幣商把被盜加密資產換成傳統貨幣，這些幣商多數在中國，以避開金融機構和監管的視線。

大致路徑：

被盜 ETH → 跨鏈換成 BTC → 拆分、混幣 → 常換成波場鏈上的 USDT → 地下幣商 → 法幣或實物價值

幣商是怎麼「斷鏈」的？靠「對敲」。

幣商手裡同時有另一批需要加密貨幣、但不在乎來源的買家，比如想把資金轉出境的人、網賭和詐騙平台、灰色跨境貿易。幣商把駭客的幣賣給這些人，再把這些人支付的本地法幣交給駭客指定的人。鏈上的追蹤到幣商就斷了，鏈下的錢來自完全不相干的人。

法幣最終落到哪裡？ 公開案例包括：

● 銀行帳戶、銀聯卡。多邊制裁監督小組（MSMT）的報告指出，北韓網路部隊曾利用中國金融體系，包括銀聯信用卡和商業銀行來兌現被盜加密資產。

● 禮品卡。美國司法部 2020 年起訴的兩名中國籍人員，被指控把北韓的幣換成人民幣或蘋果禮品卡來變現。

● 東南亞灰色金融平台，比如柬埔寨的匯旺集團。

● 涉及的地區包括中國、俄羅斯、阿根廷、柬埔寨、越南、阿聯酋等。

這是最常見的疑問。答案分三點：

髒幣根本不需要進合規交易所。 它們賣給的是灰色經濟裡的買家，這些人拿幣是用來繼續流轉、結算的，不會充值到幣安或 Coinbase。
標記不是永久的「黑白」標籤，而是風險評分。 經過多層中轉、混幣、和其他資金混合後，追蹤會從「確定」變成「機率」。Bybit 案中 27.6% 的資金「消失」就是這個原因。
幣商用高收費覆蓋風險。 幣商知道是髒錢，會收取遠高於正常水平的費用。錢包、銀行卡、空殼公司用完就換，被制裁、被凍結的風險都算在價格裡。

當然，這條路也有代價：混幣費、跨鏈費、幣商折價、被凍結的部分，損耗可能相當可觀。但對一個受制裁、幾乎沒有其他外匯來源的國家來說，拿回一半也是巨大收益。MSMT 報告估計，北韓在 2024 年 1 月到 2025 年 9 月間盜取了約 28.4 億美元加密資產。

● ETH 賣壓集中在前期。 駭客把 ETH 換成 BTC 的過程是真實的鏈上賣出。Bybit 案用了約 10 天，可以作為參考。

● BTC 賣壓小而分散。 換成 BTC 後，出金主要透過場外對敲，可能持續數月甚至數年，大多不經過交易所盤口，對價格直接衝擊很小。

● 駭客不是大跌的主因。 Bybit 被盜當天 ETH 跌了約 8%，之後的大跌主要來自關稅等宏觀因素和槓桿出清。

這次幣安事件有什麼不同？ 被盜資產裡大頭是穩定幣，已被大量凍結；直接無法凍結的 ETH 約 19.5 萬枚，價值約 4.4 億美元，規模小於 Bybit 案。另外，駭客正在用 Uniswap、Aave 等協議把穩定幣換成 ETH，所以最終持有的 ETH 可能會增加。

接下來值得關注的： THORChain、Chainflip 等跨鏈協議的流量變化，這是駭客 ETH 換 BTC 速度的直接信號。

本文僅為科普，不構成投資建議。幣安事件仍在發展中，相關數據可能會更新。