币安 59 亿被盗：Lazarus 洗钱路径复盘与 BTC 变现真相

据 Woofun AI 消息，10 月 29 日币安遭遇疑似史上最大规模的黑客攻击， 估计被盗金额约 59 亿美元，链上侦探 认为大概率是朝鲜 Lazarus 所为。

这一事件迅速引发市场对于后续资产处置及潜在抛压的担忧，而要厘清黑客的资金流向与变现逻辑，回顾 2025 年 2 月同一伙人实施的 盗窃案提供了最直接的参照系。

2025 年 2 月 21 日，Bybit 被盗约 50 万 ，当时价值约 14 亿美元，创下此前史上最大的加密货币盗窃纪录。黑客的处理速度极快：第 1 天便将 、 等质押衍生品换成原生 ETH 并拆分至大量地址；第 5 天已通过 跨链转移至少 16 万 ETH；第 9 天单日再转移 6.22 万 ETH，累计约 34.3 万 ETH 转走；至第 10–12 天， 确认约 50 万 ETH 已全部从跨成原生 。

在渠道分布上，Woofun AI 整理数据显示，THORChain 占比约 72%（36.1 万 ETH）， 占比约 16%（7.97 万 ETH）， Web3 钱包占比约 8%（4 万 ETH）。THORChain 因此赚取约 550 万美元手续费，引发社区批评，而 eXch 后于 2025 年 5 月 1 日宣布关停。两个月后，Bybit CEO 公布数据：68.6% 仍可追踪，27.6% 已"消失"，仅 3.8% 被冻结，真正追回的不到 4%。

资产转换的核心逻辑在于规避冻结机制与追求流动性。、USDC 等稳定币由 、Circle 发行，可随时拉黑地址，此次币安事件中二者已冻结约 24 亿美元稳定币。ETH 虽不可直接冻结，但以太坊生态中的 DEX、借贷协议、跨链桥均可能拦截。相比之下，链上无此类"关卡"。MIT Technology Review 早在 2020 年就指出，黑客最终往往回到 BTC，因其全球接受度最高、流动性最深，且适合 Lazarus 这类不急于用钱的国家级组织长期存放，待风头过去再分批变现。

换成 BTC 后的变现路径主要依赖地下 OTC 对敲。美国财政部指出，朝鲜通常通过场外币商将加密资产换成传统货币，这些币商多在中国，以避开监管。大致路径为：被盗 ETH → 跨链换 BTC → 拆分混币 → 常换为 USDT → 地下币商 → 法币或实物。币商通过"对敲"断链：将黑客的币卖给网赌、诈骗平台或灰色跨境贸易买家，再将买家支付的本地法币交给黑客指定人，链上追踪至此中断。法币去向包括：利用中国银联信用卡和商业银行兑现（MSMT 报告指出）；换成人民币或苹果礼品卡（美国司法部 2020 年起诉案例）；以及通过柬埔寨汇旺集团等东南亚灰色金融平台。涉及地区涵盖中国、俄罗斯、阿根廷、柬埔寨、越南、阿联酋等。

尽管混币费、跨链费、币商折价及冻结损耗可观，但对受制裁的朝鲜而言，MSMT 报告估计其在 2024 年 1 月到 2025 年 9 月间盗取约 28.4 亿美元，拿回部分即属巨大收益。

市场影响方面，ETH 卖压集中在前期，Bybit 案显示约 10 天内完成 ETH 换 BTC，对应真实链上卖出。BTC 卖压则小而分散，通过场外对敲持续数月甚至数年，大多不经过交易所盘口，对价格直接冲击很小。Bybit 被盗当天 ETH 跌约 8%，后续大跌主因关税等宏观因素及杠杆出清，而非黑客抛售。本次币安案中，大头稳定币已被大量冻结，直接无法冻结的 ETH 约 19.5 万枚，价值约 4.4 亿美元，规模小于 Bybit 案。但黑客正用 、 等协议将稳定币换成 ETH，最终持有 ETH 可能增加。后续需重点关注 THORChain、Chainflip 等跨链协议的流量变化，这是 ETH 换 BTC 速度的直接信号。