63 亿被盗后：朝鲜黑客跨链洗钱与 OTC 套现全路径

据 Woofun AI 消息， 组织与朝鲜侦察总局的深层关联再次被证实，该团伙在从盗取 63 亿美元后，迅速启动了一套涵盖跨链协议利用、自动化地址拆分及地下 OTC 套现的复杂洗钱流程。

这一事件不仅暴露了中心化交易所热钱包的安全隐患，更揭示了国家级黑客组织如何利用去中心化金融基础设施的匿名性与流动性，将巨额数字资产转化为法币以规避国际制裁。不同于普通犯罪团伙，Lazarus 的行动具有高度的组织性与技术适应性，其资金转移路径呈现出从链上快速兑换到链下法币化的完整闭环，对全球加密资产安全与执法协作提出了严峻挑战。

10 月 29 日，Lazarus 黑客团伙针对币安发起攻击，成功从 17 个热钱包中盗取约 63 亿美元资产，波及 、、、 等九条主流区块链网络。鉴于被盗资产中包含大量 、 等由中心化机构发行且具备冻结权限的稳定币，以及部分保留紧急管理权限的 Layer 2 网络代币，黑客在得手后并未直接持有，而是立即启动资产置换程序。他们通过去中心化交易所（DEX）将稳定币迅速兑换为 、 等原生资产，以规避发行方的冻结风险。

尽管行动迅速，仍有约 27 亿美元资产因来不及转移而被发行方及相关机构冻结或控制，其中仅约 7.29 亿美元 USDT 在冻结生效前成功转移至中转钱包。这一阶段的资产置换不仅体现了黑客对链上流动性的精准把握，也反映了中心化稳定币在应对大规模盗窃事件时的局限性。

完成首轮资产兑换后，黑客利用跨链协议将分散在不同网络上的资金进一步整合并转移至 Ethereum 和 Bitcoin 等网络，同时通过大量新钱包进行资金分散。Woofun AI 整理数据显示，TRON 链上的资金转移最具代表性：黑客先将约 2.34 亿美元 USDT 兑换成 6.38 亿 TRX，随后拆分至多个钱包，并通过 等至少 6 个跨链协议进行转移。在此过程中，资金不断被拆分和交换，最终绝大部分转化为 Ethereum 上的 ETH。其他链上的资金也遵循类似路径： 上的部分资产通过 跨至 Ethereum，归集约 1,187 ETH； 上的资产则先兑换成 USDC，再通过 转入 Ethereum，最终换成约 7,243 ETH。

此外，黑客根据各链流动性深度，选择 、、 等协议分批转移，以减少滑点。跨链后，资金继续被拆分，例如经 THORChain 兑换的 ETH 被分散至 35 个地址，而经 Relay 转移的资金则通过 兑换成 ETH 后分散至另外 16 个钱包。Elliptic 监测发现，黑客的主要 TRON 资金分发钱包在 10 月 30 日至 11 月 1 日期间完成超过 1,100 笔转账，接收资金的新地址通常在两分钟内再次转出，即使跨链失败也会重新申请，整个过程呈现高度自动化特征。

10 月 31 日，FBI 联合美国特勤局、国税局刑事调查部门发布公告，公布朝鲜黑客相关地址，呼吁 、RPC 节点运营商及 DeFi 服务商阻止涉案交易。Symbiosis 承认发现涉案资金并联系 ，而 Relay 虽具备风险筛查机制，链上仍观察到资金通过其转移。FBI 特别点名的 THORChain 因多次处理黑客资金引发争议：2023 年至 2026 年，该协议在 、、 等 7 起事件中累计产生约 92.7 亿美元交易量及 1,247 万美元手续费，仅 2025 年 Bybit 被盗案就产生约 863 万美元手续费。