一、这次到底丢了多少钱

10 月 29 日晚，币安遭遇疑似史上最大规模的黑客攻击。Chainalysis 给出的估算数字是约 59 亿美元，链上侦探 ZachXBT 认为大概率又是朝鲜 Lazarus 的手笔。

消息出来后，大家最关心的其实就两件事：这堆币会不会砸盘？钱还能不能追回来？

想搞清楚这两个问题，最好的参照系不是猜，而是看同一伙人今年 2 月干的 Bybit 案。那一次，黑客从偷到"洗白"的全过程几乎被链上数据完整记录了下来。

二、复盘 Bybit：50 万 ETH，十来天换成 BTC

2025 年 2 月 21 日，Bybit 被盗约 50 万 ETH，按当时价格约 14 亿美元，是此前史上最大的加密货币盗窃案。

黑客的动作非常快，几乎没给防守方反应时间：

  • 第 1 天：先把 stETH、mETH 这类质押衍生品换成原生 ETH，再拆散到大量地址，避免被集中监控。

  • 第 5 天：已通过 THORChain 跨链转走至少 16 万 ETH。

  • 第 9 天：单日再转 6.22 万 ETH，累计约 34.3 万 ETH 已经挪走。

  • 第 10 到 12 天：Arkham 确认，约 50 万 ETH 已全部从以太坊跨成原生 BTC。


走的什么渠道？

  • THORChain（去中心化跨链协议）：约 72%，36.1 万 ETH

  • eXch（无 KYC 兑换平台）：约 16%，7.97 万 ETH

  • OKX Web3 钱包：约 8%，4 万 ETH


THORChain 因为这笔流量赚了约 550 万美元手续费，在社区里挨了不少骂。eXch 则在 2025 年 5 月 1 日宣布关停。

追回了多少？ 两个月后 Bybit CEO 公布的数据是：68.6% 仍可追踪，27.6% 已经"消失"，真正被冻结的只有 3.8%。

一句话总结：被盗的 ETH 几乎全部换成了 BTC，追回来的不到 4%。

三、为什么偏偏要换成 BTC

这不是偏好问题，是生存问题。

第一，没人能冻结它。 USDT、USDC 背后有发行方，地址说拉黑就拉黑——这次币安事件里，Tether 和 Circle 很快就冻结了约 24 亿美元稳定币。ETH 本身冻不了，但以太坊生态里的 DEX、借贷协议、跨链桥都可能设卡拦截。比特币链上没有这些"关卡"，转进去就是转进去了。

第二，流动性最深、接受度最广。 全球任何一个场外币商都认 BTC。MIT Technology Review 早在 2020 年就点破过这件事：黑客折腾一圈，最后往往还是回到比特币，因为没有别的币接受度这么广、这么容易换成现金。

第三，适合长期趴着。 Lazarus 是国家级背景的组织，不急着用钱。BTC 可以放几个月甚至几年，等风头过去再分批出货。

四、换成 BTC 之后，怎么变成钱

答案是地下 OTC 币商。

美国财政部点过名：朝鲜通常通过场外币商把被盗资产换成传统货币，这些币商多数在中国，目的就是绕开金融机构和监管视线。

大致路径是这样的：

> 被盗 ETH → 跨链换成 BTC → 拆分、混币 → 常换成波场链上的 USDT → 地下币商 → 法币或实物价值

币商靠"对敲"断链。 他们手里同时握着另一批买家——想把资金转出境的人、网赌和诈骗平台、灰色跨境贸易。币商把黑客的币卖给这些人，再把这些人付的本地法币交给黑客指定的人。链上追踪到币商这里就断了，链下的钱来自完全不相干的人。

法币最后落到哪？ 公开案例里有几条线索：

  • 银行账户、银联卡。多边制裁监督小组（MSMT）报告指出，朝鲜网络部队曾利用中国金融体系，包括银联信用卡和商业银行来兑现被盗资产。

  • 礼品卡。美国司法部 2020 年起诉的两名中国籍人员，被指控把朝鲜的币换成人民币或苹果礼品卡。

  • 东南亚灰色金融平台，比如柬埔寨的汇旺集团。

  • 涉及地区包括中国、俄罗斯、阿根廷、柬埔寨、越南、阿联酋等。


五、"被标记的币不是进不了交易所吗"

这是评论区出现频率最高的疑问，答案分三层。

1. 脏币根本不需要进合规交易所。 它们卖给的是灰色经济里的买家，这些人拿币是继续流转、结算用的，不会傻到充值进币安或 Coinbase。
2. 标记不是非黑即白的标签，而是风险评分。 经过多层中转、混币、和其他资金搅在一起后，追踪会从"确定"退化成"概率"。Bybit 案里那 27.6% 的"消失"资金，就是这么来的。
3. 币商用高收费覆盖风险。 他们清楚是脏钱，收费远高于正常水平；钱包、银行卡、空壳公司用完就换，被制裁被冻结的风险全算进价格里。

当然，这条路的损耗也不小：混币费、跨链费、币商折价、被冻结的部分，加起来相当可观。但对一个受制裁、几乎没有其他外汇来源的国家来说，能拿回一半也是巨大收益。MSMT 估算，朝鲜在 2024 年 1 月到 2025 年 9 月间盗取的加密资产约 28.4 亿美元。

六、对行情意味着什么

把 Bybit 的经验套到这次事件上，可以拆成三点看：

  • ETH 的卖压集中在前十天。 黑客把 ETH 换成 BTC 的过程是真实的链上卖出，Bybit 案大约用了 10 天，这个节奏可以作为参考。

  • BTC 的卖压小而分散。 换成 BTC 后，出金主要靠场外对敲，可能持续数月甚至数年，大多不走交易所盘口，对价格的直接冲击很小。

  • 黑客不是大跌的主因。 Bybit 被盗当天 ETH 跌了约 8%，之后的大跌主要来自关税等宏观因素和杠杆出清，别把锅全甩给黑客。


这次币安事件的不同之处： 被盗资产里大头是稳定币，已被大量冻结；直接冻不了的 ETH 约 19.5 万枚，价值约 4.4 亿美元，规模比 Bybit 案小。另外黑客正在用 Uniswap、Aave 等协议把稳定币换成 ETH，所以最终持有的 ETH 可能还会增加。

接下来盯什么： THORChain、Chainflip 这些跨链协议的流量变化，是黑客把 ETH 换成 BTC 速度的最直接信号。流量突然放大，说明洗钱进入快车道了。

本文仅为科普，不构成投资建议。币安事件仍在发展中，相关数据可能会更新。