朝鲜黑客如何在被盗 63 亿美元后进行洗钱？

正文：

Lazarus 并非一般的黑客团伙，它被认为与朝鲜侦察总局有着紧密的联系。美国执法机构多次指出，朝鲜通过盗取加密货币来获取外汇，甚至为受到国际制裁的武器项目提供资金支持。

在币安遭到盗窃后，黑客们迅速展开了大规模的资金转移。结合最新的链上追踪数据，以及历史案件如 Ronin 和 Bybit，我们整理了朝鲜黑客的洗钱路径，并探讨了这些赃款如何渗透进现实金融体系。

10 月 29 日，朝鲜黑客从币安的 17 个热钱包中盗走了约 63 亿美元的资产，涉及 Ethereum、Bitcoin、Tron、Solana 等九个区块链平台。

由于被盗的资产中含有大量的 USDT 和 USDC 等中心化代币，发行方具备冻结其流通的权限。此外，部分 L2 网络也保留了紧急管理权，能够强制转移涉案资产。

因此，黑客在成功盗取后迅速将稳定币转入多个中转钱包，并在转移的同时通过去中心化交易所（DEX）将其兑换为 ETH、TRX 等原生资产。

然而，仍有大量资产来不及转移。据 Bitquery 统计，约 27 亿美元的资产已经被发行方及相关机构冻结或控制，其中约 7.29 亿美元的 USDT 在冻结之前成功转移。

完成第一轮的资产兑换后，黑客开始利用跨链协议，将分散在不同网络的资金转移至 Ethereum 和 Bitcoin 网络，并通过大量新钱包进行资金的分散处理。

在这些操作中，TRON 上的资金转移尤为典型。黑客将约 2.34 亿美元的 USDT 兑换为 6.38 亿 TRX，随后将其拆分至多个钱包，并通过 THORChain 等至少六个跨链协议进行转移。由于在跨链过程中资金不断被拆分和交换，绝大多数最终转换为 Ethereum 上的 ETH。

其他区块链的资金也进行了类似的操作。例如：

– Base 上的部分资产通过 Stargate 转至 Ethereum，最终聚集了约 1,187 ETH。

– Avalanche 上的资产则先兑换成 USDC，然后通过 Circle CCTP 转入 Ethereum，最后换得约 7,243 ETH。

此外，黑客还根据不同链上的流动性深度选择了 Relay、Chainflip、Symbiosis 等跨链协议，分批转移资金，以降低大额兑换带来的滑点风险。

跨链之后，资金并未立即进入交易所，而是持续被拆分至大量新钱包。例如，一批通过 THORChain 兑换的 ETH 被分散至 35 个地址；另一批经 Relay 转移的资金则通过 CoW Swap 兑换成 ETH，并分散至另外 16 个钱包。

整个过程展现出高度的自动化特征。Elliptic 发现，黑客的主要 TRON 资金分发钱包在 10 月 30 日至 11 月 1 日期间进行了超过 1,100 笔转账，接收资金的新地址通常在两分钟内再次进行转出。即使跨链失败，部分资金也会重新申请跨链。

10 月 31 日，FBI 联合美国特勤局和国税局刑事调查部门发布公告，公开了与朝鲜黑客相关的地址，呼吁 THORNode、RPC 节点运营商以及即时兑换平台、DeFi 服务商等阻止涉案交易。

– Symbiosis 确认发现有资金试图通过其协议转移，并已联系 Binance。

– Relay 尽管具备地址风险筛查机制，链上仍能观察到涉案资金通过该协议转移。

值得注意的是，FBI 特别提到的 THORNode 所属网络 THORChain，因多次处理黑客资金而引发争议。

在 2023 年至 2026 年间，THORChain 在 FTX、Bybit、Kelp DAO 等七起黑客或诈骗事件中，累计产生约 92.7 亿美元的交易量和 1,247 万美元的手续费。其中，仅 2025 年 Bybit 被盗事件就产生了约 863 万美元的手续费。

在这次币安被盗事件中，THORChain 再次成为黑客的跨链渠道。面对 FBI 的调查要求，联合创始人 Chad Barraford 表示，节点数据本就公开，无需传票。

戏剧性的是，导致 THORChain 暂停大部分跨链交易的并非 FBI，而是一笔 10 ETH 的异常退款。10 月 31 日，以太坊区块重组触发了紧急暂停机制，截至 11 月 1 日，Bitcoin、Ethereum、Tron 等 10 条链的相关交易仍受影响。

历史揭秘：朝鲜如何通过 OTC 将赃款套现？

从朝鲜黑客的以往经验来看，跨链转移只是洗钱过程的一部分。后续通常会通过混币器来增加资金追踪的难度，并借助地下 OTC 商人将加密货币兑换为法币。

2025 年 4 月，Bybit 的 CEO Ben Zhou 披露，约 28% 的被盗资产已难以追踪，这些资金主要经过混币器和跨链桥，最终流向 P2P 和 OTC 兑换渠道。

同年 10 月，由 11 国组成的多边制裁监测小组（MSMT）进一步揭示了链下出金网络。

调查显示，截至 2025 年 4 月，相关人员已通过一名香港中间商安排了超过 1 亿美元的 Bybit 赃款套现。此外，朝鲜还通过俄罗斯中间商套现了至少 6000 万美元的加密资产，其中包括部分 Bybit 被盗资金。

柬埔寨的角色有所不同。调查显示，朝鲜相关人员与一名居住在柬埔寨的朝鲜籍人员合作，将加密资产转入指定钱包，集中准备后续兑换，并通过包括香港在内的其他地区安排套现。

类似的操作早在 2018 年就已出现。当年，Lazarus 从一家交易所盗取了约 2.5 亿美元，随后将其中约 9,100 万美元转交给两名中国籍中间人处理。美国财政部后来发现，其中一人通过银行账户转移了超过 3,400 万美元，并将部分 BTC 兑换成苹果 iTunes 礼品卡。

至于这次币安被盗事件，黑客仍在进行资产兑换、跨链和钱包拆分。从以往的案件来看，朝鲜拥有较为成熟的链下出金网络。

在过去十多年中，Crypto 行业经历了多次牛熊起伏，交易所和 DeFi 协议不断更替，但 Lazarus 的活动始终没有停止。