Bybit被盗1.9万亿韩元：Lazarus Group可能如何将资金转往平壤

Bybit被盗1.9万亿韩元：Lazarus Group可能如何将资金转往平壤

背景
朝鲜的Lazarus Group是一个臭名昭著的国际黑客组织，隶属于Reconnaissance General Bureau（侦察总局）。该组织自2007年开始发动网络攻击，制造了Sony Pictures（2014年）、WannaCry（2017年）等重大事件。自加密货币市场在2017年进入快速发展阶段后，该组织集中攻击Youbit（2017年，7,000万美元）、Coincheck（2018年，5.3亿美元）等交易所，累计盗取超过30亿美元。这远超朝鲜1.42亿美元的年度出口额，被用于资助核武器开发和导弹项目，引发国际社会严重关切。

事件概述
2025年2月21日，Bybit遭遇加密货币历史上最大规模的黑客攻击。损失达1.9万亿韩元（14.6亿美元），被盗资产包括401,346 ETH（11.2亿美元）、90,376 stETH（2.53亿美元）、15,000 cmETH（4,400万美元）和8,000 mETH（2,300万美元）。链上分析师ZachXBT和Arkham Intelligence确认这是Lazarus Group所为。
攻击发生在Bybit将资金从ETH多签冷钱包转移至温钱包的过程中。黑客操纵签名界面，修改智能合约逻辑，在伪装成正常地址后，将全部资金转至0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2。Bybit CEO Ben Zhou表示热钱包和其他冷钱包安全，但ETH价格下跌3%至2,640美元，令市场受到冲击。Bybit拥有2亿美元资产，承诺以1:1足额保障资金，并计划通过过桥贷款弥补80%的损失。

Lazarus Group的变现策略
Lazarus Group已经开始执行将1.9万亿韩元变现并转往平壤的计划。其洗钱过程严密而有组织，下面逐步分析。

🔴 资金分散
黑客攻击发生后24小时内，资金被分散至49个以上地址，例如0xcEA1A76f2d8e0881b9b185F229e49E3928d37A04。据Arkham Intelligence称，超过2亿美元的stETH被兑换成ETH，并拆分为每笔500至1,000 ETH以规避追踪。这与Ronin黑客事件（2022年，6.25亿美元）中资金在48小时内被分散至100多个地址的模式相似。

🟠 混币
分散后的资金很可能通过Uniswap或PancakeSwap等DEX兑换成USDT或Tron。此外，资金还可能通过跨链桥从Ethereum转移至Tron或Bitcoin。过去他们使用Tornado Cash，但在2022年美国实施制裁后，开始使用Sinbad.io等新混币工具。Elliptic发现，2024年末另一起黑客事件中有2,420万美元流向Sinbad；Chainalysis报告称，Atomic Wallet黑客事件（2023年，1亿美元）中超过60%的资金流向Tron网络。这是一种通过选择复杂区块链来阻断追踪的策略。

🟡 OTC变现
混币后的资金将流向监管薄弱地区的OTC交易渠道。柬埔寨的Huione Pay或东南亚的小型交易所预计是主要路径，也可能通过空壳公司或个人账户进行银行转账、提取现金，或与俄罗斯、中国的黑市交易商交易。Elliptic追踪了Horizon Bridge黑客事件（2022年，1亿美元）中3,500万美元在泰国被提取为现金的案例，此次预计至少有5亿美元会通过OTC变现。

🟢 转往平壤
变现后的资金将被转往平壤，用于核武器开发和维持政权。据TRM Labs称，Lazarus Group自2018年以来已盗取超过20亿美元，仅2022年就盗取了10亿美元。与朝鲜1.42亿美元的年度出口额相比，这一金额高出许多。根据2023年的UN报告，这些资金被用于导弹试验（每年耗资6亿美元）和网络部队运作；此次的1.9万亿韩元足以支撑朝鲜经济数年。

反复出现的模式
此次事件与Atomic Wallet（2023年，1亿美元）、Ronin（2022年，6.25亿美元）和KuCoin（2020年，2.8亿美元）黑客事件呈现相同模式：通过社会工程手段窃取私钥，利用多层混币阻断追踪，再通过OTC转出资金。Bybit事件清楚暴露了交易所安全方面的弱点；如果不加强多签流程、实时链上监控和针对员工的网络钓鱼防御培训，就无法阻止Lazarus Group的攻击。

延伸阅读
流向Sinbad.io的资金：2024年末确认2,420万美元（Elliptic: North Korean Hackers and Sinbad - www.elliptic.conorth-korean-h…
Horizon Bridge OTC案例：3,500万美元变现，在泰国交付现金（Elliptic: Horizon Bridge Exploit Analysis - www.elliptic.cohorizon-bridge…
Ronin资金分散模式：6.25亿美元，涉及100多个地址（Chainalysis: Ronin Bridge Hack - www.chainalysis.com）
TRM Labs统计：自2018年以来20亿美元（TRM Labs: North Korea Crypto Heists - www.trmlabs.comnorth-korea-cr…
UN报告：与核武器资金的关联（UN Panel of Experts Report - www.un.orgreports）

来源：Funkyonchain