Bybit遭14.6亿美元盗窃：Lazarus Group如何将资金转往平壤

Bybit遭14.6亿美元盗窃：Lazarus Group如何将资金转往平壤

背景
朝鲜的Lazarus Group与朝鲜侦察总局有关，是活跃于全球的黑客组织。自2007年以来，该组织曾参与Sony Pictures（2014年）、WannaCry（2017年）等事件，并从2017年起转向加密货币领域，盗取Youbit的7,000万美元、Coincheck的5.3亿美元等，累计窃取超过30亿美元。这一金额远超朝鲜每年1.42亿美元的出口额，为其核武器和导弹项目提供资金，并帮助其规避制裁。

事件概况
2025年2月21日，Bybit遭遇加密货币史上最大规模的盗窃，损失14.6亿美元（1.9万亿韩元）。被盗资产包括401,346 ETH（11.2亿美元）、90,376 stETH（2.53亿美元）、15,000 cmETH（4,400万美元）和8,000 mETH（2,300万美元）。ZachXBT和Arkham Intelligence通过链上取证将事件归因于Lazarus Group。
事发时，Bybit正在将资产从ETH多签冷钱包转至温钱包。黑客伪造签名界面、改写智能合约逻辑，在看似合法的操作掩护下，将资产转至0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2。Bybit首席执行官Ben Zhou表示，热钱包及其他冷钱包安全无虞，但ETH仍下跌3%至2,640美元，市场受到冲击。资产规模达200亿美元的Bybit承诺维持1:1资产支持，并通过过桥贷款覆盖80%的损失。

Lazarus Group的资金变现计划
Lazarus Group已经开始筹划如何将这14.6亿美元转化为平壤可用的资金。以下是其可能采取的洗钱步骤。

🔴 拆分资金
24小时内，14.6亿美元被拆分至49个以上地址，例如0xcEA1A76f2d8e0881b9b185F229e49E3928d37A04。Arkham Intelligence发现，超过2亿美元的stETH被兑换为ETH，并拆分为每笔500至1,000 ETH，以规避追踪。这与其在2022年Ronin事件中的手法相似：当时6.25亿美元的资金在48小时内被分散至100多个地址。

🟠 混币
接下来，资金可能进入Uniswap或PancakeSwap等DEX，兑换为USDT或Tron。跨链桥也可能被用于将资金从Ethereum转移至Tron或Bitcoin。2022年遭制裁前，该组织依赖Tornado Cash；如今可能使用Sinbad.io或更新的混币工具。Elliptic曾追踪到2024年一起黑客事件中流向Sinbad的2,420万美元；Chainalysis则表示，2023年Atomic Wallet被盗的1亿美元中，超过60%流向了Tron。这些区块链被用来掩盖资金踪迹。

🟡 OTC变现
混币后的资金可能流向监管宽松地区的OTC交易渠道，例如柬埔寨的Huione Pay或东南亚交易中心。空壳公司或其他账户可能通过电汇、现金交接，或与俄罗斯、中国的暗池交易员交易来变现。Elliptic追踪到2022年Horizon Bridge被盗的1亿美元中，有3,500万美元通过OTC渠道流出，其中包括在泰国进行的现金交接。此次事件中，至少5亿美元可能流入OTC渠道，经中间人处理后洗白。

🟢 资金流向平壤
资金变现后可能被送往平壤，用于核武器项目和维持政权。TRM Labs表示，Lazarus Group自2018年以来已窃取超过20亿美元，其中2022年就达到10亿美元，远超朝鲜1.42亿美元的出口额。联合国2023年的一份报告将这些资金与导弹试射（每年6亿美元）及网络行动联系起来。这14.6亿美元可能为其经济提供多年资金支持。

相似的作案模式
Atomic Wallet（2023年，1亿美元）、Ronin（2022年，6.25亿美元）和KuCoin（2020年，2.8亿美元）事件都呈现出相似模式：通过社会工程手段窃取密钥、多层混币，再通过OTC渠道变现。Bybit事件暴露了交易所的安全漏洞；如果不加强多签安全、实时追踪和防钓鱼措施，Lazarus Group仍可能继续得手。

延伸阅读

Sinbad.io资金流：2024年转移了2,420万美元（Elliptic：North Korean Hackers and Sinbad - www.elliptic.conorth-korean-h…
Horizon Bridge OTC：3,500万美元被变现，涉及泰国现金交接（Elliptic：Horizon Bridge Exploit Analysis - www.elliptic.cohorizon-bridge…
Ronin资金拆分：6.25亿美元分散至100多个地址（Chainalysis：Ronin Bridge Hack - www.chainalysis.com）
TRM Labs统计：自2018年以来超过20亿美元（TRM Labs：North Korea Crypto Heists - www.trmlabs.comnorth-korea-cr…
联合国报告：与核项目融资的关联（UN Panel of Experts Report - www.un.orgreports）

来源：Funkyonchain