約50萬枚以太幣（ETH）遭竊，Bybit資金10至12天內全數轉為比特幣（BTC）

北韓關聯駭客組織在2025年從Bybit竊取約50萬枚以太幣（ETH），並在10至12天內全數兌換成比特幣（BTC）。

美國聯邦調查局（FBI）於2025年2月26日表示，北韓應對2025年Bybit資產遭竊事件負責。SoSoValue Research於30日發布《從Bybit到Binance的拉撒路集團（Lazarus Group）洗錢路徑》分析，按時間整理了當時的資金流向。

分析指出，遭竊首日，駭客先將質押衍生資產兌換成以太幣，再把資金分散至多個地址。分散地址可增加後續追蹤資產移動的難度。

遭竊第5天，至少16萬枚以太幣透過THORChain轉移。第9天又有6萬2200枚以太幣在一天內移動，累計移動量約達34萬3000枚。

Arkham按兌換路徑統計，約36萬1000枚以太幣（72%）經由THORChain轉移，約7萬9700枚（16%）經由eXch，另有約4萬枚（8%）經由OKX Web3錢包。三種管道分別是跨鏈協議、免KYC交易平台和Web3錢包。

THORChain在當時的交易中收取約550萬美元手續費（約74億韓元），因此受到社群批評。eXch則宣布將於2025年5月1日停止服務。

THORChain是一種用於交換不同區塊鏈資產的協議。遭竊資產被分散到多個地址後，再兌換成其他區塊鏈上的比特幣。

SoSoValue Research將選擇比特幣的原因歸於其沒有中央發行方，無法像穩定幣發行商那樣凍結特定地址的資產。泰達幣（USDT）和美元幣（USDC）則可由發行方封鎖地址，凍結機制與比特幣不同。

該分析也說明了北韓關聯資金可能採用的套現路徑：先將比特幣分散到多個地址並混幣，再換成波場網路上的泰達幣，交給地下場外交易中介。這不代表本次幣安（Binance）事故中的資金也循相同路徑移動。

場外交易是交易雙方不經交易所公開訂單簿，直接結算資產與款項的方式。分析指出，中介人可能將遭竊資產轉交其他買家，再把另一筆交易取得的當地貨幣交給駭客指定的人，因此鏈上資金流與法幣流向可能分開。

多國制裁監督小組（MSMT）在報告中列舉北韓關聯網路部隊將遭竊虛擬資產套現時，利用中國金融體系的案例。報告提到銀聯卡和商業銀行等管道。

Bybit執行長於事故約兩個月後、2025年4月公布的統計顯示，68.6%的遭竊資金仍可追蹤，27.6%難以追蹤，另有3.8%遭到凍結。可追蹤比例與凍結比例是不同指標。

能追蹤資金流向，不代表資產已遭凍結或成功追回。本刊先前報導過Bybit起訴北韓並取得資產凍結令的過程。

SoSoValue Research表示，Chainalysis估計幣安事故損失約59億美元，泰達（Tether）與Circle凍結了約24億美元的穩定幣。幣安正調查員工筆電是否遭入侵，並因此提交了未經授權的提款交易。

幣安事故是否由拉撒路集團（Lazarus Group）策劃，尚未獲官方證實。本刊先前報導過被指可能與拉撒路集團有關的幣安駭客事件線索。幣安表示，將與執法機關及區塊鏈分析公司合作追蹤資金、確認涉案者身分，並公開技術報告。