作者：SoSoValue Research
10 月 29 日晚，币安遭遇疑似史上最大规模的黑客攻击。Chainalysis 估计被盗金额约 59 亿美元，链上侦探 ZachXBT 认为大概率是朝鲜 Lazarus 所为。
很多人关心：黑客会怎么处理这些币？会不会砸盘？要回答这个问题，最好的参考就是 2025 年 2 月同一伙人干的 Bybit 案。
一、复盘 Bybit：50 万 ETH，10 天全部换成 BTC
2025 年 2 月 21 日，Bybit 被盗约 50 万 ETH，当时价值约 14 亿美元，是此前史上最大的加密货币盗窃案。
黑客的处理速度非常快：
● 第 1 天： 先把 stETH、mETH 等质押衍生品换成原生 ETH，再拆分到大量地址。
● 第 5 天： 已通过 THORChain 跨链转移了至少 16 万 ETH。
● 第 9 天： 单日再转移 6.22 万 ETH，累计约 34.3 万 ETH 已经转走。
● 第 10–12 天： Arkham 确认，约 50 万 ETH 已全部从以太坊跨成原生 BTC。
用了哪些渠道？
● THORChain（去中心化跨链协议）：约 72%，36.1 万 ETH
● eXch（无 KYC 兑换平台）：约 16%，7.97 万 ETH
THORChain 因此还赚了约 550 万美元手续费，引起社区强烈批评。eXch 后来在 2025 年 5 月 1 日宣布关停。
最终能追回多少？ 两个月后，Bybit CEO 公布的数据是：68.6% 仍可追踪，27.6% 已经“消失”，只有 3.8% 被冻结。
结论：被盗的 ETH 几乎全部换成了 BTC，真正追回的不到 4%。
二、为什么黑客一定要换成 BTC？
1. 没人能冻结
2. USDT、USDC 有发行方，随时可以拉黑地址。这次币安事件中，Tether 和 Circle 很快冻结了约 24 亿美元稳定币。ETH 本身不能冻结，但以太坊生态里的 DEX、借贷协议、跨链桥都可能拦截。比特币链上没有这些“关卡”。
3. 流动性最深，接受度最高
4. 全球任何一个场外币商都收 BTC。MIT Technology Review 早在 2020 年就指出，黑客最终往往都要回到比特币，因为没有别的币接受度这么广、这么容易换成现金。
5. 适合长期存放
6. Lazarus 是国家级黑客组织，不急着用钱。BTC 可以放几个月甚至几年，等风头过去再分批变现。
三、换成 BTC 之后怎么变现？
答案是： 通过地下 OTC（场外交易）币商出金。
美国财政部指出，朝鲜通常通过场外币商把被盗加密资产换成传统货币，这些币商多数在中国，以避开金融机构和监管的视线。
大致路径：
被盗 ETH → 跨链换成 BTC → 拆分、混币 → 常换成波场链上的 USDT → 地下币商 → 法币或实物价值
币商是怎么“断链”的？靠“对敲”。
币商手里同时有另一批需要加密货币、但不在乎来源的买家，比如想把资金转出境的人、网赌和诈骗平台、灰色跨境贸易。币商把黑客的币卖给这些人，再把这些人支付的本地法币交给黑客指定的人。 链上的追踪到币商就断了，链下的钱来自完全不相干的人。
法币最终落到哪里？ 公开案例包括：
● 银行账户、银联卡。多边制裁监督小组（MSMT）的报告指出，朝鲜网络部队曾利用中国金融体系，包括银联信用卡和商业银行来兑现被盗加密资产。
● 礼品卡。美国司法部 2020 年起诉的两名中国籍人员，被指控把朝鲜的币换成人民币或苹果礼品卡来变现。
● 东南亚灰色金融平台，比如柬埔寨的汇旺集团。
● 涉及的地区包括中国、俄罗斯、阿根廷、柬埔寨、越南、阿联酋等。
四、“被标记的 BTC 不是进不了交易所吗？”
这是最常见的疑问。答案分三点：
1. 脏币根本不需要进合规交易所。 它们卖给的是灰色经济里的买家，这些人拿币是用来继续流转、结算的，不会充值到币安或 Coinbase。
2. 标记不是永久的“黑白”标签，而是风险评分。 经过多层中转、混币、和其他资金混合后，追踪会从“确定”变成“概率”。Bybit 案中 27.6% 的资金“消失”就是这个原因。
3. 币商用高收费覆盖风险。 币商知道是脏钱，会收取远高于正常水平的费用。钱包、银行卡、空壳公司用完就换，被制裁、被冻结的风险都算在价格里。
当然，这条路也有代价：混币费、跨链费、币商折价、被冻结的部分，损耗可能相当可观。但对一个受制裁、几乎没有其他外汇来源的国家来说，拿回一半也是巨大收益。MSMT 报告估计，朝鲜在 2024 年 1 月到 2025 年 9 月间盗取了约 28.4 亿美元加密资产。
五、对行情意味着什么？
● ETH 卖压集中在前期。 黑客把 ETH 换成 BTC 的过程是真实的链上卖出。Bybit 案用了约 10 天，可以作为参考。
● BTC 卖压小而分散。 换成 BTC 后，出金主要通过场外对敲，可能持续数月甚至数年，大多不经过交易所盘口，对价格直接冲击很小。
● 黑客不是大跌的主因。 Bybit 被盗当天 ETH 跌了约 8%，之后的大跌主要来自关税等宏观因素和杠杆出清。
这次币安事件有什么不同？ 被盗资产里大头是稳定币，已被大量冻结；直接无法冻结的 ETH 约 19.5 万枚，价值约 4.4 亿美元，规模小于 Bybit 案。另外，黑客正在用 Uniswap、Aave 等协议把稳定币换成 ETH，所以最终持有的 ETH 可能会增加。
接下来值得关注的： THORChain、Chainflip 等跨链协议的流量变化，这是黑客 ETH 换 BTC 速度的直接信号。
本文仅为科普，不构成投资建议。币安事件仍在发展中，相关数据可能会更新。
