史上最大盜竊案： Bybit 黑客資金流向追蹤
文章來源：Elliptic；編譯：金色財經(jīng)xiaozou
2025年2月21日，總部位于迪拜的Crypto交易所Bybit遭遇了約14.6億美元的加密資產(chǎn)被盜事件。初步報告顯示，攻擊者使用了惡意軟件誘騙交易所批準了將資金轉(zhuǎn)移至竊賊賬戶的交易。
這是迄今為止規(guī)模最大的Crypto盜竊案，遠超2021年P(guān)olyNetwork被盜的6.11億美元（且該案中大部分資金最終被黑客歸還）。事實上，這幾乎可以確定是有史以來最大規(guī)模的單一盜竊案，此前該紀錄的保持者還是薩達姆·侯賽因，他在2003年伊拉克戰(zhàn)爭前夕從伊拉克中央銀行盜取了10億美元。
Lazarus集團的*洗*錢過程通常遵循一個典型模式。第一步是將所有被盜的Tokens兌換為“原生”Blockchain資產(chǎn)，如ETH。這是因為Tokens有發(fā)行方，在某些情況下可以“凍結(jié)”包含被盜資產(chǎn)的錢包，而ETH或Bitcoin則沒有中央機構(gòu)可以凍結(jié)。
這正是Bybit盜竊案發(fā)生后的幾分鐘內(nèi)發(fā)生的情況，數(shù)億美元的被盜Tokens（如stETH和cmETH）被兌換為ETH。攻擊者使用DEX（DEXs）完成這一操作，可能是為了避免在使用CEX*洗*錢時可能遇到的資產(chǎn)凍結(jié)情況。
*洗*錢過程的第二步是對被盜資金進行“分層”，以試圖掩蓋交易路徑。Blockchain的透明性意味著這些交易路徑可以被追蹤，但這些分層策略會使追蹤過程復雜化，為*洗*錢者爭取寶貴的變現(xiàn)時間。分層過程可以采取多種形式，包括：
通過大量Crypto錢包轉(zhuǎn)移資金
使用跨鏈橋或交易所將資金轉(zhuǎn)移到其他Blockchain
使用DEXs、Tokens交換服務(wù)或交易所在不同加密資產(chǎn)之間切換
使用“混幣器”，如TornadoCash或Cryptomixer
Lazarus集團目前正處于*洗*錢的第二階段。盜竊發(fā)生后的兩小時內(nèi)，被盜資金被發(fā)送到50個不同的錢包，每個錢包持有約10,000ETH。這些錢包正在被系統(tǒng)性地清空——截至UTC時間2月23日晚上10點，10%的被盜資產(chǎn)（現(xiàn)價值1.4億美元）已從這些錢包中轉(zhuǎn)移。
一旦資金從這些錢包中轉(zhuǎn)移，它們將通過各種服務(wù)進行*洗*錢，包括DEXs、跨鏈橋和CEX。然而，一個名為eXch的Crypto交易所已成為此次*洗*錢的主要的自愿協(xié)助者。eXch以其允許用戶匿名交換加密資產(chǎn)而聞名，這使其被用于交換來自犯罪活動的數(shù)億美元加密資產(chǎn)，包括朝鮮實施的多次盜竊。自黑客攻擊以來，價值數(shù)千萬美元的Bybit被盜加密資產(chǎn)已通過eXch進行交換。盡管Bybit直接提出請求，但eXch仍拒絕阻止這一活動。
被盜的ETH正在通過eXch和其他服務(wù)逐步轉(zhuǎn)換為Bitcoin。如果遵循以往的*洗*錢模式，我們可能會看到接下來使用混幣器進一步混淆交易路徑。然而，由于被盜資金規(guī)模巨大，這可能具有一定挑戰(zhàn)性。
朝鮮的Lazarus集團是現(xiàn)有最“專業(yè)”且資源最豐富的加密資產(chǎn)*洗*錢者，他們不斷調(diào)整技術(shù)以逃避被盜資產(chǎn)被識別和扣押。自Bybit盜竊案發(fā)生后的幾分鐘起，Elliptic團隊就與Bybit、客戶及其他調(diào)查人員全天候合作，追蹤這些資金并阻止朝鮮政權(quán)從中獲益。