史上最大盜竊案： Bybit 黑客資金流向追蹤
文章來源：Elliptic；編譯：金色財(cái)經(jīng)xiaozou
2025年2月21日，總部位于迪拜的Crypto交易所Bybit遭遇了約14.6億美元的加密資產(chǎn)被盜事件。初步報(bào)告顯示，攻擊者使用了惡意軟件誘騙交易所批準(zhǔn)了將資金轉(zhuǎn)移至竊賊賬戶的交易。
這是迄今為止規(guī)模最大的Crypto盜竊案，遠(yuǎn)超2021年P(guān)olyNetwork被盜的6.11億美元（且該案中大部分資金最終被黑客歸還）。事實(shí)上，這幾乎可以確定是有史以來最大規(guī)模的單一盜竊案，此前該紀(jì)錄的保持者還是薩達(dá)姆·侯賽因，他在2003年伊拉克戰(zhàn)爭前夕從伊拉克中央銀行盜取了10億美元。
Lazarus集團(tuán)的*洗*錢過程通常遵循一個(gè)典型模式。第一步是將所有被盜的Tokens兌換為“原生”Blockchain資產(chǎn)，如ETH。這是因?yàn)門okens有發(fā)行方，在某些情況下可以“凍結(jié)”包含被盜資產(chǎn)的錢包，而ETH或Bitcoin則沒有中央機(jī)構(gòu)可以凍結(jié)。
這正是Bybit盜竊案發(fā)生后的幾分鐘內(nèi)發(fā)生的情況，數(shù)億美元的被盜Tokens（如stETH和cmETH）被兌換為ETH。攻擊者使用DEX（DEXs）完成這一操作，可能是為了避免在使用CEX*洗*錢時(shí)可能遇到的資產(chǎn)凍結(jié)情況。
*洗*錢過程的第二步是對被盜資金進(jìn)行“分層”，以試圖掩蓋交易路徑。Blockchain的透明性意味著這些交易路徑可以被追蹤，但這些分層策略會使追蹤過程復(fù)雜化，為*洗*錢者爭取寶貴的變現(xiàn)時(shí)間。分層過程可以采取多種形式，包括：
通過大量Crypto錢包轉(zhuǎn)移資金
使用跨鏈橋或交易所將資金轉(zhuǎn)移到其他Blockchain
使用DEXs、Tokens交換服務(wù)或交易所在不同加密資產(chǎn)之間切換
使用“混幣器”，如TornadoCash或Cryptomixer
Lazarus集團(tuán)目前正處于*洗*錢的第二階段。盜竊發(fā)生后的兩小時(shí)內(nèi)，被盜資金被發(fā)送到50個(gè)不同的錢包，每個(gè)錢包持有約10,000ETH。這些錢包正在被系統(tǒng)性地清空——截至UTC時(shí)間2月23日晚上10點(diǎn)，10%的被盜資產(chǎn)（現(xiàn)價(jià)值1.4億美元）已從這些錢包中轉(zhuǎn)移。
一旦資金從這些錢包中轉(zhuǎn)移，它們將通過各種服務(wù)進(jìn)行*洗*錢，包括DEXs、跨鏈橋和CEX。然而，一個(gè)名為eXch的Crypto交易所已成為此次*洗*錢的主要的自愿協(xié)助者。eXch以其允許用戶匿名交換加密資產(chǎn)而聞名，這使其被用于交換來自犯罪活動的數(shù)億美元加密資產(chǎn)，包括朝鮮實(shí)施的多次盜竊。自黑客攻擊以來，價(jià)值數(shù)千萬美元的Bybit被盜加密資產(chǎn)已通過eXch進(jìn)行交換。盡管Bybit直接提出請求，但eXch仍拒絕阻止這一活動。
被盜的ETH正在通過eXch和其他服務(wù)逐步轉(zhuǎn)換為Bitcoin。如果遵循以往的*洗*錢模式，我們可能會看到接下來使用混幣器進(jìn)一步混淆交易路徑。然而，由于被盜資金規(guī)模巨大，這可能具有一定挑戰(zhàn)性。
朝鮮的Lazarus集團(tuán)是現(xiàn)有最“專業(yè)”且資源最豐富的加密資產(chǎn)*洗*錢者，他們不斷調(diào)整技術(shù)以逃避被盜資產(chǎn)被識別和扣押。自Bybit盜竊案發(fā)生后的幾分鐘起，Elliptic團(tuán)隊(duì)就與Bybit、客戶及其他調(diào)查人員全天候合作，追蹤這些資金并阻止朝鮮政權(quán)從中獲益。