727 FinanceRückblick auf den Bybit-Fall: Wie Hacker 500.000 ETH innerhalb von 10 Tagen in BTC umwandelten und dabei den vollständigen Prozess der Cross-Chain-Geldwäsche und des Untergrund-OTC-Bargeldabflusses offenlegten. Der ETH-Verkaufsdruck war konzentriert, die BTC-Auswirkung blieb begrenzt, und die Hacker waren nicht die Hauptursache für den starken Kursrückgang.
Autor: SoSoValue Research
Am Abend des 29. Oktober erlitt Binance einen mutmaßlich größten Hackerangriff der Geschichte. Chainalysis schätzt die gestohlene Summe auf etwa 5,9 Milliarden US-Dollar, und der On-Chain-Detektiv ZachXBT geht davon aus, dass der Angriff höchstwahrscheinlich von Nordkoreas Lazarus durchgeführt wurde.
Viele Menschen sind besorgt: Wie werden die Hacker mit diesen Coins umgehen? Werden sie sie abstoßen? Um diese Frage zu beantworten, ist der beste Referenzfall der Bybit-Fall, der von derselben Gruppe im Februar 2025 durchgeführt wurde.
I. Rückblick auf Bybit: 500.000 ETH, alle innerhalb von 10 Tagen in BTC umgewandelt
Am 21. Februar 2025 wurden etwa 500.000 ETH von Bybit gestohlen, damals etwa 1,4 Milliarden US-Dollar wert, was ihn zum größten Kryptowährungsdiebstahl der Geschichte bis zu diesem Zeitpunkt machte.
Die Hacker handelten sehr schnell:
● Tag 1: Zunächst wurden Staking-Derivate wie stETH und mETH in natives ETH umgewandelt und dann über eine große Anzahl von Adressen aufgeteilt.
● Tag 5: Mindestens 160.000 ETH waren bereits über THORChain cross-chain übertragen worden.
● Tag 9: Weitere 62.200 ETH wurden an einem einzigen Tag übertragen, wodurch die kumulierte Gesamtsumme auf etwa 343.000 ETH anstieg.
● Tage 10–12: Arkham bestätigte, dass etwa 500.000 ETH vollständig von Ethereum in natives BTC gebrückt worden waren.
Welche Kanäle wurden genutzt?
● THORChain (dezentrales Cross-Chain-Protokoll): etwa 72 %, 361.000 ETH
● eXch (No-KYC-Handelsplattform): etwa 16 %, 79.700 ETH
● OKX Web3 Wallet: etwa 8 %, 40.000 ETH
THORChain verdiente damit etwa 5,5 Millionen US-Dollar an Gebühren, was starke Kritik aus der Community hervorrief. eXch kündigte später am 1. Mai 2025 seine Schließung an.
Wie viel konnte letztlich zurückgewonnen werden? Zwei Monate später veröffentlichte der Bybit-CEO Zahlen, die zeigten, dass 68,6 % nachverfolgbar blieben, 27,6 % „verschwunden“ waren und nur 3,8 % eingefroren worden waren.
Fazit: Nahezu das gesamte gestohlene ETH wurde in BTC umgewandelt, und weniger als 4 % wurden tatsächlich zurückgewonnen.
II. Warum müssen Hacker in BTC umwandeln?
1. Niemand kann es einfrieren
2. USDT und USDC haben Emittenten, die Adressen jederzeit auf die schwarze Liste setzen können. Im aktuellen Binance-Vorfall froren Tether und Circle schnell etwa 2,4 Milliarden US-Dollar an Stablecoins ein. ETH selbst kann nicht eingefroren werden, aber DEXs, Lending-Protokolle und Cross-Chain-Bridges im Ethereum-Ökosystem können es möglicherweise alle blockieren. Auf der Bitcoin-Chain gibt es keine solchen „Checkpoints“.
3. Tiefste Liquidität und höchste Akzeptanz
4. Jeder außerbörsliche Händler irgendwo auf der Welt akzeptiert BTC. MIT Technology Review wies bereits 2020 darauf hin, dass Hacker letztlich dazu neigen, zu Bitcoin zurückzukehren, weil keine andere Coin so weit verbreitet akzeptiert oder so einfach in Bargeld umzuwandeln ist.
5. Geeignet für die langfristige Aufbewahrung
6. Lazarus ist eine staatliche Hackerorganisation und hat es nicht eilig, das Geld zu verwenden. BTC kann monate- oder sogar jahrelang gehalten werden, um abzuwarten, bis die Aufmerksamkeit nachlässt, bevor es in Chargen ausgezahlt wird.
III. Wie wird es nach der Umwandlung in BTC ausgezahlt?
Die Antwort lautet: Auszahlung über unterirdische OTC-Händler (Over-the-Counter).Das U.S. Department of the Treasury weist darauf hin, dass Nordkorea typischerweise außerbörsliche Händler nutzt, um gestohlene Krypto-Assets in traditionelle Währungen umzuwandeln, und die meisten dieser Händler befinden sich in China und entziehen sich damit der Aufsicht von Finanzinstituten und Regulierungsbehörden.
Der allgemeine Weg:
Gestohlene ETH → in BTC überbrückt → aufgeteilt und gemischt → oft in USDT auf der Tron-Chain umgewandelt → Untergrundhändler → Fiat-Währung oder Sachwerte
Wie „brechen“ Händler die Kette? Durch „Mirror Trades“.
Händler haben gleichzeitig eine andere Gruppe von Käufern, die Kryptowährung benötigen, sich aber nicht um deren Herkunft kümmern, wie Personen, die versuchen, Gelder ins Ausland zu transferieren, Online-Glücksspiel- und Betrugsplattformen sowie graumarktliche grenzüberschreitende Handelsgeschäfte. Der Händler verkauft die Coins der Hacker an diese Personen und übergibt dann die von diesen Personen gezahlte lokale Fiat-Währung an die von den Hackern benannten Personen. Die On-Chain-Verfolgung endet beim Händler, während das Off-Chain-Geld von völlig unbeteiligten Parteien stammt.
Wo landet die Fiat-Währung letztlich? Öffentliche Fälle umfassen:
● Bankkonten und UnionPay-Karten. Ein Bericht des Multilateral Sanctions Monitoring Team (MSMT) wies darauf hin, dass Nordkoreas Cyberkräfte das chinesische Finanzsystem, einschließlich UnionPay-Kreditkarten und Geschäftsbanken, genutzt haben, um gestohlene Krypto-Assets zu Geld zu machen.
● Geschenkkarten. Zwei chinesische Staatsangehörige, die 2020 vom U.S. Department of Justice angeklagt wurden, wurden beschuldigt, Nordkoreas Coins in RMB oder Apple-Geschenkkarten umgewandelt und zu Geld gemacht zu haben.
● Graue Finanzplattformen in Südostasien, wie die Huione Group in Kambodscha.
● Betroffene Regionen umfassen China, Russland, Argentinien, Kambodscha, Vietnam, die VAE und andere.
IV. „Können markierte BTC nicht in Börsen gelangen?“
Dies ist die häufigste Frage. Die Antwort hat drei Punkte:
1. Schmutzige Coins müssen überhaupt nicht in regulierte Börsen gelangen. Sie werden an Käufer in der Schattenwirtschaft verkauft, die die Coins für den weiteren Umlauf und die Abrechnung verwenden und sie nicht bei Binance oder Coinbase einzahlen.
2. Die Markierung ist kein dauerhaftes „Schwarz-Weiß“-Etikett, sondern ein Risikoscore. Nach mehreren Schichten der Weiterleitung, des Mischens und der Vermischung mit anderen Geldern verschiebt sich die Verfolgung von „sicher“ zu „wahrscheinlich“. Deshalb sind 27,6 % der Gelder im Bybit-Fall „verschwunden“.
3. Händler decken das Risiko mit hohen Gebühren ab. Händler wissen, dass es sich um schmutziges Geld handelt, und verlangen Gebühren, die weit über dem normalen Niveau liegen. Wallets, Bankkarten und Briefkastenfirmen werden nach Gebrauch ersetzt, und das Risiko von Sanktionen und Einfrierungen ist vollständig eingepreist.
Natürlich hat dieser Weg auch Kosten: Mischgebühren, Cross-Chain-Gebühren, Händlerrabatte und eingefrorene Anteile können zu erheblichen Verlusten führen. Aber für ein sanktioniertes Land mit fast keiner anderen Devisenquelle ist die Rückgewinnung der Hälfte immer noch ein enormer Gewinn. Der MSMT-Bericht schätzt, dass Nordkorea zwischen Januar 2024 und September 2025 etwa 2,84 Milliarden US-Dollar an Krypto-Assets gestohlen hat.
V. Was bedeutet das für den Markt?● Der ETH-Verkaufsdruck konzentriert sich auf die frühe Phase. Der Prozess der Hacker, ETH in BTC umzuwandeln, beinhaltet echte On-Chain-Verkäufe. Der Bybit-Fall dauerte etwa 10 Tage und kann als Referenz dienen.
● Der BTC-Verkaufsdruck ist gering und verteilt. Nach der Umwandlung in BTC erfolgt die Auszahlung hauptsächlich über außerbörsliche Mirror-Trades und kann Monate oder sogar Jahre dauern, wobei sie meist nicht über die Orderbücher der Börsen läuft, sodass der direkte Einfluss auf den Preis sehr gering ist.
● Hacker sind nicht die Hauptursache für größere Kursrückgänge. Am Tag des Bybit-Diebstahls fiel ETH um etwa 8 %, und der anschließende größere Rückgang kam hauptsächlich von Makrofaktoren wie Zöllen und Leverage-Liquidationen.
Was ist an diesem Binance-Vorfall anders? Der Großteil der gestohlenen Vermögenswerte waren Stablecoins, die bereits weitgehend eingefroren wurden; die direkt nicht einfrierbaren ETH belaufen sich auf etwa 195.000 Coins im Wert von etwa 440 Millionen US-Dollar, ein kleinerer Umfang als im Bybit-Fall. Darüber hinaus nutzen die Hacker Protokolle wie Uniswap und Aave, um Stablecoins in ETH umzuwandeln, sodass ihre endgültigen ETH-Bestände möglicherweise steigen.
Was als Nächstes zu beobachten ist: Verkehrsveränderungen bei Cross-Chain-Protokollen wie THORChain und Chainflip, die direkte Signale für die Geschwindigkeit sind, mit der die Hacker ETH in BTC umwandeln.
Dieser Artikel dient nur zu Bildungszwecken und stellt keine Anlageberatung dar. Der Binance-Vorfall entwickelt sich noch, und relevante Daten können aktualisiert werden.