پول پس از سرقت رمزارز توسط هکرهای کره شمالی کجا می‌رود؟ از بای‌بیت تا بایننس، راهنمای شفاف مسیر پول‌شویی لازاروس.

بررسی پرونده بای‌بیت: چگونه هکرها ۵۰۰٬۰۰۰ اتریوم را در ۱۰ روز به بیت‌کوین تبدیل کردند و فرآیند کامل پولشویی بین‌زنجیره‌ای و نقد کردن زیرزمینی OTC را آشکار کردند. فشار فروش اتریوم متمرکز بود، تأثیر بر بیت‌کوین محدود بود و هکرها عامل اصلی افت بزرگ نبودند.

نویسنده: SoSoValue Research

در شب ۲۹ اکتبر، بایننس آنچه گمان می‌رود بزرگ‌ترین حمله هکری تاریخ باشد را متحمل شد. Chainalysis مقدار سرقت‌شده را حدود ۵.۹ میلیارد دلار تخمین می‌زند و کارآگاه آن‌چین ZachXBT معتقد است که این حمله به احتمال زیاد توسط لازاروس کره شمالی انجام شده است.

بسیاری نگران‌اند: هکرها با این سکه‌ها چه خواهند کرد؟ آیا آن‌ها را تخلیه خواهند کرد؟ برای پاسخ به این پرسش، بهترین مرجع، پرونده Bybit است که همان گروه در فوریه ۲۰۲۵ اجرا کرد.

I. مروری بر Bybit: ۵۰۰,۰۰۰ ETH، همه ظرف ۱۰ روز به BTC تبدیل شد

در ۲۱ فوریه ۲۰۲۵، حدود ۵۰۰,۰۰۰ ETH از Bybit سرقت شد که در آن زمان حدود ۱.۴ میلیارد دلار ارزش داشت و تا آن زمان بزرگ‌ترین سرقت ارز دیجیتال در تاریخ بود.

هکرها بسیار سریع عمل کردند:

● روز ۱: ابتدا مشتقات استیکینگ مانند stETH و mETH را به ETH بومی تبدیل کردند، سپس آن را در میان تعداد زیادی آدرس تقسیم کردند.

● روز ۵: حداقل ۱۶۰,۰۰۰ ETH از طریق THORChain به‌صورت زنجیره‌ای منتقل شده بود.

● روز ۹: ۶۲,۲۰۰ ETH دیگر در یک روز منتقل شد و مجموع تجمعی را به حدود ۳۴۳,۰۰۰ ETH رساند.

● روزهای ۱۰ تا ۱۲: Arkham تأیید کرد که حدود ۵۰۰,۰۰۰ ETH به‌طور کامل از اتریوم به BTC بومی پل شده بود.

از کدام کانال‌ها استفاده شد؟

● THORChain (پروتکل زنجیره‌ای غیرمتمرکز): حدود ۷۲٪، ۳۶۱,۰۰۰ ETH

● eXch (پلتفرم صرافی بدون KYC): حدود ۱۶٪، ۷۹,۷۰۰ ETH

● کیف پول Web3 اوکی‌اکس: حدود ۸٪، ۴۰,۰۰۰ ETH

THORChain بدین ترتیب حدود ۵.۵ میلیون دلار کارمزد کسب کرد و انتقاد شدید جامعه را برانگیخت. eXch بعداً در ۱ مه ۲۰۲۵ تعطیلی خود را اعلام کرد.

در نهایت چه مقدار قابل بازیابی بود؟ دو ماه بعد، مدیرعامل Bybit ارقامی منتشر کرد که نشان می‌داد ۶۸.۶٪ قابل ردیابی باقی مانده، ۲۷.۶٪ «ناپدید» شده و تنها ۳.۸٪ مسدود شده است.

نتیجه: تقریباً تمام ETH سرقت‌شده به BTC تبدیل شد و کمتر از ۴٪ واقعاً بازیابی شد.

II. چرا هکرها باید به BTC تبدیل کنند؟

1. هیچ‌کس نمی‌تواند آن را مسدود کند

2. USDT و USDC ناشران دارند که می‌توانند هر لحظه آدرس‌ها را در لیست سیاه قرار دهند. در این حادثه بایننس، Tether و Circle به‌سرعت حدود ۲.۴ میلیارد دلار استیبل‌کوین را مسدود کردند. خود ETH قابل مسدودسازی نیست، اما DEXها، پروتکل‌های وام‌دهی و پل‌های زنجیره‌ای در اکوسیستم اتریوم همگی ممکن است آن را مسدود کنند. چنین «ایست‌های بازرسی» در زنجیره بیت‌کوین وجود ندارد.

3. عمیق‌ترین نقدینگی و بالاترین پذیرش

4. هر معامله‌گر خارج از صرافی در هر جای جهان BTC را می‌پذیرد. MIT Technology Review早在 ۲۰۲۰ اشاره کرد که هکرها در نهایت تمایل دارند به بیت‌کوین بازگردند زیرا هیچ سکه دیگری به این گستردگی پذیرفته نمی‌شود یا تبدیل آن به پول نقد آسان نیست.

5. مناسب برای نگهداری بلندمدت

6. لازاروس یک سازمان هکری در سطح دولتی است و برای استفاده از پول عجله ندارد. BTC را می‌توان ماه‌ها یا حتی سال‌ها نگه داشت و منتظر ماند تا تب فروکش کند و سپس به‌صورت دسته‌ای نقد کرد.

III. پس از تبدیل به BTC، چگونه نقد می‌شود؟

پاسخ این است: نقد کردن از طریق معامله‌گران OTC (خارج از بورس) زیرزمینی.وزارت خزانه‌داری ایالات متحده اشاره می‌کند که کره شمالی معمولاً از معامله‌گران خارج از بورس برای تبدیل دارایی‌های رمزنگاری‌شده سرقت‌شده به ارز سنتی استفاده می‌کند و بیشتر این معامله‌گران در چین قرار دارند و از دید نهادهای مالی و ناظران دور می‌مانند.

مسیر کلی:

ETH سرقت‌شده ← پل‌زنی به BTC ← تقسیم و اختلاط ← اغلب تبدیل به USDT در زنجیره ترون ← معامله‌گران زیرزمینی ← ارز فیات یا ارزش غیرنقدی

معامله‌گران چگونه «زنجیره را می‌شکنند»؟ از طریق «معاملات آینه‌ای».

معامله‌گران همزمان گروه دیگری از خریداران را دارند که به ارز دیجیتال نیاز دارند اما به منبع آن اهمیت نمی‌دهند، مانند افرادی که می‌خواهند وجوه را به خارج منتقل کنند، پلتفرم‌های قمار آنلاین و کلاهبرداری، و تجارت فرامرزی بازار خاکستری. معامله‌گر سکه‌های هکرها را به این افراد می‌فروشد، سپس ارز فیات محلی پرداخت‌شده توسط این افراد را به افراد تعیین‌شده توسط هکرها تحویل می‌دهد. ردیابی درون‌زنجیره‌ای در معامله‌گر پایان می‌یابد، در حالی که پول خارج از زنجیره از طرف‌های کاملاً نامرتبط می‌آید.

ارز فیات در نهایت کجا می‌رود؟ پرونده‌های عمومی شامل موارد زیر است:

● حساب‌های بانکی و کارت‌های یونیون‌پی. گزارش تیم نظارت بر تحریم‌های چندجانبه (MSMT) اشاره کرد که نیروهای سایبری کره شمالی از سیستم مالی چین، از جمله کارت‌های اعتباری یونیون‌پی و بانک‌های تجاری، برای نقد کردن دارایی‌های رمزنگاری‌شده سرقت‌شده استفاده کرده‌اند.

● کارت‌های هدیه. دو تبعه چینی که در سال ۲۰۲۰ توسط وزارت دادگستری ایالات متحده کیفرخواست شدند، متهم شدند که سکه‌های کره شمالی را به یوان یا کارت‌های هدیه اپل تبدیل کرده و نقد می‌کردند.

● پلتفرم‌های مالی خاکستری در جنوب شرقی آسیا، مانند گروه Huione کامبوج.

● مناطق درگیر شامل چین، روسیه، آرژانتین، کامبوج، ویتنام، امارات متحده عربی و دیگران است.

IV. «آیا BTC علامت‌گذاری‌شده نمی‌تواند وارد صرافی‌ها شود؟»

این رایج‌ترین سؤال است. پاسخ سه نکته دارد:

1. سکه‌های آلوده اصلاً نیازی به ورود به صرافی‌های منطبق ندارند. آن‌ها به خریداران در اقتصاد خاکستری فروخته می‌شوند، که از سکه‌ها برای گردش و تسویه ادامه‌دار استفاده می‌کنند و آن‌ها را به بایننس یا کوین‌بیس واریز نمی‌کنند.

2. علامت‌گذاری یک برچسب دائمی «سیاه و سفید» نیست بلکه یک امتیاز ریسک است. پس از چندین لایه رله، اختلاط و ترکیب با سایر وجوه، ردیابی از «قطعی» به «احتمالی» تغییر می‌کند. این دلیلی است که ۲۷.۶٪ از وجوه در پرونده Bybit «ناپدید شد».

3. معامله‌گران ریسک را با کارمزدهای بالا پوشش می‌دهند. معامله‌گران می‌دانند که پول کثیف است و کارمزدهایی بسیار بالاتر از سطوح عادی دریافت می‌کنند. کیف‌پول‌ها، کارت‌های بانکی و شرکت‌های پوسته پس از استفاده جایگزین می‌شوند و ریسک تحریم و مسدودی همه در قیمت لحاظ می‌شود.

البته این مسیر هزینه‌هایی هم دارد: کارمزد اختلاط، کارمزد بین‌زنجیره‌ای، تخفیف معامله‌گر و بخش‌های مسدودشده ممکن است منجر به زیان‌های قابل‌توجهی شود. اما برای یک کشور تحریم‌شده که تقریباً هیچ منبع دیگری برای ارز خارجی ندارد، بازیابی نیمی از آن همچنان دستاوردی عظیم است. گزارش MSMT تخمین می‌زند که کره شمالی بین ژانویه ۲۰۲۴ و سپتامبر ۲۰۲۵ حدود ۲.۸۴ میلیارد دلار دارایی رمزنگاری‌شده سرقت کرده است.

V. این برای بازار چه معنایی دارد؟● فشار فروش ETH در مرحله اولیه متمرکز است. فرآیند تبدیل ETH به BTC توسط هکرها شامل فروش واقعی درون‌زنجیره‌ای است. پرونده Bybit حدود ۱۰ روز طول کشید و می‌تواند به عنوان مرجع مورد استفاده قرار گیرد.

● فشار فروش BTC کم و پراکنده است. پس از تبدیل به BTC، نقد کردن عمدتاً از طریق معاملات آینه‌ای خارج از صرافی انجام می‌شود و ممکن است ماه‌ها یا حتی سال‌ها طول بکشد که بیشتر از دفتر سفارش صرافی‌ها عبور نمی‌کند، بنابراین تأثیر مستقیم بر قیمت بسیار کم است.

● هکرها علت اصلی افت‌های بزرگ نیستند. در روز سرقت Bybit، ETH حدود ۸٪ کاهش یافت و افت بزرگ بعدی عمدتاً ناشی از عوامل کلان مانند تعرفه‌ها و لیکویید شدن اهرم بود.

چه چیزی در مورد این حادثه Binance متفاوت است؟ بخش عمده دارایی‌های سرقت‌شده استیبل‌کوین بودند که تا حد زیادی مسدود شده‌اند؛ مقدار ETH که مستقیماً قابل مسدودسازی نیست حدود ۱۹۵,۰۰۰ سکه به ارزش حدود ۴۴۰ میلیون دلار است که مقیاس کوچک‌تری نسبت به پرونده Bybit دارد. علاوه بر این، هکرها از پروتکل‌هایی مانند Uniswap و Aave برای تبدیل استیبل‌کوین به ETH استفاده می‌کنند، بنابراین دارایی نهایی ETH آن‌ها ممکن است افزایش یابد.

آنچه در ادامه ارزش توجه دارد: تغییرات ترافیک در پروتکل‌های بین‌زنجیره‌ای مانند THORChain و Chainflip که سیگنال‌های مستقیم سرعت تبدیل ETH به BTC توسط هکرها هستند.

این مقاله فقط برای اهداف آموزشی است و مشاوره سرمایه‌گذاری محسوب نمی‌شود. حادثه Binance هنوز در حال توسعه است و داده‌های مربوطه ممکن است به‌روزرسانی شوند.