727 FinanceBybit事件を振り返ると、ハッカーが50万ETHを10日間でBTCに変換した方法が、クロスチェーンコインロンダリングと地下OTC現金化の全プロセスを明らかにしている。ETHの売り圧力は集中し、BTCへの影響は限定的で、ハッカーは大幅下落の主因ではなかった。
著者：SoSoValue Research
10月29日晚間、Binanceは史上最大規模のハッカー攻撃と疑われる事態に見舞われた。Chainalysisは盗難額を約59億ドルと推定し、オンチェーン探偵のZachXBTは北朝鮮のLazarusが実行した可能性が最も高いと見ている。
多くの人が懸念している。ハッカーはこれらのコインをどう処理するのか。売り払うのか。この問いに答えるには、同じグループが2025年2月に実行したBybit事件が最良の参考になる。
I. Bybitの振り返り：50万ETH、10日以内にすべてBTCへ転換
2025年2月21日、Bybitから約50万ETHが盗まれ、当時の価値は約14億ドルで、それまでの暗号資産窃盗として史上最大となった。
ハッカーの動きは非常に速かった：
● 1日目：まずstETHやmETHなどのステーキングデリバティブをネイティブETHに変換し、その後大量のアドレスに分割した。
● 5日目：少なくとも16万ETHがすでにTHORChain経由でクロスチェーン送金されていた。
● 9日目：さらに62,200ETHが1日で送金され、累計で約343,000ETHが移動した。
● 10～12日目：Arkhamは約50万ETHがすべてEthereumからネイティブBTCへブリッジされたことを確認した。
どのチャネルが使われたのか？
● THORChain（分散型クロスチェーンプロトコル）：約72%、361,000ETH
● eXch（KYC不要の取引プラットフォーム）：約16%、79,700ETH
● OKX Web3 Wallet：約8%、40,000ETH
これによりTHORChainは約550万ドルの手数料を得て、コミュニティから強い批判を浴びた。eXchは後に2025年5月1日にサービス停止を発表した。
最終的にどれだけ回収できるのか。2か月後、BybitのCEOは数字を公表し、68.6%が追跡可能なまま残り、27.6%が「消失」し、凍結されたのはわずか3.8%だった。
結論：盗まれたETHのほぼすべてがBTCに変換され、実際に回収されたのは4%未満だった。
II. なぜハッカーはBTCに変換しなければならないのか？
1. 誰も凍結できない
2. USDTとUSDCには発行体があり、いつでもアドレスをブラックリストに登録できる。今回のBinance事件では、TetherとCircleが約24億ドル相当のステーブルコインを迅速に凍結した。ETH自体は凍結できないが、EthereumエコシステムのDEX、レンディングプロトコル、クロスチェーンブリッジはいずれもブロックする可能性がある。Bitcoinチェーンにはそのような「チェックポイント」は存在しない。
3. 最も深い流動性と最も高い受容性
4. 世界中のあらゆる店頭ディーラーがBTCを受け入れる。MIT Technology Reviewは早くも2020年に、ハッカーは最終的にBitcoinに戻る傾向があると指摘した。他のどのコインもこれほど広く受け入れられておらず、これほど容易に現金化できないからだ。
5. 長期保管に適している
6. Lazarusは国家レベルのハッカー組織であり、資金を急いで使う必要はない。BTCは数か月、さらには数年間保有し、熱が冷めるのを待ってから分割して現金化できる。
III. BTCに変換した後、どのように現金化するのか？
答えは：地下OTC（店頭）ディーラーを通じて現金化する。米国財務省は、北朝鮮が盗んだ暗号資産を従来の通貨に換金するために通常は場外ディーラーを利用しており、これらのディーラーの大半は中国に所在し、金融機関や規制当局の目を逃れていると指摘している。
一般的な経路：
盗まれたETH → BTCにブリッジ → 分割・ミキシング → 多くの場合トロン・チェーン上のUSDTに変換 → 地下ディーラー → 法定通貨または現物価値
ディーラーはどのように「チェーンを断ち切る」のか。「ミラートレード」を通じてである。
ディーラーは同時に、暗号通貨を必要とするがその出所を気にしない別の買い手グループを抱えている。例えば、資金を海外に移そうとする人々、オンラインギャンブルや詐欺プラットフォーム、グレーマーケットの越境貿易などである。ディーラーはハッカーのコインをこれらの人々に売り、その後、これらの人々が支払った現地の法定通貨をハッカーが指定した人物に手渡す。オンチェーンの追跡はディーラーで終わり、オフチェーンの資金は完全に無関係な当事者から来ている。
法定通貨は最終的にどこへ行くのか。公開されている事例には以下が含まれる：
● 銀行口座とUnionPayカード。多国間制裁監視チーム（MSMT）の報告書は、北朝鮮のサイバー部隊がUnionPayクレジットカードや商業銀行を含む中国の金融システムを利用して、盗んだ暗号資産を現金化していると指摘した。
● ギフトカード。2020年に米国司法省が起訴した2人の中国国民は、北朝鮮のコインを人民元またはAppleギフトカードに変換して現金化したとして告発された。
● 東南アジアのグレー金融プラットフォーム、例えばカンボジアのHuione Group。
● 関与する地域には中国、ロシア、アルゼンチン、カンボジア、ベトナム、UAEなどが含まれる。
IV. 「フラグが立てられたBTCは取引所に入れないのか？」
これは最もよくある質問である。答えは3点ある：
1. ダーティコインはコンプライアンス取引所に入る必要が全くない。グレー経済の買い手に売られ、買い手はコインを継続的な流通と決済に使用し、BinanceやCoinbaseに入金することはない。
2. フラグ付けは永続的な「白黒」ラベルではなく、リスクスコアである。複数層の中継、ミキシング、他の資金との混合を経て、追跡は「確定的」から「確率的」へと移行する。これがBybit事件で資金の27.6%が「消失」した理由である。
3. ディーラーは高い手数料でリスクをカバーする。ディーラーはそれが汚れた金であることを知っており、通常をはるかに超える手数料を請求する。ウォレット、銀行カード、ペーパーカンパニーは使用後に交換され、制裁と凍結のリスクはすべて価格に織り込まれている。
もちろん、この経路にもコストはある：ミキシング手数料、クロスチェーン手数料、ディーラーの割引、凍結された部分により相当な損失が生じる可能性がある。しかし、他にほとんど外貨獲得手段がない制裁国にとって、半分を回収できても依然として巨大な利益である。MSMT報告書は、北朝鮮が2024年1月から2025年9月の間に約28億4000万ドルの暗号資産を盗んだと推定している。
V. これは市場にとって何を意味するのか？● ETHの売り圧力は初期段階に集中している。ハッカーがETHをBTCに変換するプロセスには、実際のオンチェーンでの売却が伴う。Bybitの事例では約10日間を要しており、参考になる。
● BTCの売り圧力は小さく分散している。BTCに変換された後、現金化は主に取引所外のミラートレードを通じて行われ、数ヶ月から数年続く可能性があり、その大半は取引所のオーダーブックを通過しないため、価格への直接的な影響は非常に小さい。
● ハッカーは大幅下落の主因ではない。Bybit盗難当日、ETHは約8%下落し、その後の大幅下落は主に関税やレバレッジ清算などのマクロ要因によるものであった。
今回のBinance事件の違いは何か。盗まれた資産の大部分はステーブルコインであり、すでに大部分が凍結されている。直接凍結できないETHは約19万5000枚、価値は約4億4000万ドルで、Bybitの事例より規模は小さい。さらに、ハッカーはUniswapやAaveなどのプロトコルを利用してステーブルコインをETHに変換しているため、最終的なETH保有量は増加する可能性がある。
次に注目すべき点：THORChainやChainflipなどのクロスチェーンプロトコルのトラフィック変化は、ハッカーがETHをBTCに変換する速度の直接的なシグナルである。
本記事は教育目的のみであり、投資助言を構成するものではない。Binance事件はまだ進行中であり、関連データは更新される可能性がある。