727財經從Bybit案復盤看，黑客如何10天將50萬ETH換成BTC，揭秘跨鏈洗幣、地下OTC變現全過程。ETH賣壓集中、BTC衝擊有限，黑客不是大跌主因。
作者：SoSoValue Research
10 月 29 日晚，幣安遭遇疑似史上最大規模的黑客攻擊。Chainalysis 估計被盜金額約 59 億美元，鏈上偵探 ZachXBT 認為大概率是朝鮮 Lazarus 所為。
很多人關心：黑客會怎麼處理這些幣？會不會砸盤？要回答這個問題，最好的參考就是 2025 年 2 月同一伙人乾的 Bybit 案。
一、復盤 Bybit：50 萬 ETH，10 天全部換成 BTC
2025 年 2 月 21 日，Bybit 被盜約 50 萬 ETH，當時價值約 14 億美元，是此前史上最大的加密貨幣盜竊案。
黑客的處理速度非常快：
● 第 1 天： 先把 stETH、mETH 等質押衍生品換成原生 ETH，再拆分到大量地址。
● 第 5 天： 已通過 THORChain 跨鏈轉移了至少 16 萬 ETH。
● 第 9 天： 單日再轉移 6.22 萬 ETH，累計約 34.3 萬 ETH 已經轉走。
● 第 10–12 天： Arkham 確認，約 50 萬 ETH 已全部從以太坊跨成原生 BTC。
用了哪些渠道？
● THORChain（去中心化跨鏈協議）：約 72%，36.1 萬 ETH
● eXch（無 KYC 兌換平台）：約 16%，7.97 萬 ETH
● OKX Web3 錢包：約 8%，4 萬 ETH
THORChain 因此還賺了約 550 萬美元手續費，引起社區強烈批評。eXch 後來在 2025 年 5 月 1 日宣佈關停。
最終能追回多少？ 兩個月後，Bybit CEO 公佈的數據是：68.6% 仍可追蹤，27.6% 已經「消失」，只有 3.8% 被凍結。
結論：被盜的 ETH 幾乎全部換成了 BTC，真正追回的不到 4%。
二、為甚麼黑客一定要換成 BTC？
1. 沒人能凍結
2. USDT、USDC 有發行方，隨時可以拉黑地址。這次幣安事件中，Tether 和 Circle 很快凍結了約 24 億美元穩定幣。ETH 本身不能凍結，但以太坊生態里的 DEX、借貸協議、跨鏈橋都可能攔截。比特幣鏈上沒有這些「關卡」。
3. 流動性最深，接受度最高
4. 全球任何一個場外幣商都收 BTC。MIT Technology Review 早在 2020 年就指出，黑客最終往往都要回到比特幣，因為沒有別的幣接受度這麼廣、這麼容易換成現金。
5. 適合長期存放
6. Lazarus 是國家級黑客組織，不急著用錢。BTC 可以放幾個月甚至幾年，等風頭過去再分批變現。
三、換成 BTC 之後怎麼變現？
答案是：通過地下 OTC（場外交易）幣商出金。
美國財政部指出，朝鮮通常通過場外幣商把被盜加密資產換成傳統貨幣，這些幣商多數在中國，以避開金融機構和監管的視線。
大致路徑：
被盜 ETH → 跨鏈換成 BTC → 拆分、混幣 → 常換成波場鏈上的 USDT → 地下幣商 → 法幣或實物價值
幣商是怎麼「斷鏈」的？靠「對敲」。
幣商手裡同時有另一批需要加密貨幣、但不在乎來源的買家，比如想把資金轉出境的人、網賭和詐騙平台、灰色跨境貿易。幣商把黑客的幣賣給這些人，再把這些人支付的本地法幣交給黑客指定的人。鏈上的追蹤到幣商就斷了，鏈下的錢來自完全不相干的人。
法幣最終落到哪裡？ 公開案例包括：
● 銀行賬戶、銀聯卡。多邊制裁監督小組（MSMT）的報告指出，朝鮮網絡部隊曾利用中國金融體系，包括銀聯信用卡和商業銀行來兌現被盜加密資產。
● 禮品卡。美國司法部 2020 年起訴的兩名中國籍人員，被指控把朝鮮的幣換成人民幣或蘋果禮品卡來變現。
● 東南亞灰色金融平台，比如柬埔寨的匯旺集團。
● 涉及的地區包括中國、俄羅斯、阿根廷、柬埔寨、越南、阿聯酋等。
四、「被標記的 BTC 不是進不了交易所嗎？」
這是最常見的疑問。答案分三點：
1. 髒幣根本不需要進合規交易所。 它們賣給的是灰色經濟里的買家，這些人拿幣是用來繼續流轉、結算的，不會充值到幣安或 Coinbase。
2. 標記不是永久的「黑白」標籤，而是風險評分。 經過多層中轉、混幣、和其他資金混合後，追蹤會從「確定」變成「概率」。Bybit 案中 27.6% 的資金「消失」就是這個原因。
3. 幣商用高收費覆蓋風險。 幣商知道是髒錢，會收取遠高於正常水平的費用。錢包、銀行卡、空殼公司用完就換，被制裁、被凍結的風險都算在價格里。
當然，這條路也有代價：混幣費、跨鏈費、幣商折價、被凍結的部分，損耗可能相當可觀。但對一個受制裁、幾乎沒有其他外匯來源的國家來說，拿回一半也是巨大收益。MSMT 報告估計，朝鮮在 2024 年 1 月到 2025 年 9 月間盜取了約 28.4 億美元加密資產。
五、對行情意味著甚麼？
● ETH 賣壓集中在前期。 黑客把 ETH 換成 BTC 的過程是真實的鏈上賣出。Bybit 案用了約 10 天，可以作為參考。
● BTC 賣壓小而分散。 換成 BTC 後，出金主要通過場外對敲，可能持續數月甚至數年，大多不經過交易所盤口，對價格直接衝擊很小。
● 黑客不是大跌的主因。 Bybit 被盜當天 ETH 跌了約 8%，之後的大跌主要來自關稅等宏觀因素和槓桿出清。
這次幣安事件有甚麼不同？ 被盜資產里大頭是穩定幣，已被大量凍結；直接無法凍結的 ETH 約 19.5 萬枚，價值約 4.4 億美元，規模小於 Bybit 案。另外，黑客正在用 Uniswap、Aave 等協議把穩定幣換成 ETH，所以最終持有的 ETH 可能會增加。
接下來值得關注的： THORChain、Chainflip 等跨鏈協議的流量變化，這是黑客 ETH 換 BTC 速度的直接信號。
本文僅為科普，不構成投資建議。幣安事件仍在發展中，相關數據可能會更新。