15 億美元加密劫案背後：鏈上蝙蝠俠撕開朝鮮黑客洗錢網

原文標題：Stealing $1.5B in crypto is easy, cashing out is the trap

原文作者：Andjela Radmilac

原文編譯：Saoirse，Foresight News

2025 年 2 月，朝鮮黑客從 Bybit 竊取了約 15 億美元加密貨幣。儘管這次黑客攻擊已經得到大量報導與解析，但事件後續以及被盜資金的去向卻鮮少受到關注。

想要轉移這筆巨額贓款，黑客必須仰賴一整套願意處理被盜資產的人際網絡。而由此形成的關係鏈條，只要投入足夠資金，就能夠被滲透。

化名區塊鏈調查員 ZachXBT 就採取了這一辦法。他拿出 349700 枚 USDC，偽裝成某中文洗錢網絡的客戶，甘願接受每筆交易 5% 的虧損。他最終獲取關鍵線索，追蹤到超過 1200 萬美元與 Bybit 失竊案相關的資金；據他本人表述，這些信息也協助 Tether 冻結了 442000 枚 USDT。

他的調查揭開了一個洗錢網絡。據他判斷，該網絡洗白了超 10 億美元來自朝鮮 Lazarus Group 加密盜竊案的贓款，本次 Bybit 攻擊所得贓款也包含在內。

這項調查指向一個規模龐大的非法金融服務黑市，美國當局過去兩年一直在對此開展打擊行動。

同年 9 月，美國財政部對 Xinbi Guarantee（新幣擔保）實施制裁。美方稱，自 2022 年起，該交易平台通過自身系統處理了超過 240 億美元的數字資產與法幣交易，朝鮮黑客正是使用該平台服務的非法主體之一。

財政部同時提到，Huione Group（匯旺集團）遭到制裁之後，犯罪分子轉而利用 Xinbi Guarantee 繼續開展非法活動。這表明，僅僅關停一個交易平台，無法根除背後的人脈關係與犯罪需求。

令人難以置信的是：入侵交易所、竊取資金，只是整個犯罪鏈條中相對簡單的環節。真正的難點在於，把竊得的加密貨幣兌換成法定貨幣或是其他具備實際購買力的資產。

想要完成變現，黑客必須借助各類支付服務與灰色人脈，而這也為調查人員和監管機構留下了介入的突破口。

投入 349700 枚 USDC 的「臥底客戶」

2025 年 2 月 26 日，FBI 認定 Bybit 失竊案系朝鮮黑客所為，行動代號為 TraderTraitor，並發布預警：被盜資產正被轉換為比特幣及其他加密貨幣，再分散轉入數千個區塊鏈地址。

雖然黑客身份很快確定，但要找到經手贓款的中介機構，仍需要大量調查工作。

ZachXBT 稱，他在 Telegram 與 Discord 的公開群組內發現，有超過 15 個帳號承接與 Bybit 贓款相關的交易業務。這意味著，至少在部分洗錢環節中，中介會公開招攬業務、撮合交易。

他聯繫了其中數個帳號，最終對接上電報暱稱為 Jimmy Green 的聯絡人，對方聲稱可以協助跨鏈轉移加密貨幣。

ZachXBT 表示，2025 年 3 月 6 日，他向一個全新的以太坊地址轉入 349700 枚 USDC，通過該聯絡人將以太坊鏈上的 USDC 兌換為波場鏈的 USDT。為塑造真實客戶的身份，他接受了並不佔優的兌換條件。

這 349700 枚 USDC 是用於交易的本金，並非調查帶來的淨虧損；他願意承擔每筆交易 5% 的損失，以此換取普通鏈上分析無法獲取的情報。

這類交易本身也蘊藏風險：中介有可能直接卷款跑路。

黑客所仰賴的中介本身也可能背信棄義、侵吞贓款。由於不存在具備強制效力的商業保障，圈內聲譽和私人交情，成為維繫這套合作的核心。

而這恰恰為 ZachXBT 提供了滲透機會：對於服務方而言，願意反覆開展交易的客戶具備更高價值。

憑藉這層臥底關係，他獲取的信息不再局限於錢包地址。中介會在執行交易前，和他商議資金轉移方案。ZachXBT 得以將私下溝通的內容，與公鏈上留存的交易記錄交叉比對。

有一次，中介在交易尚未發生時，就和他商量把資金轉移至 Solana 鏈。其餘兌換記錄以及錢包關聯線索，据信幫助他鎖定了一大批和 Bybit 失竊案相關的資產。

這是調查的關鍵轉折點：鏈上數據只能記錄交易行為，卻無法確認交易背後的行為人及其真實動機。交易雙方的私下溝通記錄，才是鎖定資金控制者、明確資金用途的核心證據。

儘管 ZachXBT 的調查結論與 FBI 官方記錄並非完全吻合，但這仍是近年來極具分量的調查行動。它證明，單憑區塊鏈數據無法完成的工作，可以依靠人際關係與商業往來取證實現；同類方法也有望應用於其他加密盜竊案件的調查。

追蹤到 1200 萬美元≠成功追回 1200 萬美元

ZachXBT 稱，通過與 Jimmy Green 的對接，他鎖定了分布於多條公鏈、總規模超 1200 萬美元的 Bybit 涉案資金集群。

他還透露，此後 Tether 冻結了 442000 枚和朝鮮黑客案件相關的 USDT。這說明，當贓款依舊停留在 USDT、USDC 這類由發行方管控的代幣中時，快速識別被盜資產，對挽回損失至關重要。

需要區分兩組數據：追蹤到 1200 萬美元，並不代表這筆資金全部遭到凍結；凍結 442000 枚 USDT，也不等於這些代幣已經被沒收、返還 Bybit。

442000 枚 USDT 這一數字，以及該筆凍結和本次調查的關聯，均來自 ZachXBT 的個人表述；Tether 也曾公布過針對 Bybit 失竊案規模更大的凍結操作。

從發現被盜加密貨幣、找到經手中介，到取得對贓款的法律或技術控制權，中間存在巨大鴻溝。

公鏈本身無法阻止資產被再次轉移。一旦資金流經不願配合調查、或是處於司法管轄範圍之外的服務平台，情況會更為棘手。

中心化發行的穩定幣為監管留下介入抓手：發行方擁有管理權限，可以限制特定地址轉帳。原生比特幣不存在發行方提供的凍結機制；不過，當局取得合法授權後，依舊可以扣押托管機構保管的比特幣，或是掌控對應私鑰。

這就意味著，調查不僅需要精準溯源，查到的資金餘額還必須處於具備技術能力與執法權限的機構的管轄範圍內。

Bybit 開展資產追回工作期間，法院禁令疊加金融中介的配合，可以在盜竊發生很久之後限制資產流動，但無法保證全額追回。

問題在於，被盜加密貨幣會在不同錢包、公鏈、托管方與交易對手之間不斷拆分流轉。資金每經過一個新平台，追討方往往就要重新搜集證據，啟動新一輪法律程序。

這也就是為什麼調查人員能夠看清資金流向，卻無力阻止下一筆轉帳，或是拿回被盜資金。

規模達 40 億美元的加密洗錢業務

借助外部中介洗白贓款並非 Bybit 失竊案獨有的現象。美國執法檔案顯示，當局長期在追查各類灰色業務 ------ 這類業務專門把被盜加密貨幣轉化為犯罪分子可以實際使用的資產。

2020 年 3 月，美國司法部起訴兩名中國公民田寅寅、李家棠，指控二人洗錢總價值超 1 億美元的加密貨幣，贓款大多源自交易所黑客攻擊。

這些指控表明，即便沒有親自實施黑客入侵，中介人在整個犯罪鏈條中依舊扮演著核心角色。

財政部的制裁公告還披露，田寅寅曾將近 140 萬美元的比特幣兌換為蘋果 iTunes 預付禮品卡。由此可見，洗錢鏈條的末端未必是複雜的跨國金融服務，普通零售儲值卡也會被加以利用。

同樣的變現需求，在一些撮合犯罪分子與結算、兌換、支付服務商的交易平台上，以更大規模運作。

2025 年 5 月，美國財政部金融犯罪執法網絡（FinCEN）將總部位於柬埔寨的 Huione Group（匯旺集團）列為重點洗錢金融機構。調查發現，2021 年 8 月至 2025 年 1 月，該集團洗白的非法所得至少達到 40 億美元。

其中 FinCEN 確認，至少有 3700 萬美元加密貨幣來自朝鮮網絡盜竊，其餘贓款來源於各類投資詐騙與網絡騙局。

40 億美元是上述全部犯罪行為的涉案總金額；3700 萬美元，是該機構核實到的、與朝鮮相關贓款的最低估值。

FinCEN 的評估報告指出，該集團的反洗錢與客戶身份核驗機制存在嚴重漏洞。身份核查的缺失，使得集團下屬機構得以間接接收朝鮮黑客攻擊得來的贓款。

這份調查的意義並不局限於單筆交易。如果一家中介可以持續提供支付通道，就會成為多個犯罪團伙共用的犯罪基礎設施，各個犯罪組織無需自行搭建贓幣變現渠道。

資金大量匯集於這類平台，它們也就成為制裁、資產扣押、切斷銀行合作以及其他執法行動的打擊目標。

Huione Group 的交易平台承接了海量交易與非法業務。即便 Telegram 封禁了該網絡的部分渠道，平台運營方依舊試圖維持業務運轉。

平台總交易量和 FinCEN 統計核實的非法所得，統計口徑並不相同，不能把所有流經平台的資金直接認定為已經證實的犯罪贓款。

犯罪平台可以關停，但犯罪客戶依舊存在

難題在於：即便非法交易平台的基礎設施被摧毀，催生這類業務的犯罪需求並不會消失，只要犯罪分子還能聯繫到其他替代服務商。

2026 年 6 月，美國司法部宣布查封 Huione Group 子公司所使用的雲伺服器後台。據稱，這些伺服器被用於轉移詐騙、網絡犯罪以及其他非法活動的收益。

此次行動是在美方早前對該集團實施限制措施之後展開，目標是支撐非法資金轉移與資產隱匿的技術設施。

然而摧毀基礎設施，並不能自動切斷犯罪客戶與接單中介之間的聯繫。

9 月 9 日，財政部的制裁公告清晰揭示了這一局限：當局制裁了 Xinbi Guarantee。這是一個非法交易市場，負責撮合犯罪組織與能夠提供金融服務、技術及其他資源的商戶。

財政部表示，自 2022 年前後起，Xinbi 處理的數字資產與法幣交易總規模折合超 240 億美元，業務主要面向東南亞市場。

如此龐大的體量，讓該平台成為打擊犯罪組織金融基礎設施執法行動的重點對象。

財政部還提到，在 FinCEN 整治 Huione 之後，網絡犯罪分子將業務遷移至 Xinbi，以此維持自身運作。這個新平台為同一批客戶提供幾乎完全相同的服務。

監管機構描繪出一個市場化的灰色生態：當原有渠道因執法打擊變得不再可靠，參與者就會轉而尋找下一家服務商。

在針對 Huione 的打擊行動期間，Telegram 下架了數千個 Huione Guarantee 相關頻道，相關商戶紛紛投奔其他替代交易平台。

正因如此，打擊行動的成效，不能只用關停的網站、帳號、伺服器數量來衡量。只要犯罪客戶仍有非法金融服務的需求，就會想方設法找到仍在運營的服務商，重建資金通道。

當然，打擊行動依舊會抬高犯罪成本，比如資產被凍結、結算失敗、熟悉的交易對手消失。但只要犯罪行為有利可圖，轉移贓款的經濟動機就會一直存在。

執法機構面臨的困境，就是不斷抬高整個替代服務商網絡的犯罪成本，降低其業務穩定性。

Tether 凍結操作，迫使加密洗錢網絡轉向其他支付工具

針對 Xinbi Guarantee 的執法行動表明，金融限制可以擾亂犯罪活動，但也會倒逼犯罪團伙更換支付渠道。

Tether 開展了一系列凍結操作，在至少 22 個 Xinbi 相關錢包中凍結總計超 4500 萬美元的 USDT。

隨即該交易平台告知用戶，將轉向使用 USDD。這種穩定幣不像 USDT，發行方沒有地址凍結權限。

這是一個關鍵轉變：當涉案資金還處於發行方管控範圍內，代幣凍結功能對調查人員極具價值；想要規避監管的犯罪客戶，就會傾向選用管控機制不同的資產。

這件事說明，支付體系的某一環遭到限制，交易就會流向其他渠道。調查人員既要追蹤資產的去向，也要追查提供通道的服務商。

在 9 月的整治行動中，當局同樣打擊了 Xinbi 的相關基礎設施，扣押價值超 5200 萬美元的加密貨幣。與此同時，資產提現速度加快，競品交易平台據稱開始限制洗錢商戶入駐。

上述案件，和 ZachXBT 提及的朝鮮黑客相關 442000 枚 USDT 凍結屬於兩起獨立事件。公開報導無法證實二者涉及相同地址、人物或是資金。

但兩個案例都印證一點：犯罪團伙高度依賴金融中介。即便原始盜竊已經完成，中介服務依舊給監管留下介入窗口。

如果代幣發行方具備資產凍結能力，風險就集中在可識別地址內的資金餘額。如果一個平台為多個犯罪團伙提供服務，它的薄弱點就包括基礎設施、商戶人脈、結算安排。

兩條路徑都可以提升贓款轉移與使用的成本和風險。

撮合交易的中間人，更難被替代

ZachXBT 的調查之所以能夠取得突破，核心在於證明：通過付費臥底建立客戶關係，可以挖出負責安排交易的人员信息。

長期經手被盜加密貨幣的犯罪中介，會積累圈內口碑，篩選固定的交易夥伴，摸清哪些服務可以完成交易、不會截留贓款。

這類人脈關係，會讓犯罪運作隨著時間推移變得更加高效。尤其當客戶需要大額轉賬，既不想暴露身份，又擔心交易對手卷走資金時。

不過一旦老牌服務商被打掉，這套合作關係很難迅速重建。替代服務商往往收費更高、拒收可疑資金，或是業務穩定性不足。

這種依附關係，也為調查帶來新的情報來源。服務商可能會透露未來的交易計劃、其他參與方，以及完成訂單所需的支付基礎設施。

調查人員依舊需要結合鏈上記錄與其他證據核驗情報。一個地址收到盜竊相關資金，不代表收款方知情，或是主觀參與犯罪。

但將私下聊天記錄與後續區塊鏈資金流向交叉比對，能夠減少信息的不確定性，這是單純追蹤交易流水無法做到的。

更多執法案例表明，想要削弱非法金融服務的吸引力，不能只是定期關停網站。催生這類生意的客戶群體與牟利動機，會比網站伺服器存續得更久。

不過扣押資產、切斷金融通道、起訴服務商、鎖定結算控制人，能夠改變犯罪行為的成本收益。只是不同服務商，所能承受的風險臨界點各不相同。

這也解釋了：加密貨幣的被盜總金額，並不等同於犯罪分子成功變現、可供揮霍的資金；更不能直接認定這筆資金被用於特定軍事或國家開支。

原始被盜金額、中介地址流轉金額、成功兌換為實際購買力的金額，以及執法機構最終追回的金額，是四組相互獨立的統計口徑，均需要分別舉證。

對朝鮮黑客而言，就算入侵行動取得成功，依賴洗錢服務也會帶來後續風險。拿到被盜資產，不等於就有人願意接收、兌換並最終完成消費。

ZachXBT 的臥底行動說明，這種變現需求，可以將客戶關係轉化為調查突破口。美國針對 Huione 與 Xinbi 的打擊行動同樣證明，即便犯罪客戶不斷更換陣地，灰色服務商本身依舊可以成為執法打擊目標。

犯罪行為的核心軟肋在於：竊取加密貨幣，和實際使用加密貨幣完全是兩回事。後者依舊依托商業合作關係，所有參與方都有需要保全的資產、聲譽與經濟利益。

朝鮮黑客想要把贓款變成可以花銷的錢，就必須再次踏入需要建立信任的人際網絡；而提供服務的中間人，自身也要承擔資金受損的風險。