編輯 | 吳說區塊鏈、ChatGPT
TL;DR
· Bitget 將涉案資產金額上調至約 3.875 億美元，朝鮮歸因仍待進一步確認。 Bitget 於 2026 年 9 月 25 日表示，金額調整來自補充統計，並非新增盜竊，部分資產已被凍結。Elliptic 判斷此次攻擊「高度可能」與朝鮮有關，但完整技術調查報告尚未公佈。
· 專業中介接手盜款，攻擊者可能提前獲得結算。 zeroShadow 稱，2025 年 2 月至 6 月，超過 10 億美元 Bybit 盜款已被洗錢處理。研究認為，中介可能較早接管資金，向攻擊者支付扣費後的對價，並承擔後續凍結風險。該估計不等於同等金額已全部兌現，也不代表攻擊者的淨收益。
· 換幣、跨鏈和混幣增加追蹤難度，為後續轉移爭取時間。 Elliptic 追蹤發現，Bybit 盜款經過多個錢包、兌換服務及跨鏈渠道，其中約 2 億美元流經 eXch。這些操作可以延長調查路徑，但不會自動刪除交易記錄，也不代表資金已全部兌換成法幣。
· 兌現依賴場外交易與結算網絡，加密資產也可直接用於貿易收付款。 Elliptic 稱，部分 Bybit 盜款轉入 Tron、兌換為 USDT 後，經疑似中國場外交易服務兌現。MSMT 另記錄了朝鮮人員以 USDT 收取部分設備銷售款的案例，但其與具體盜幣案件的聯繫仍需單獨證據。
· 追蹤到資金，不等於能夠凍結或追回。 原生 BTC、ETH 沒有可直接執行凍結的中央發行方，追索通常需要平台配合、發行方措施或執法機關取得資產控制權。美國司法部曾披露扣押涉及朝鮮相關盜幣案件的超過 1,500 萬 USDT，但從凍結、扣押到最終返還，仍需後續程序。
2026 年 9 月 25 日，Bitget 更新安全事件調查進展，將轉入攻擊者地址的資產金額由最初的約 3.516 億美元修正為約 3.875 億美元。公司表示，金額變化來自對 Zcash、TRON 等相關轉賬的補充統計，並非發生了新的盜竊，部分涉案資產已在行業合作方協助下被凍結。
區塊鏈分析公司 Elliptic 同日表示，此次攻擊「高度可能」與朝鮮有關，依據包括涉案資金與此前朝鮮相關盜幣案件洗錢地址之間的聯繫。不過，這仍是研究機構的歸因判斷，Bitget 尚未公佈完整的技術調查報告。
隨著追蹤工作展開，一個問題再次受到關注：被盜資產的轉移記錄公開可查，交易所也能識別可疑地址，攻擊者如何將數億美元加密貨幣變成可使用的資金？
Bybit 等案件的後續調查顯示，盜款處理已經形成專業分工。攻擊者通過換幣、跨鏈和多層轉賬增加追蹤難度，專業中介則接手資產，提供兌換、資金置換與鏈下結算。理解這套網絡，需要同時觀察鏈上的交易路徑，以及交易背後負責收款和付款的人。
專業洗錢中介如何接手盜款
2025 年 2 月，Bybit 遭竊約 15 億美元加密資產。美國聯邦調查局隨後將事件歸因於朝鮮，並表示攻擊者已將部分盜款兌換為比特幣及其他加密資產，分散至多條區塊鏈上的數千個地址。
安全公司 zeroShadow 在同年 7 月的報告中稱，2 月至 6 月期間，來自該案的超過 10 億美元盜款已被洗錢處理。這一估計不等於同等金額已全部兌換成法幣，也不代表攻擊者最終獲得的淨收益。該公司分析認為，專業洗錢人員可能在較早階段便接管資金，向朝鮮攻擊者支付扣除費用後的對價，再負責處理收到的盜款。Elliptic 在 8 月發佈的半年復盤中，也認為專業「洗錢即服務」網絡很可能從早期便參與其中。
在這種模式下，攻擊者獲得結算的時間，可能早於原始盜款完成後續轉移的時間。中介接手資產後，需要繼續尋找兌換和兌現渠道，並承擔資金被凍結、扣押或無法轉出的風險。
這也意味著，鏈上被持續追蹤的錢，未必始終由最初實施攻擊的人控制。調查者除了確認盜款流向，還需要識別何時發生了控制權轉移，以及中介向攻擊者交付了甚麼。
Chainalysis 於 2026 年 9 月披露的 Xinbi 商戶網絡調查，提供了另一種資金置換案例。該公司稱，來自 Bybit、WazirX 等案件的數千萬美元盜款流經相關商戶網絡。一些專業中介接收容易被追蹤的被盜資產，再向客戶交付另一批穩定幣，替換資金中還包括來自其他詐騙活動的收益。
這類交易將不同犯罪活動的資金混合在同一個結算網絡中。攻擊者可以減少直接處理盜款的工作，中介則通過收費獲利。所謂「乾淨資產」，在這裡主要指與原始盜竊的關聯更難被直接識別，並不意味著其來源已經合法。
換幣、跨鏈和混幣，主要是在爭取時間
專業中介之外，鏈上轉移仍是洗錢過程的重要組成部分。
Elliptic 對 Bybit 案的早期追蹤顯示，攻擊者迅速將部分被盜代幣兌換為 ETH，隨後通過多個錢包、兌換服務和跨鏈渠道繼續轉移。分散地址、改變資產種類和跨越不同網絡，會增加調查者重新連接資金路徑的工作量。混幣及隱私工具則進一步降低資金輸入與輸出之間的可關聯性。
這些操作可以提高追蹤成本，但不會自動刪除原有交易記錄。對於攻擊者而言，複雜路徑的重要作用，是在資金被識別、相關機構收到通知並採取措施之前，爭取繼續轉移的時間。
部分兌換服務也成為關鍵節點。Elliptic 在 2025 年 4 月的報告中估計，約 2 億美元 Bybit 盜款流經不要求客戶身份驗證的兌換服務 eXch。該數字反映資金經其處理的規模，並不代表同等金額已經全部兌換成法幣。
因此，一筆盜款經過混幣器或跨鏈服務後，仍然可能被識別。最終能否變現，還取決於後續是否存在願意接手的交易對手，以及這些交易對手能否提供現實中的結算渠道。
資金出口未必是一筆美元
Elliptic 在 Bybit 事件半年復盤中表示，部分能夠繼續追蹤的盜款最終到達 Tron 網絡，被兌換為 USDT，再經疑似中國場外交易服務兌現。這說明，鏈上轉移之後，連接加密資產與法幣體系的場外交易商仍發揮著重要作用。
對執行客戶盡職調查和交易監測的平台而言，接收與重大盜幣案件關聯的資金，會觸發合規風險。但非法中介的業務本身，就包括接手這些資產並尋找後續結算渠道。
美國財政部於 2020 年公佈的一宗案件顯示，這種分工早已存在。財政部指稱，兩名中介從朝鮮控制的賬戶接收了合計超過 1 億美元的交易所盜款，其中一人通過與交易所賬戶關聯的銀行賬戶轉移了等值超過 3,400 萬美元的涉案資金。
此類中介提供的服務，包含賬戶、交易對手和資金週轉能力。鏈上可以看到資產進入某個地址，但雙方約定的兌換價格、另一端的付款方式，以及最終受益人，往往需要結合平台記錄和鏈下調查才能確認。
加密資產的作用也不局限於兌換法幣，還可用於貿易收付款。多邊制裁監測小組（MSMT）在 2025 年發佈的報告中，記錄了朝鮮有關人員使用或計劃使用 USDT 進行貿易結算的情況，涉及軍事設備及原材料等交易。其中，一名朝鮮採購官員向老撾客戶出售設備，對方以 USDT 支付了部分款項。
這一案例顯示，穩定幣已經被用於部分貿易收款。不過，此類交易與某一宗盜幣案件之間是否存在直接聯繫，仍需要單獨的資金證據。
為甚麼看得見資金，卻難以追回
區塊鏈分析能夠追蹤部分資金路徑、識別相關地址，但公開交易記錄並不賦予調查者控制資產的權限。
Elliptic 指出，部分代幣發行方具備凍結能力，原生 BTC、ETH 則沒有可以直接執行同類凍結操作的中央發行方。因此，即使一個地址已被廣泛標記，外部機構也不能僅憑標記將其中的資產轉回。
追索通常需要出現能夠實際控制資金的環節，例如資產進入配合調查的托管平台，發行方對具有凍結功能的代幣採取措施，或執法機關依法取得相關賬戶、設備及資產的控制權。識別地址、協調機構和完成跨境程序都需要時間，資金卻可能在此期間繼續移動。
被凍結的資產，也不等於已經返還受害者。美國司法部在 2025 年 11 月披露，FBI 已於當年 3 月扣押超過 1,500 萬 USDT，相關資金涉及朝鮮 APT38 被指實施的四宗 2023 年加密平台盜竊。司法部隨後提出民事沒收申請，尋求最終向合法所有人返還資產。
從這些案件看，朝鮮相關盜幣活動的變現能力，建立在鏈上轉移與專業結算網絡的結合之上。換幣、跨鏈和混幣增加追蹤難度，中介則將盜款轉換成攻擊者能夠支配的價值。追索工作也因此需要同時覆蓋資金路徑、服務商賬戶和中介網絡。
被盜金額反映的是事件發生時的資產損失。攻擊者最終獲得多少收益，還取決於後續結算、幣價變化、中介收費，以及有多少資金在流轉過程中被凍結或追回。