# 朝鲜如何分三步洗白从 Bybit 盗走的 15 亿美元

> 2025 年 2 月 21 日，Bybit 在一笔交易中损失约 15 亿美元。接下来是洗钱：两小时内分散到 50 个钱包，剥离链，九天内以太币全部换成比特币，最后钱汇集到朝鲜自己的钱包里。一支 78 秒的科普短片，每个数字都有出处。

- URL: https://oliverz.dev/zh/videos/bybit-laundering
- Author: Oliver Zhang (https://oliverz.dev)
- Language: zh-Hans
- Published: 2026-11-01
- Tags: security, crypto, explainer
- Video: https://www.youtube.com/shorts/nq_rNyClr8E

> **一句话总结：** 2025 年 2 月 21 日，被 FBI 认定为朝鲜方面的黑客在一笔交易中从交易所 Bybit 盗走约 401,000 枚以太币，约合 15 亿美元。洗钱分三步。拆分：两小时内，这些以太币就分散到 50 个钱包里，之后又经过越来越多的地址继续转移，这正是 Lazarus 过去洗钱用过的剥离链（peel chain）手法。换形态：通过兑换服务（大多基于 THORChain），以太币变成了比特币，九天内 50 个钱包全部清空。隐入暗处：先进混币器，再进入那些早已存放着朝鲜以往黑客赃款的地址。第五天，FBI 点名朝鲜，并要求交易所和跨链桥封锁这些地址。

## 盗窃：一笔交易

FBI："North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025."（朝鲜应对 2025 年 2 月 21 日前后从加密货币交易所 Bybit 盗走约 15 亿美元虚拟资产一事负责。）Chainalysis 给出的数字是 "approximately 401,000 ETH"（约 401,000 枚 ETH）。

突破口在 Safe{Wallet}，也就是 Bybit 使用的多重签名服务。Sygnia 发现，"a macOS workstation belonging to a Safe{Wallet} developer… was compromised on February 4, 2025"（一名 Safe{Wallet} 开发者的 macOS 工作站……于 2025 年 2 月 4 日被攻破），而植入 Safe 网页界面的代码带有 "an activation condition, set to execute the transaction manipulation only on a specific Bybit's cold wallet"（一个触发条件，设定为只对 Bybit 的某个特定冷钱包执行交易篡改）。于是 "the Safe{Wallet} user interface displayed legitimate transaction data while malicious transactions were signed and executed."（Safe{Wallet} 的用户界面显示的是正常的交易数据，而被签名并执行的却是恶意交易。）

## 第一步：拆分，再剥离

Elliptic："Within two hours of the theft, the stolen funds were sent to 50 different wallets, each holding approximately 10,000 ETH."（盗窃发生后两小时内，被盗资金就被转入 50 个不同的钱包，每个钱包约有 10,000 枚 ETH。）

接着，资金轨迹越拉越长。所谓剥离链，用 2020 年一篇对美国司法部起诉书的概述来说："a single address begins with a relatively large amount of cryptocurrency. A smaller amount is then "peeled" off this larger amount… and the remainder is transferred to a one-time change address. This process is repeated – potentially hundreds or thousands of times"（一个地址起初持有相对大额的加密货币。随后从这笔大额中"剥"出一小部分……剩余部分转入一个一次性的找零地址。这个过程不断重复，可能重复数百甚至数千次）。这是 Lazarus 的老手法。Chainalysis 谈到那起 2020 年的案子时说："Lazarus collaborated with Tian and Li to launder the stolen cryptocurrency, conducting hundreds of transactions and forming peel chains that further obfuscated the path of funds."（Lazarus 与 Tian 和 Li 合作清洗被盗的加密货币，进行了数百笔交易，形成剥离链，进一步掩盖了资金的去向。）

我们还没有看到哪份资料专门追踪过 Bybit 这笔资金中的剥离链，所以视频里的那条链只是示意。FBI 确实说过的是：被盗资产 "dispersed across thousands of addresses on multiple blockchains."（分散到多条区块链上的数千个地址中。）

## 第五天：FBI

2 月 26 日，FBI 点名朝鲜（"FBI refers to this specific North Korean malicious cyber activity as "TraderTraitor""，即 FBI 将朝鲜的这一类恶意网络活动称为"TraderTraitor"），并列出了相关地址："The following Ethereum addresses are holding or have held assets from the theft, and are operated by or closely connected to North Korean TraderTraitor actors"（以下以太坊地址持有或曾持有这次盗窃的资产，由朝鲜 TraderTraitor 行为者操控或与其密切相关）。我们数了一下，共有 51 个；公告本身没有给出数量。

它的请求是："FBI encourages private sector entities including RPC node operators, exchanges, bridges, blockchain analytics firms, DeFi services, and other virtual asset service providers to block transactions with or derived from addresses TraderTraitor actors are using to launder the stolen assets."（FBI 鼓励私营部门实体，包括 RPC 节点运营商、交易所、跨链桥、区块链分析公司、DeFi 服务及其他虚拟资产服务提供商，封锁与 TraderTraitor 行为者用于洗白被盗资产的地址之间的交易，以及源自这些地址的交易。）

## 第二步：换个形态

TRM Labs 在 3 月 3 日写道："All of the stolen ETH has now been moved to new addresses, with the vast majority bridged to Bitcoin, mostly via services using THORchain."（所有被盗的 ETH 现在都已转移到新地址，其中绝大部分已跨链换成比特币，主要通过使用 THORchain 的服务。）Elliptic 补上了时间线：这 50 个钱包 "were then emptied one by one over the next nine days. The last of the original 50 wallets holding the stolen funds was emptied on 3rd March."（在随后九天里被逐个清空。最初存放被盗资金的 50 个钱包中，最后一个在 3 月 3 日被清空。）

## 第三步：隐入暗处

TRM："We have now entered that second phase and have seen an initial tranche of Bybit's BTC being deposited to mixers including Wasabi and CryptoMixer."（我们现在已进入第二阶段，并看到第一批来自 Bybit 的 BTC 被存入 Wasabi 和 CryptoMixer 等混币器。）Elliptic："this bitcoin has now begun to be passed through mixers, to further obfuscate the transaction trail."（这些比特币现已开始经过混币器，以进一步掩盖交易轨迹。）

而且，这笔钱和更早的钱汇到了一起。Chainalysis："Funds from the Bybit exploit have also consolidated in addresses holding funds from other known DPRK-linked attacks, providing further evidence that the nation state actors are behind this latest incident."（来自 Bybit 攻击的资金也汇集到了存有其他已知朝鲜相关攻击资金的地址中，进一步证明这次事件的幕后是国家级行为者。）

## 然后是兑现，以及这些钱用来做什么

最后一步是把加密货币换成能花的钱。联合国专家小组列出的模式之一是："Heavy reliance on third party launderers and over-the-counter brokers"（严重依赖第三方洗钱者和场外经纪商）。美国财政部也制裁了 "a PRC-based OTC virtual currency trader who facilitated the conversion of virtual currency stolen by DPRK actors working with the Lazarus Group to fiat currency."（一名以中国为据点的场外虚拟货币交易商，他协助与 Lazarus Group 合作的朝鲜行为者把盗来的虚拟货币兑换成法定货币。）

用来做什么？同一份联合国报告写道："A second Member State reported that 40 per cent of the weapons of mass destruction programmes … are funded by illicit cybermeans."（另一会员国报告称，40% 的大规模杀伤性武器计划……由非法网络手段提供资金。）这是某一个国家向专家小组提供的数字，不是专家小组自己的结论。

## 通常是怎么开始的

不是从代码开始，而是从一条消息开始。CISA："The messages often mimic a recruitment effort and offer high-paying jobs to entice the recipients to download malware-laced cryptocurrency applications"（这些消息常常伪装成招聘，以高薪职位引诱收件人下载带有恶意软件的加密货币应用）。FBI 列出的警示信号之一："Requests to conduct a 'pre-employment test' or debugging exercise that involves executing … scripts, or GitHub repositories."（要求进行"入职前测试"或调试练习，其中需要运行……脚本或 GitHub 仓库。）

1. 不要运行陌生人发给你的代码，哪怕工作机会再诱人。
2. 签名之前，在设备本身上核对交易内容，而不是看发起请求的那个网页。

## 来源

- FBI IC3，[North Korea Responsible for $1.5 Billion Bybit Hack](https://www.ic3.gov/PSA/2025/PSA250226)，2025 年 2 月 26 日
- Elliptic，[The largest theft in history: following the money trail from the Bybit hack](https://www.elliptic.co/blog/bybit-hack-largest-in-history)，2025 年 2–3 月
- TRM Labs，[Bybit hack update: North Korea moves to next stage of laundering](https://www.trmlabs.com/resources/blog/bybit-hack-update-north-korea-moves-to-next-stage-of-laundering)，2025 年 3 月 3 日
- Chainalysis，[Collaboration in the wake of record-breaking Bybit theft](https://www.chainalysis.com/blog/bybit-exchange-hack-february-2025-crypto-security-dprk/)，2025 年 2 月 24 日
- Chainalysis，[New OFAC sanctions and DOJ complaint for North Korea-linked cryptocurrency laundering scheme](https://www.chainalysis.com/blog/north-korea-cryptocurrency-addresses-ofac-doj-march-2020/)，2020 年 3 月 5 日
- Money Laundering Watch，[Two Chinese nationals charged with laundering over $100 million in cryptocurrency for North Korea](https://www.moneylaunderingnews.com/2020/03/two-chinese-nationals-charged-with-money-laundering-over-100-million-in-cryptocurrency-for-north-korea/)，2020 年 3 月 11 日
- Sygnia，[Sygnia's investigation into the Bybit hack](https://www.sygnia.co/blog/sygnia-investigation-bybit-hack/)
- 联合国专家小组（UN Panel of Experts），[S/2024/215](https://documents.un.org/doc/undoc/gen/n24/032/68/pdf/n2403268.pdf)，2024 年 3 月 7 日
- 美国财政部（US Treasury），[jy1435](https://home.treasury.gov/news/press-releases/jy1435)，2023 年 4 月 24 日
- CISA，[AA22-108A: TraderTraitor](https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-108a)；FBI，[PSA 240903](https://www.ic3.gov/PSA/2024/PSA240903)，2024 年 9 月 3 日

视频用代码制作动画，脚本在 AI 辅助下撰写；上面每条引文都对照出处核实过，51 个地址这个数字是我们自己数的。示意部分：钱包地址、每一跳的金额、剥离链、屏幕画面和消息。本文只在 FBI 和分析机构描述的层面解释这次洗钱，并不教人怎么做。视频用 [Shotloop](https://oliverz.dev/zh/products/shotloop) 制作：我做的免费 Mac 应用，用代码做科普短视频，一个镜头一个镜头地改。