朝鲜从币安黑客事件中获取的14亿美元比特币至今未动用

朝鲜黑客幕后操纵币安63亿美元盗窃案

平壤再次被指控策划了针对全球交易量最大加密货币交易所的63亿美元盗窃案。币安的初步调查显示，此次入侵源于一名软件工程师遭入侵的笔记本电脑。 此次安全漏洞随后为攻击者提供了进入该交易所某项内部服务的入口。

然而，后续的取证结果揭示了更多遭到入侵的系统，这表明此次行动远比单纯窃取一名员工的凭证要复杂得多。 包括Chainalysis、Elliptic和TRM Labs在内的多家区块链情报公司均将此次盗窃归咎于“Tradertraitor”组织；10月31日，美国联邦调查局（FBI）确认此次攻击系朝鲜黑客组织所为，进一步印证了这一评估。

“Tradertraitor”与“拉撒路组织”（Lazarus Group）关系密切，作为该组织旗下以经济利益为动机的专业分支运作，同时也是朝鲜更广泛的国家支持型黑客体系中相关恶意软件和网络间谍活动的一个代称。 “拉撒路集团”历来掌控着大量比特币，此次盗取的18,270.2 BTC，表面上使朝鲜成为全球第三大持有该加密货币的国家。

尽管变现非法获取的比特币普遍被视为一项艰巨挑战，但平壤方面已多次展现出将被盗资产相对轻松地转化为可用资金的明显能力。

揭秘那起清空币安热钱包95%资产的比特币盗窃案

此次币安盗窃案呈现出一个特别耐人寻味的谜团，因为比特币被提取背后的确切机制仍不明朗。被盗资金目前价值14亿美元，在被分配到持有不同数量BTC的钱包之前，经历了11次独立转账。

目前，这些资金总计分布在19个不同的钱包中，所有交易均已在比特币区块高度973732处得到确认。 被盗资金源自一个被标识为 bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h 的币安热钱包，该钱包目前仍持有约 5.495 BTC，价值 426,000 美元。

自2021年创建以来，该异常活跃的地址已处理了惊人的16,517,012.48 BTC入账交易和16,517,006.98 BTC出账交易。 2022年6月，该钱包的余额为138,000 BTC，并一直与行业主要参与者保持交易往来，其中包括Kraken、OKX、Bullish、Bybit、Coinbase等中心化交易所（CEX）平台以及数十家其他平台。

据报道，与算法加密货币做市商Wintermute相关的地址也曾与该钱包进行过76次交互，涉及价值超过9亿美元的比特币。 当Tradertraitor黑客组织入侵该钱包时，其中约有19,200 BTC，该黑客团伙在不到20分钟内便转移了其中近95%的持币。 在归因于平壤黑客的19个钱包中，17个各自持有 exactly 1,000 BTC，其余两个则分别持有832.5 BTC和437.7 BTC。

被盗比特币处于休眠状态，朝鲜的洗钱历史引发质疑

目前，这些地址中的被盗比特币仍未被动用，尽管其当前的休眠状态并不能保证其将永久保持静止。 赃款的分拆虽然增加了需要监控的输出数量，但并未抹去其来源。链上调查人员和区块链情报公司无疑将对这些比特币地址进行仔细审查，因为被盗的BTC在最终转移前通常会处于长期休眠状态，尽管这种延迟绝非普遍现象。

与此同时，据Arkham Intelligence直接归因于“拉撒路组织”的钱包目前仅持有相对较少的23.38 BTC，这与该组织在2025年3月控制的约14,000 BTC形成了鲜明对比。 这表明，朝鲜已展现出相当大的能力，能够系统性地分散数千枚比特币，并最终找到变现这些非法资产的途径。尽管目前正在开展大规模的追回行动，以帮助币安取回被盗资产，但比特币本身并不提供简单冻结资金的机制。

比特币不可打破的规则令调查人员束手无策

稳定币发行方可以通过代币合约中嵌入的限制条款冻结资产，但比特币没有相应的中央权威机构能够将地址列入黑名单或撤销已确认的交易。因此，调查人员必须找出潜在的干预点，例如交易所、经纪商或其他中介机构，被盗资金最终可能会通过这些渠道流转。 另一种方法是获取相应的私钥控制权，以此扣押比特币。然而，这两种方法均无法从行政层面撤销比特币区块链上已记录的交易。

目前，这一透明的账本虽然提供了详细的证据链，却无法赋予对资产本身的控制权。调查人员可以追踪被盗比特币的每一笔流转，但仅凭可见性并不能赋予他们转移这些比特币的权限。