Den 30 oktober pekade ZachXBT och SlowMist båda på Lazarus Group.
Den 31 oktober sa Trump "utreds just nu".
Den 1 november fastslog FBI officiellt att Nordkorea var ansvarigt. Samma dag ändrade Trump sig: "Inte säkert än."
FBI säger att det är Nordkorea. Presidenten säger "osäkert". 6 miljarder dollar i beslagtagna tillgångar förvandlades över en natt från ett brottsfall till en diplomatisk bricka.
Nu till huvudfrågan: Hur flöt pengarna egentligen.
Steg ett, byt till ETH.
De stulna tillgångarna växlades huvudsakligen till Ethereum. Varför ETH? För att DeFi har djupast likviditet, flest mixer-alternativ och tätast cross-chain-bryggor. ETH är inte "bättre valuta", det är ett bättre penningtvättslösningsmedel.
Steg två, använd cross-chain-bryggor.
SlowMist spårade att de stulna TRX flyttades via Bitget Wallets cross-chain-brygga. Cross-chain-bryggor är den svagaste länken i dagens anti-penningtvättsystem – de hamnar i en regleringslucka mellan två kedjor, där båda sidor försöker kontrollera men ingen gör det helt.
Steg tre, återanvändning av infrastruktur. Det här steget är mest smärtsamt.
Mottagaradressen för pengarna har tidigare använts av Phemex-hackare. Och Phemex-hackarna och Bybit-attackörerna tillhör båda Lazarus.
Översatt: De använder inte nya verktyg, utan gamla produktionslinjer. Samma penningtvättskanal, först tvättade de Phemex-pengar, sedan Bybit-pengar, och nu tvättar de Binances 6 miljarder.
Det här är inte en isolerad attack. Det är en redan etablerad och massanvänd penningtvättslinje.
Steg fyra, DeFi-protokoll och omedelbar växling för avslut. FBI förutspår att de kommer att använda DeFi och omedelbar växling för att ytterligare tvätta pengarna. Vid detta steg är pengarna redan splittrade i tiotusentals transaktioner, spridda i likviditetspooler, synliga på kedjan men omöjliga att återfå.
Så vad säger FBI:s meddelande egentligen?
Det säger: Penningtvätt har blivit "infrastrukturiserad".
Tidigare fokuserade anti-penningtvätt på insättningsadresser på börser. Nu delar hackarna upp pengarna, stoppar in dem i cross-chain-bryggor, RPC-noder, DeFi-pooler, omedelbara växlingar – varje steg är en legitim infrastruktur, och varje steg missbrukas bara lite grann.
Att bara frysa en börsadress stoppar inte ens 1% av deras penningtvättsrutt.
Det är därför FBI:s blocklistor nu även omfattar nodoperatörer och DeFi-tjänsteleverantörer. Inte för att de vill kontrollera, utan för att utan det går det verkligen inte att spåra.
$BTC$ETH$SOL
Ansvarsfriskrivning: OKX Orbit-innehåll tillhandahålls endast i informationssyfte. Läs mer