10月30日，ZachXBT和慢雾先后指向Lazarus Group。 10月31日，特朗普说“正在调查”。 11月1日，FBI正式认定朝鲜负责。同一天，特朗普改口：“尚不确定。 FBI说就是朝鲜。总统说“不确定”。 60亿美元的追赃，一夜之间从刑事案变成了外交筹码。 现在进入正题：钱到底怎么走的。 第一步，换成ETH。 被盗资产主要被兑换为以太坊。为什么是ETH？因为DeFi深度最大、混币选项最多、跨链桥最密。ETH不是“更好的货币”，是更好的洗钱溶剂。 第二步，走跨链桥。 慢雾追踪到，被盗TRX经Bitget Wallet跨链桥转移。跨链桥是当前反洗钱体系里最薄弱的环节——它卡在两条链的监管缝隙中间，两头都管，两头都不全管。 第三步，基础设施复用。这一步最扎心。 接收资金的目标地址，曾经被Phemex黑客用过。而Phemex黑客和Bybit攻击者，同属Lazarus。 翻译一下：他们用的不是新工具，是旧流水线。 同一条洗钱管道，打完Phemex洗Phemex的钱，打完Bybit洗Bybit的钱，现在洗Binance的60亿。 这不是一次孤立攻击。这是一条已经跑通、正在批量复用的变现产线。 第四步，DeFi协议和即时兑换收尾。FBI预计后续将通过DeFi和即时兑换进一步洗白。到这一步，钱已经碎成几万笔，散进流动性池子里，链上看得见，追不回来。 所以FBI公告真正在说什么？ 它在说：洗钱已经“基础设施化”了。 以前反洗钱盯的是交易所的入金地址。现在黑客把钱拆散，塞进跨链桥、RPC节点、DeFi池子、即时兑换——每一个环节都是合法基础设施，每一个环节都只被滥用了一点点。 单靠冻结一个交易所地址，连他们洗钱路线的1%都拦不住。 这就是为什么FBI的拦截清单下沉到了节点运营商和DeFi服务商。不是因为他们想管，是因为不管就真的追不到了。 $BTC $ETH $SOL
