稳定币被迅速兑换，约27亿美元资产遭冻结或控制
资料称，10月29日，朝鲜黑客从币安17个热钱包盗走约63亿美元资产，涉及Ethereum、Bitcoin、Tron、Solana等九条区块链。由于USDT、USDC等中心化代币存在发行方冻结权限，黑客随后将部分稳定币转入中转钱包，并通过去中心化交易所兑换为ETH、TRX等原生资产。
两组数字的口径并不相同：按Bitquery统计，发行方及相关机构冻结或控制的资产约为27亿美元；约7.29亿美元USDT则在被冻结前已成功转移。
多链资金经兑换和拆分转向以太坊
完成初步兑换后，黑客通过多个跨链协议将分散在不同网络的资金转移至Ethereum、Bitcoin等网络，并进一步拆入新钱包。TRON资金是其中一条路径：约2.34亿美元USDT被兑换为6.38亿TRX，之后经多个钱包和至少六个跨链协议转移，绝大部分最终转为Ethereum上的ETH。
在 Base 上，部分资产由 Stargate 跨至 Ethereum，归集约 1,187 ETH；Avalanche 资产则先兑换成 USDC，再经 Circle CCTP 转入 Ethereum，最终换成约 7,243 ETH。为减少大额兑换带来的滑点，黑客会依据不同链上的流动性深度，选择 Relay、Chainflip、Symbiosis 等跨链协议分批转移资金。部分资金跨链后继续向新钱包分散：一批经 THORChain 兑换的 ETH 被分至 35 个地址；另一批经 Relay 转移的资金，则通过 CoW Swap 换成 ETH，再分散至另外 16 个钱包。
资金分发节奏高度自动化：据Elliptic统计，10月30日至11月1日，主要TRON分发钱包共发出逾1,100笔转账，多数收款地址在到账两分钟内即再次转出；跨链失败的资金还会重新申请跨链。
执法部门发出拦截呼吁，THORChain交易一度受影响
10月31日，FBI、美国特勤局和国税局刑事调查部门公布涉案地址，并呼吁THORNode、RPC节点运营商、即时兑换平台及DeFi服务商阻止相关交易。Symbiosis称发现涉案资金试图经其协议转移，并联系了Binance；Relay虽具备地址风险筛查机制，链上仍可观察到涉案资金经该协议转移。
2023年至2026年的七起黑客或诈骗事件（含FTX、Bybit、Kelp DAO）中，THORChain累计产生约92.7亿美元交易量；其1,247万美元手续费中，约863万美元来自2025年Bybit被盗事件。此次币安事件中，该网络再次成为跨链渠道。联合创始人Chad Barraford表示，节点数据本就公开，无需传票。
一笔 10 ETH 的异常退款最终触发了紧急暂停。相关机制在 10 月 31 日因以太坊区块重组而启动；资料称，截至 11 月 1 日，Bitcoin、Ethereum、Tron 等 10 条链的相关交易仍受影响。
历史案件显示赃款还会流向场外兑换网络
跨链并非洗钱流程的终点。历史案件中，相关资金还会经过混币器，再借助地下OTC或P2P渠道兑换法币。2025年4月，Bybit CEO Ben Zhou披露，约28%的被盗资产已难以追踪，相关资金主要经混币器、跨链桥流向P2P和OTC渠道。
多边制裁监测小组（MSMT）在2025年10月披露，截至同年4月，朝鲜相关人员通过香港中间商安排超过1亿美元的Bybit赃款套现；另有至少6,000万美元加密资产经俄罗斯中间商套现，其中包括部分Bybit被盗资金。调查还提到，朝鲜相关人员与一名居住在柬埔寨的朝鲜籍人员合作，将资产转入指定钱包集中准备兑换，再通过包括香港在内的其他地区安排套现。
现有材料显示，本次币安事件中的资金仍在兑换、跨链和拆分阶段；历史案例则揭示了后续可能涉及的链下兑换环节，但不能据此认定本次资金已进入场外出金渠道。
