Взломщик, получив удалённый доступ к компу, орудует ночью. Можно глянуть на бирже в какое время выводились средства (если был фиат, на него закупили btc для вывода - время самых последних ордеров в истории сделок).