ブロックチェーン調査者のZachXBT氏は、2019年から米国財務省の制裁対象となっている北朝鮮支援のハッカー集団ラザルスグループに関連する複数のハッキングで10億ドル以上を資金洗浄してきたとされる中国の組織犯罪シンジケートに、数か月間にわたり依頼者を装って潜入していたと発表した。

ZachXBT氏によると、潜入中に収集した情報は、2025年2月のBybitへのハッキングに関連する資金凍結の実行に役立ち、オンチェーン上の違法活動の帰属特定にも貢献したという。同氏は2026年10月5日にXに投稿したスレッドでこの潜入調査の詳細を明らかにした。

2025年2月に攻撃者が取引所から約15億ドルを流出させたBybitの事件は、記録上最大級の暗号資産窃盗事件の一つであり、その後処理には複数のブロックチェーンや発行体にまたがる追跡・凍結の取り組みが関わっている。

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

作戦は2025年2月のBybitへのハッキングの直後に始まった。ZachXBT氏は、公開されたTelegramやDiscordのグループで、盗まれた資金に関連する取引の支援を求める投稿が多数見られたことに着目し、ハッキングに関連する取引について複数のアカウントに連絡を取った。その接触から、「Jimmy Green」というニックネームを名乗るTelegramユーザーに行き着き、資金洗浄サービスを求める依頼者を装って最終的にやり取りを開始した。

ZachXBT、ネットワークへの侵入のために349,700ドルを投じる

ネットワークに侵入するため、ZachXBT氏は新しいアドレスに資金を入れ、2025年3月6日に運営者との取引を開始し、349,700 USDCこの計画に投入した。取引には、USDとETHの交換、USDTとTronの交換が含まれていたと同氏は述べた。調査者としての同氏は、本物の依頼者としての信頼性を確立するため、各取引で約5%の損失が出る取引を意図的に複数回実行し、この資金を作戦を進めるための「賭け」と表現した。

この手法により、同氏は香港および中国本土におけるこのネットワークの疑われた「資金洗浄」活動について知ることができた。ZachXBT氏によると、Jimmyはその後、Bybitのハッキングに関連する資産の移送計画について語り、特定可能なオンチェーン上の取引につながったという。

1,200万ドルのクラスタがBitcoin、Ethereum、Solana、Tronにまたがって追跡される

大きな突破口となったのは、Jimmyが疑わしいクロスチェーン转移のスクリーンショットを共有したときだった。ZachXBT氏は、そのスクリーンショットが、ブロックチェーン間で資産を交換するためのクロスチェーンプロトコルであるTHORChain上の取引と、金額と時間の両面で一致し、その取引はメッセージの数分以内に作成されていたと述べた。運営者はさらに複数のSolanaアドレスを提示した。これらのアドレスから、ZachXBT氏は、Bitcoin、Ethereum、Solana、Tronの間で移動された1,200万ドルを超えるBybit資金の大きな集中を検出した。

その後、同クラスタに紐づく442,000 USDTが最終的にTetherによって凍結されたと報告した。TetherはUSDTの発行体であり、その契約により特定のアドレスでの転送を遮断することが可能である。また、Uniswapの流動性プールや流動性の低いトークンを利用した新たな資金洗浄手法も確認したと付け加えた。これは、盗まれた資金を追跡する際にアナリストがスクリーニングするパターンの範囲を広げる変化である。

Bybitの資金だけではなかった暗号資産の痕跡

調査では、他の違法な暗号資産取引とのつながりも明らかになった。ZachXBT氏によると、Jimmyは以前、凍結された300,000ドルについて語っていた。オンチェーン分析によると、その資金は、2023年のPoloniex取引所へのハッキングであるPoloniex事件で依然として盗まれたと報じられている332,000 USDCに紐づいていた。別の会話では、違法金融研究で以前から指摘されていたオンラインマーケットプレイスであるHuione Guaranteeのホットウォレットに帰属すると特定された、約300万ドルの詐欺資金が話題に上った。ZachXBT氏によると、両方の金額が運営者とのやり取りの中で言及されたという。

ZachXBT氏は、調査結果を「民間調査業者および法執行機関の関係者」と共有したと述べた。同氏は、2022年以降、自身の活動が7,500万ドル超の凍結に貢献してきたと述べており、この数字は、盗れた資金が特定可能なアドレスで表面化すると、民間のオンチェーン研究者、ステーブルコイン発行体、法執行機関が凍結に向けてますます連携するようになっている実態を反映している。今回の作戦で明らかになった盗まれた暗号資産を踏まえ、同氏は、この事例が、違法資金が最初のハッキングから長期間経過しても中間業者を経由して移動し続けられることを示していると指摘した。