ZachXBTとして広く知られるブロックチェーン調査員Zachary Wolk氏は、暗号資産投資会社Paradigmでインシデントレスポンスアドバイザーを務めており、複数のブロックチェーン攻撃に関連する10億ドル超をロンダリングしてきた中国の組織犯罪グループに、顧客を装って潜入していた経緯を明らかにした。

10月5日の開示でZachXBT氏は、北朝鮮政府のために活動するサイバー犯罪組織であるLazarus Groupに関連する高度なマネーロンダリングネットワークの解体につながった潜入作戦の詳細を明かした。北朝鮮に関連するグループは、暗号資産における過去最大級の窃盗事件に繰り返し関与してきたため、その犯罪収益の動きは取引所、発行者、独立系調査員のいずれからも厳しく監視されている。

グループの信頼を得るため、同調査員は15の特定された不審口座を通じて自己資金349,700ドルを投入するリスクを取った。具体的には、テスト取引を実行し、グループの標準的な5%の手数料を支払い、主要なブロックチェーン上の不正な資金の流れを追跡した。パブリックブロックチェーン上の活動は永久に可視であるため、盗まれた資金は通常、攻撃者が元の攻撃との直接的なオンチェーンのつながりなしに資金を使えるようになる前に、仲介業者を経由させる必要があり、マネーロンダリングネットワークはその役割を担っている。

犯罪グループのメンバーの一人は、「Jimmy Green」という偽名をいて、ロンダリングされた資金は凍結からは安全であるとZachXBT氏を安心させた。オンチェーン調査員によると、この組織は2025年2月のBybit攻撃で盗まれた15億ドルの大半と、2026年9月のBitget事件に関連する3億8,700万ドルを扱っていたという。Bybit侵害は暗号資産史上最大の単一窃盗事件として広く報道されており、その犯罪収益の足取りは業界で最も注目される事例の一つとなっている。

信頼関係が深まるにつれ、Jimmyは作戦に関する詳細を語り始めた。彼はBybitの資金を前もって移動させる話をし、香港と中国本土での活動に言及し、ZachXBT氏がTHORChain(RUNE)などのエクスプローラーで迅速に照合できたブリッジのスクリーンショットを送った。Jimmyはまた、盗まれたBybit資金の1,200万ドル超をBitcoin(BTC)、Ethereum(ETH)、Tron(TRX)間で移動させたクラスタに関連するSolana(SOL)アドレスも提供した。チェーンやブリッジ間のホップのたびに、元の攻撃からの分離が一層厚くなる。まさにZachXBT氏がパブリックなブロックエクスプローラーを通じて照合できたパターンである。

ZachXBT氏の追跡はその後、Tetherが盗まれた資金のうち442,000ドルを凍結する助けとなった。全体として、同調査員は2022年以来、北朝鮮系ハッキングに関連する7,500万ドル超の凍結に貢献している。Tetherのようなステーブルコイン発行者は、特定のアドレスのトークンをロックする技術的能力を持っているため、盗まれた資金がオンチェーン上のどこにあるかを特定できれば、追跡作業を直接凍結残高に結びつけることができる。

同氏は現在、調査資金のための財政支援を求めており、それがさらなるオンチェーン犯罪への対策につながるとしている。この要請は、彼自身が349,700ドルをリスクにさらした作戦の後に行われたものであり、独立系オンチェーン調査のコスト面を物語る数字である。