オンチェーン調査者のZachXBTは、北朝鮮のラザルス・グループのために10億ドル以上の盗難資金を移動してきた中国の資金洗浄組織に、数か月間にわたり支払い顧客を装って潜入していたと述べた。

潜入調査で収集された情報は、2025年2月に取引所が攻撃者により約15億ドルを奪われたBybit流出事件——暗号資産史上最大級の窃盗——の収益凍結に役立った。この作戦は、盗まれた取引所の資金が非公式なブローカーネットワークを通じて移動する様子を、公開ブロックチェーン上のどの送金でも追跡可能な記録が残る中で、初めて直接捉えた稀な事例にもなっている。

Bybitの資金洗浄パイプラインの内幕

2025年2月にBybitが約15億ドルを失った後、ZachXBTは公開されたTelegramやDiscordのチャンネルで、盗難資金の処理を支援すると申し出る15以上のアカウントを特定したと述べている。X上に投稿された長いスレッド(1、2、3)の中で、彼は「Jimmy Green」というハンドルネームを使用する運者の一人に接触し、一連の実際の取引を通じて数週間かけて信頼関係を築いたと明らかにした。

2025年3月6日、ZachXBTは349万7,000ドル相当のUSDCを、Bybitハッキングにも関連するブラックリスト登録済みのハッキングウォレットとして公に知られるイーサリアムアドレスに送金した。彼は約350万ドルが自腹であり、調査中の各取引で約5%の損失リスクを受け入れたと述べた。

これらのやり取りを通じて、JimmyはBybitの資金1,200万ドル以上を保有する3つのSolanaアドレスを提供した。ZachXBTは資金がリアルタイムでビットコインからイーサ、次いでSolana、そしてTronへと移動するのを目撃した。Tetherはその後、これらのウォレットに関連する約44万2,000 USDTを凍結した。USDTのようなステーブルコインはコントラストレベルでブラックリスト登録が可能であるため、このオンチェーン上の可視性は直接的な資金凍結につながり得る。

過程で得られたその他の情報により、ZachXBTは過去の主張を検証することができた。Jimmyは2024年に約30万ドルが凍結されたチームに言及し、ZachXBTはその凍結をオンチェーン上で確認した。Jimmyはまた、300万ドルの詐欺資金を洗浄したと自慢し、これによりZachXBTは、すでに米国により制裁されているマーケットプレイスであるHuione Guaranteeに関連するウォレットを発見した。ZachXBTは、調査者および執法機関に可能な限り早期に通知したと述べ、2022年以降、彼の活動により北朝鮮関連の事件に関連する7,500万ドル以上の凍結に貢献したとしている。執法機関に通報済みであるため、フラグが立てられたウォレットがさらなる凍結対象となるかどうかが今後の焦点となる。

会話は仕事にとどまらなかった。ZachXBTによれば、Jimmyは麻雀、野生のウサギ狩り、ダイエット食、家族の生活、ディズニーでの休暇についても語ったという。

Bitgetハッキングと北朝鮮の関わり

今回の発見は、攻撃者により約3億8,750万ドルが奪われた2026年9月のBitgetハッキングにも及んでいる。事件後、BitgetのCEOであるGracy Chenは北朝鮮を犯人として最も可能性が高いと指名した。

ブロックチェーン分析企業のEllipticは、盗まれたBitgetの資金が、2025年のBybit盗難資金の洗浄に使用されたアドレスと関連していると述べた。同社は、同じ資金洗浄ルートの再利用は北朝鮮のハッカーに共通するパターンであるとし、Bitget攻撃により北朝鮮関与が疑われる暗号資産窃盗は2026年に10億ドルを超えたと述べた。この再利用が重要なのは、ある事件でフラグが立てられたインフラは次の事件でも監視対象になり得るからである。

ZachXBTはBitgetの資金洗浄に関与する5つのアカウントを特定し、その中には4月の2億9,200万ドルのKelp DAOエクスプロイトの収も処理していた「lolo」というアカウントが含まれていた。

別の動きとして、Cryptopolitanが報じたところによると、Bitgetハッキングに関連するウォレットは約390万ドル相当のZcashをIronwoodシールドプールに移動させた。Zcashのシールドプールは取引詳細を隠蔽するよう設計されており、そこに入った資金は追跡がはるかに困難になる。