匿名のオンチェーン調査者ZachXBT氏は、北朝鮮のラザルス・グループのために10億ドル超の盗難暗号資産を移動してきた中国の資金洗浄組織の顧客を装い、自己資金である34万9,700 USDC(約34万9,700ドル)を投入し、運営を維持するために各注文で5%の損失を受け入れたと述べています。

2026年10月5日にX上で公開されたスレッドの中でZachXBT氏は、この潜入調査で収集した情報が、2025年2月のBybitハッキングに関連する資産凍結の実行に役立ち、違法行為のオンチェーンでの帰属特定を支援したと述べています。同氏によれば、この作戦によりBybitから盗まれた1,200万ドル超の資金クラスタが暴露され、Tetherはその後、これに連なる44万2,000 USDTを凍結しました。さらに同氏は、2022年以降、北朝鮮関連のインシデントに関する7,500万ドル超の凍結の実行を支援してきたと付け加えています。

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) October 5, 2026

15億ドルの標的

事件の中心にあるハッキングは、2025年2月に暗号資産取引所Bybitを襲い、記録上最大の暗号資産盗難となる15億ドルの失を引き起こしました。FBIはこのインシデントを、北朝鮮のハッカーに対して使用する名称であるTraderTraitorによるものと帰属させています。ZachXBT氏によれば、接触した資金洗浄者は北朝鮮のために活動する中国のギャングでした。国連の調査当局者たちは、北朝鮮のハッキング部隊が、体制の兵器計画の資金源となっている数十億ドル規模の盗難暗号資産と長年結びついていると指摘しています。

ZachXBT氏は、暗号資産業界で最も有名かつ精力的なオンチェーン調査者とされています。ほぼ匿名で活動する20代の同氏は、長年にわたり盗難資金の追跡とハッキングや詐欺の関係者の特定を続け、誰もが検証可能な公開ブロックチェーンデータに基づくスレッドを発信してきました。2023年に過去の標的から訴訟を起こされ、実名を暴露されてからも調査を続けています。

「顧客を装い、2025年2月のBybitハッキングに関連する凍結の実行と違法行為のオンチェーンでの帰属特定に役立つ情報を収集した」と同氏は書いています。

パターンの発見

潜入のきっかけは、ハッキングの直後に訪れました。「2025年2月、DPRK(北朝鮮)系グループ『TraderTraitor』に帰属される15億ドル規模のBybitハッキングの直後、TelegramやDiscordの公開グループで、盗難資金に直接結びつく注文の支援を求める15以上のアカウントのパターンを観察した」と同氏はXに投稿しています。

先週の3億8,700万ドル規模のBitgetハッキングの後にも、同じパターンを目撃したといいます。このハッキングは、BitgetのCEOやブロックチェーン追跡企業のEllipic、Chainalysisが北朝鮮によるものと結びつけています。

北朝鮮に関する実績があったことで、同氏は動きやすい立場にありました。Bybitハッキングの当日、オンチェーンデータを用いてラザルス・グループとの関連を指摘し、数日後にFBIもその帰属を裏付けました。さらに、Bybit資金の洗浄に使われたウォレットが、PhemexやBingXのハッキングを含む過去のラザルス攻撃と結びついていることも示しました。2024年には、Genesisの債権者から約4,100 BTCが盗まれた事件の追跡が逮捕につながりました2025年2月にはParadigmがインシデント対応アドバイザーとして同氏を採用し、共同創業者のMatt Huang氏は、これまでに3億5,000万ドル超をハッキングや詐欺の被害者に返還したと述べています。

ZachXBT氏は、財団からの助成金と個人からの寄付が調査資金であり、それがこうしたリスクの高い案件に取り組むことを可能にしていると述べています。ほとんどのオンチェーン追跡は受動的で、資金に触れることなく公開台帳を読み解くものです。顧客を装うことで、同氏は観察者から参加者へと変わり、公開データだけでは得られない、資金移動の事前情報のような詳細を捉えたのです。

「Jimmy Green」

2025年、ZachXBT氏はBybit関連の注文で支援を求めていたアカウントへのメッセージを開始しました。そのうちの1つが、Telegram上で「Jimmy Green」を名乗るアカウントでした。

「2025年3月6日、Jimmy Greenとの数回の取引に備えて、Ethereum上の新しいアドレスに34万9,700 USDCを入金した」と同氏は述べています。JimmyはTron上のUSDTと引き換えにUSDCを受け取るアドレスを提示しました。ZachXBT氏によれば、そのアドレスには「Bybitハッキング資金に直接遡ることができ、公開されているBybitハッキングのブラックリストサイトでラベル付けされている」ウォレットからガス代が送金されていました。

「信頼を築くために、さらに数回の取引を完了した」と同氏は述べています。「その後、Jimmyは実行前にBybit資金をDPRKのために移動する話をし始め、[香港]と中国本土での活動に関する基本的な詳細も語った」

Jimmyの事前知識を証明するものは単純だったとZachXBT氏は言います。「前日に資金がSolanaへ移動すると述べ、翌日に実際に移動した」

調査を続けるには代償が伴いました。「この時点で、各注文で5%の損失を続け、できるだけ早く実行可能な情報を確保する賭けに出る必要があると悟った」と氏は書いています。「この案件では34万9,700ドルを投入し、各注文で5%を失った。Jimmyが資金を持って消える保証はなく、組織と取引する個人的なリスクも未知数だった」と述べています。

Jimmyはさらなる取引に意欲的でした。3月10日、彼は偽の人格に繰り返し連絡を取り、ZachXBT氏は役を演じながら、しつこさが「あなたのビジネスへの信頼を失わせる」と伝えました。Jimmyは「チームは100万ドルを用意しており、いつでも作業を開始できる!」と返答しました。

別のチャットでJimmyはチームの仕組みを説明しました。「私たちは分業制だ。uを受け取り、異なるアクセプターに分配する」。ZachXBT氏によれば、この「u」はTetherが発行するステーブルコインUSDTの略称とみられます。

オンチェーンでの実り

これらの会話は検証可能な証拠につながりました。ZachXBT氏は、2025年3月12日、Jimmyが送ってきた資金をブリッジする自分のスクリーンショットを、Thorchainエクスプローラー上で確認できる金額とタイミングを用いて、メッセージの数分以内に作成された注文と突き合わせたと書いています。Thorchainエクスプローラーは、異なるブロックチェーン間で直接コインを移動する分散型プロトコルのスワップの公開記録です。

その後、Jimmyは3つのSolanaアドレスを共有しました。これにより、BitcoinからEther、Solanaを経て最終的にTronへと移り変わる、リアルタイムでスワップされる1,200万ドル超のBybit盗品のクラスタが暴露されました。Tetherはその後、このクラスタに連なる44万2,000 USDTを凍結しました。この凍結は、暗号資産における数少ない強制力のある手段を示しています。盗まれた価値がUSDTのようなトークンに変換されると、発行者はフラグが立てられたアドレスの資産をロックできるのです。

Jimmyは、ZachXBT氏が独自に検証できる情報も提供しました。知り合いのチームが2024年に約30万ドル凍結されたと語り、ZachXBT氏はその凍結をオンチェーンで発見しました。実際の額は33万2,000 USDCで、Poloniexハッキング(2023年11月に取引所から1億ドル超が流出し、研究者らが北朝鮮のラザルス・グループと結びつけている事件)で盗まれたものでした。

カンボジアとのつながり

Jimmyはまた、別のクライアントのために300万ドルの詐欺収益を洗浄したとも述べました。ZachXBT氏はその資金を、犯罪者が資金洗浄サービスや盗難データを売買していたTelegram上のマーケットプレイス、Huione Guaranteeが使用するホットウォレットにまで追跡しました。

Huione Guaranteeは、少なくとも40億ドルの資金洗浄の疑いで米国財務省FinCENが標的としたカンボジアの複合企業、Huione Groupの一部です。Telegramは2025年5月にこのマーケットプレイスを禁止し、中国当局はカンボジアから送還された後、Huione Groupの元会長であるLi Xiongを逮捕しました。

会話のすべてが犯罪の話ではありませんでした。「会話の中で、DPRKのための資金洗浄の話の合間に、Jimmyと私は多くの雑談をした」とZachXBT氏は述べています。「彼は麻雀、野生のウサギ狩り、食事、減量食、家庭生活、ディズニーでの休暇について語った」

記録された成果

このおとり作戦は一度きりのものではありません。「2022年以降、DPRK関連のインシデントに関する7,500万ドル超の凍結の実行を支援してきた」とZachXBT氏は書いています。

同氏は、調査結果を信頼できる民間調査者と担当の法執行機関に直ちに提供したと述べ、調査の機密性が公表を遅らせたと説明しています。スレッドでは、組織の背後にいる個人は誰も名指しされず、この作戦から生じた逮捕についても言及がなく、同氏が提供した情報に基づく今後の凍結や法的措置が次の展開として注目されます。