区块链调查员ZachXBT表示，他花了几个月时间以客户身份潜入一个中国有组织犯罪团伙，并指称该团伙为与Lazarus集团相关的多起加密货币攻击事件洗钱超过10亿美元。Lazarus集团是受朝鲜支持、自2019年以来一直受到美国财政部制裁的黑客组织。

据ZachXBT称，他卧底期间收集的情报帮助推动了与2025年2月Bybit攻击事件相关的资金冻结，并协助在链上归属非法活动。他于2026年10月5日在X上发布推文串，详细披露了此次渗透行动。

2025年2月，攻击者从Bybit交易所盗走约15亿美元，该事件位列有史以来最大的加密货币盗窃案之一，其后续处理涉及跨多条区块链和发行方的追踪与冻结行动。

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

该行动始于2025年2月Bybit攻击事件发生后不久。ZachXBT称，他注意到公共Telegram和Discord群组中有许多人寻求与被盗资金相关交易的帮助，这促使他联系了多个与该攻击事件相关交易的账户。这一接触使他认识了一名昵称为“Jimmy Green”的Telegram用户，他最终以寻求洗钱服务的客户身份与对方展开交流。

ZachXBT投入349,700美元以进入该网络

为进入该网络，ZachXBT为一个新地址注资，并于2025年3月6日开始与该操作者交易，向该计划投入了349,700枚USDC。他表示，交易包括将USD兑换为ETH，以及将USDT兑换为Tron。为建立真实客户的信任，该调查员故意进行了数笔每笔损失接近5%的交易，并将这笔资金描述为推进行动的一场赌博。

这一方式使他得以了解该网络在香港和中国大陆涉嫌的“洗钱”活动。ZachXBT称Jimmy后来谈到了与Bybit攻击事件相关资产的转移计划，并因此产生了可识别的链上交易。

1,200万美元资金集群在比特币、以太坊、Solana和Tron间被追踪

重大突破出现在Jimmy传播了一张所谓跨链转账的截图之后。ZachXBT表示，该截图在金额和时间上均与THORChain（一种用于在区块链之间交换资产的跨链协议）上的一笔交易相吻合——该交易在消息发出后数分钟内即被创建。该操作者还提供了多个Solana地址。通过这些地址，ZachXBT发现了超过1,200万美元的Bybit资金高度集中的迹象，这些资金在比特币、以太坊、Solana和Tron之间转移。

他随后报告称，与该资金集群相关的442,000枚USDT最终被Tether冻结。Tether是USDT的发行方，其合约允许其在特定地址阻止转账。他还补充说，他观察到一种更新的洗钱方式，涉及Uniswap流动性池和低流动性代币，这一转变拓宽了分析师在追踪被盗资金时需要筛查的模式范围。

Bybit资金并非唯一的加密货币线索

此次调查还揭示了其他非法加密资金流动的联系。ZachXBT报告称，Jimmy此前曾提及一笔30万美元的已冻结资金；据链上分析，这笔资金与据报道仍在Poloniex攻击事件（即2023年Poloniex交易所被盗事件）中被盗的332,000枚USDC相关。另一次对话中涉及约300万美元的欺诈资金，被确认为属于Huione Guarantee的一个热钱包，该在线市场此前曾在非法金融研究中被点名。据ZachXBT称，这两笔资金均在他与该操作者的交流中被提及。

ZachXBT表示，他的调查结果已被分享给“私人调查员和执法部门成员”。他称其工作自2022年以来已促成超过7,500万美元的资金冻结，这一数字反映出，一旦被盗资金在可识别地址上出现，私人链上研究员、稳定币发行方和执法部门正日益协同开展冻结行动。基于近期行动中发现的被盗加密货币，他指出该案件表明，非法资金能够在原始攻击事件发生很久之后继续经由多个中间环节流转。