区块链调查员Zachary Wolk,广为人知的化名是ZachXBT,目前在加密投资公司Paradigm担任事件响应顾问。他披露了自己如何假扮客户潜入一个华人有组织犯罪集团,该集团已洗白超过10亿美元与多起区块链攻击相关的资金。

在10月5日的披露中,ZachXBT详述了这次卧底行动,该行动协助瓦解了一个与Lazarus Group有关的复杂洗钱网络。Lazarus Group是代表朝鲜政府行事网络犯罪组织。与朝鲜相关的组织曾多次与加密行业最大规模的盗窃案联系在一起,因此其赃款流向一直受到交易所、发行方和独立调查员的高度关注。

为取得该集团的信任,这位调查员动用自有资金349,700美元,在15个已确认的可疑账户中进行操作。具体而言,他发起测试交易,支付该集团标准5%的手续费,并追踪主要区块链上的非法资金流向。洗钱网络之所以承担这一角色,是因为公共区块链上的活动是永久可见的,被盗资金通常必须经由中间人转移,攻击者才能在不留下与原始攻击直接链上关联的情况下使用这些资金。

该犯罪集团一名使用化名Jimmy Green的成员向ZachXBT保证,洗白的资金不会被冻结。据这位链上侦探称,该组织经手了2025年2月Bybit攻击案被盗15亿美元中的大部分,以及2026年9月Bitget事件相关的3.87亿美元。Bybit被盗案被广泛报道为加密历史上最大的单次盗窃案,使其赃款流向成为业内最受关注的追踪案件之一。

随着信任加深,Jimmy开始分享运作细节。他谈到提前转移Bybit资金,提及在香港和中国大陆的活动,并发送了跨链桥的截图,ZachXBT很快在THORChain (RUNE)等区块链浏览器上完成了比对。Jimmy还提供了与某一集群相关的Solana (SOL)地址,该集群将通过Bitcoin (BTC)、Ethereum (ETH)和Tron (TRX)转移被盗Bybit资金中的超过1,200万美元。每一次链与链、桥与桥之间的跳转都会增加与原始攻击的隔离层——这正是ZachXBT能够在公共区块链浏览器上比对的模式。

ZachXBT的追踪随后帮助Tether冻结了被盗资金中的442,000美元。总体而言,自2022年以来,这位调查员协助冻结了与朝鲜黑客攻击相关的7,500万美元。Tether等稳定币发行方拥有在特定地址锁定代币的技术能力,因此准确锁定被盗资金的链上位置,可以直接将追踪工作转化为被冻结的余额。

他目前正在寻求资金支持以继续开展调查,并表示这将有助于进一步打击链上犯罪。这一请求是在他个人承担349,700美元风险的行动之后提出的,这一数字说明了独立链上执法的成本。