化名链上调查员 ZachXBT 表示,他伪装成客户潜入一个为朝鲜 Lazarus Group 转移超过 10 亿美元被盗加密货币的中国洗钱集团,自掏 349.7K USDC(约合 349,700 美元),并为维持行动运转接受每笔订单 5% 的损失。

在 2026 年 10 月 5 日发布于 X 的推文串中,ZachXBT 称这次卧底行动收集的情报协助冻结了与 2025 年 2 月 Bybit 攻击事件相关的资金,并支持了对非法活动的链上归因。他表示,此次行动曝光了超过 1,200 万美元的 Bybit 被盗资金集群,Tether 随后冻结了与之相关的 442,000 USDT。他还补充说,自 2022 年以来,他已协助冻结了超过 7,500 万美元与朝鲜事件相关的资金。

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) 2026 年 10 月 5 日

15 亿美元的目标

本案核心的攻击事件于 2025 年 2 月袭击加密货币交易所 Bybit,造成 15 亿美元损失,是史上规模最大的加密货币盗窃案。FBI 将该事件归因于其追踪朝鲜黑客所使用的代号 TraderTraitor。据 ZachXBT 称,他接触的洗钱者是一个为朝鲜干活的中国帮派。多年来,联合国调查人员一直将朝鲜黑客组织与数十亿美元的被盗加密货币联系起来,这些资金为该政权的武器计划提供资助。

ZachXBT 很可能是加密领域最知名、最高产的链上调查员。这位基本匿名的二十多岁年轻人多年来一直在追踪被盗资金并揭露黑客和骗局背后的人员,其发布的推文串基于任何人都可以核实的公开区块链数据。即使在 2023 年被一名前目标起诉并人肉曝光后,他仍坚持调查。

"Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain,"(以客户身份作掩护,我收集的情报协助冻结了与 2025 年 2 月 Bybit 攻击事件相关的资金,并支持了对链上非法活动的归因。)他写道。

发现规律

切入点出现在黑客攻击后不久。"In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor,' I observed pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord,"(2025 年 2 月,在归因于与朝鲜有关的 'TraderTraitor' 组织的 15 亿美元 Bybit 攻击事件发生后不久,我观察到 15 个以上账户在 Telegram 和 Discord 的公开群组中寻求与被盗资金直接相关的订单帮助,)他在 X 上写道。

上周价值 3.87 亿美元的 Bitget 黑客事件发生后,他再次看到了同样的模式,Bitget 首席执行官以及区块链追踪公司 Ellipic 和 Chainalysis 均将该事件与朝鲜联系起来。

他在朝鲜问题上的履历使他非常适合采取行动。在 Bybit 被黑当天,他利用链上数据将该事件与 Lazarus Group 联系起来,数日后 FBI 证实了这一归因。他还展示了用于洗白 Bybit 资金的钱包与更早的 Lazarus 攻击(包括 Phemex 和 BingX 黑客事件)存在关联。2024 年,他对一名 Genesis 债权人约 4,100 BTC 被盗案的追踪协助促成了逮捕。Paradigm 于 2025 年 2 月聘请他担任事件响应顾问,公司联合创始人 Matt Huang 表示,他已为黑客和骗局的受害者追回超过 3.5 亿美元。

ZachXBT 表示,基金会资助和个人捐款支持着他的工作,并让他能够承接像这样的高风险案件。大多数链上追踪都是被动的——只读取公开账本而不接触资金。通过伪装成客户,他从旁观者变成了参与者,获取到诸如资金转移预告等仅凭公开数据无法获得的细节。

"Jimmy Green"

2025 年,ZachXBT 开始联系那些曾寻求 Bybit 相关订单帮助的账户。其中一个在 Telegram 上的化名是"Jimmy Green"。

"On Mar 6, 2025, I funded a new address with 349.7K USDC on Ethereum in preparation to conduct several transactions with Jimmy Green,"(2025 年 3 月 6 日,我在以太坊上向一个新地址注入 349.7K USDC,准备与 Jimmy Green 进行多笔交易,)他说。Jimmy 提供了一个接收 USDC 的地址,以换取 Tron 上的 USDT。ZachXBT 写道,该地址的 gas 费由一个"可直接追溯至 Bybit 攻击资金、并被标注在公开的 Bybit 攻击黑名单网站上"的钱包提供。

"I completed several additional transactions with him in order to build up trust,"(为了建立信任,我又与他完成了几笔交易,)他说。"After that, Jimmy began to talk about moving Bybit funds for DPRK in advance of it happening, along with basic details about their operation in [Hong Kong] and mainland China."(在那之后,Jimmy 开始在行动发生前谈论为朝鲜转移 Bybit 资金的事宜,并透露了他们在香港和中国内地运作的基本细节。)

对 ZachXBT 而言,Jimmy 事先知情的最简单证据是:"one day prior he stated funds would be moved to Solana and the next day they were."(前一天他说资金将被转移到 Solana,第二天资金确实被转移了。)

继续追查是有代价的。"At this point, I realized I needed to continue losing 5% per order and gamble on capturing as much actionable as quickly as possible,"(到这一步,我意识到我需要继续接受每笔订单 5% 的损失,赌一把尽快获取尽可能多的可行动情报,)他写道。"For this case, I fronted $349.7K and lost 5% on each order, with no guarantee Jimmy wouldn't disappear with the funds, and an unknown amount of personal risk from dealing with the syndicate,"(就这起案件而言,我垫付了 349.7K 美元并在每笔订单上损失 5%,无法保证 Jimmy 不会卷款消失,还要面对与该集团打交道的未知人身风险,)他说。

Jimmy 迫切想要更多生意。3 月 10 日,他不断催促这个假身份,直到 ZachXBT 顺着角色表示这种纠缠让他"lose trust in your business"(对你的生意失去信任)。Jimmy 回复说"the team has prepared $1 million and is ready to start work at any time!"(团队已准备好 100 万美元,随时可以开工!)

在另一次聊天中,Jimmy 描述了团队的运作方式:"We have different divisions of labor. We take the u and distribute it to different acceptors."(我们分工不同。我们收取 u 并分发到不同的承接人。)ZachXBT 指出,"u"显然是 Tether 发行的稳定币 USDT 的简称。

链上的回报

这些对话转化成了可验证的证据。ZachXBT 写道,2025 年 3 月 12 日,他通过 Thorchain 浏览器(一个记录该去中心化协议跨链直接兑换的公开日志)上的金额和时间,将 Jimmy 发来的自己桥接资金的截图与在消息发出后几分钟内创建的一笔订单匹配了起来。

Jimmy 随后分享了三个 Solana 地址。它们曝光了超过 1,200 万美元的 Bybit 赃款正在实时兑换,从 Bitcoin 转到 Ether,再到 Solana,最后转到 Tron。Tether 随后冻结了与该集群相关的 442,000 USDT。这次冻结展示了加密领域少数几个硬性手段之一:一旦被盗价值转换为 USDT 等代币,发行方就可以锁定被标记地址上的资产。

Jimmy 还主动提供了 ZachXBT 可以独立核实的细节。他说他认识的一个团队在 2024 年有约 30 万美元被冻结;ZachXBT 在链上找到了这次冻结。实际数字为 332,000 USDC,是在 Poloniex 攻击事件中被盗的——这起 2023 年 11 月的黑客事件从该交易所盗走超过 1 亿美元,研究人员已将其与朝鲜的 Lazarus Group 联系起来。

柬埔寨关联

Jimmy 还表示,他曾为另一名客户洗白 300 万美元的欺诈所得。ZachXBT 将这些资金追踪到 Huione Guarantee 使用的一个热钱包——Huione Guarantee 是一个 Telegram 市场,犯罪分子在那里出售洗钱服务和被盗数据。

Huione Guarantee 隶属于柬埔寨企业集团 Huione Group,美国财政部 FinCEN 曾就该集团涉嫌洗钱至少 40 亿美元对其采取行动。Telegram 2025 年 5 月封禁了该市场,柬埔寨将 Huione Group 前主席 Li Xiong(李雄)遣返后,中国当局将其逮捕。

并非所有交流都围绕犯罪。"Throughout our conversations, Jimmy and I had a lot of small talk in between discussing laundering for DPRK,"(在我们的谈话中,Jimmy 和我在讨论为朝鲜洗钱之余还聊了很多闲话,)ZachXBT 说。"He talked about playing mahjong, hunting wild rabbits, food, his fat reducing meal, family life, and vacations at Disney."(他谈到打麻将、打野兔、食物、他的减脂餐、家庭生活以及在迪士尼的度假。)

有据可查的成果

这次卧底行动并非孤例。"Since 2022, I have helped action $75M+ in freezes related to DPRK incidents,"(自 2022 年以来,我已协助冻结了超过 7,500 万美元与朝鲜事件相关的资金,)ZachXBT 写道。

他说,他的发现会立即提交给可信赖的私营部门调查人员以及负责该案的执法部门,而调查的敏感性使他无法更早公开发布。这条推文串没有点名该集团背后的任何个人,也没有提及由此行动产生的逮捕,基于他移交的情报而可能展开的进一步冻结或执法行动,将是接下来值得关注的发展。