區塊鏈調查員 ZachXBT 表示,他花費數月時間假扮客戶,臥底潛入一個中國有組織犯罪集團,並指控該集團在多起與 Lazarus Group 相關的加密貨幣攻擊事件中洗錢超過 10 億美元。Lazarus Group 是一個受北韓支持的駭客組織,自 2019 年起便受到美國財政部制裁。

根據 ZachXBT 的說法,他臥底期間蒐集到的情報,協助推動了與 2025 年 2 月 Bybit 攻擊事件相關的資金凍結,並協助將非法活動歸因於鏈上地址。他在 2026 年 10 月 5 日於 X 上發布的推文串中詳述了這次臥底行動。

2025 年 2 月,攻擊者從 Bybit 盜取約 15 億美元,該事件名列史上最大規模的加密貨幣竊案之一,其後續處理涉及跨多條區塊鏈及發行方的追蹤與凍結行動。

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

這項行動始於 2025 年 2 月 Bybit 遭攻擊後不久。ZachXBT 表示,他注意到公開的 Telegram 和 Discord 群組中有許多人尋求與被盜資金相關交易的協助,促使他聯繫多個與該攻擊事件交易有關的帳號。這次接觸讓他認識了一位綽號「Jimmy Green」的 Telegram 用戶,他最終開始與對方聯繫,並假扮成尋求洗錢服務的客戶。

ZachXBT 投入 349,700 美元風險以進入該網絡

為了進入該網絡,ZachXBT 為一個新地址注資,並於 2025 年 3 月 6 日開始與該操作者交易,投入 349,700 枚 USDC。他表示交易內容包括以 USD 換 ETH,以及以 USDT 換 Tron。這位調查員刻意在每筆交易中承受近 5% 的損失,以建立自己作為真實客戶的信任,並形容這筆資金是為了推進行動而賭注。

這種做法讓他得以了解該網絡涉嫌在香港和中國大陸進行的「洗錢」活動。ZachXBT 表示,Jimmy 後來談到與 Bybit 攻擊事件相關資產的轉移計劃,進而對應到鏈上可識別的交易。

1,200 萬美元資金群被追蹤至 Bitcoin、Ethereum、Solana 和 Tron

重大突破出現在 Jimmy 流傳一張涉嫌跨鏈轉帳的截圖時。ZachXBT 表示,該截圖在金額和時間上均與 THORChain(一種用於在區塊鏈之間交換資產的跨鏈協議)上的一筆交易相符,且該交易是在訊息發出後數分鐘內創建的。這位操作者還提供了多個 Solana 地址。從這些地址中,ZachXBT 偵測到超過 1,200 萬美元的 Bybit 資金高度集中,這些資金曾在 Bitcoin、Ethereum、Solana 和 Tron 之間轉移。

他後來表示,與該資金群相關的 442,000 枚 USDT 最終被 Tether 凍結。Tether 是 USDT 的發行方,其合約允許其在特定地址封鎖轉帳。他補充說,他還觀察到一種較新的洗錢手法,即利用 Uniswap 流動性池和流動性不佳的代幣,這種轉變擴大了分析師在追蹤被盜資金時需要篩查的模式範圍。

Bybit 資金並非唯一的加密貨幣蹤跡

這項調查還揭露了其他非法加密貨幣資金流的關聯。ZachXBT 表示,Jimmy 曾提及先前有 300,000 美元被凍結;根據鏈上分析,這筆資金與據報仍在 Poloniex 攻擊事件(即 2023 年 Poloniex 交易所遭駭)中被盜的 332,000 枚 USDC 有關。另一次對話則涉及約 300 萬美元的詐騙資金,被識別為屬於 Huione Guarantee 的一個熱錢包,該平台是此前在非法金融研究中被點名的線上市場。據 ZachXBT 所述,這兩筆款項都在他與該操作者的交流中被提及。

ZachXBT 表示,他的調查結果已分享給「私家調查員和執法人員」。他說,自 2022 年以來,他的工作已協助促成超過 7,500 萬美元的資金凍結,這一數字反映出私人鏈上研究人員、穩定幣發行方與執法部門在被盜資金於可識別地址出現時,日益協同進行凍結。基於此次行動中查獲的被盜加密貨幣,他指出,此案顯示非法資金在原始攻擊事件發生後很久,仍可能持續在多個中介之間流轉。