區塊鏈調查員 ZachXBT 表示，他花了數週時間喬裝成中國洗錢網絡的付費客戶，該網絡為與北韓相關的行為者處理竊取的加密貨幣，他冒著自己 349,700 USDC 的風險以取得該組織的信任。他於 10 月 5 日在 X 上公布這項臥底行動的細節，距離引發調查的 2025 年 2 月 Bybit 遭駭事件將近 18 個月。

根據 ZachXBT 的說法，該網絡在多起與 Lazarus Group 相關的攻擊中已處理超過 10 億美元，但該總額尚未經執法機構獨立證實。規模之所以重要，是因為與北韓相關的組織位列加密貨幣領域最活躍的竊盜行為者，而美國政府的評估也多次將此類收益描述為該政權的資金來源。

FBI 於 2025 年 2 月 26 日將金額約 15 億美元的 Bybit 竊案——史上最大規模的加密貨幣竊案——歸咎於其追蹤名為 TraderTraitor 的北韓行為者，並當時警告被竊資產已分散至數千個地址和多條區塊鏈。

以 349,700 美元建立信任

ZachXBT 表示，他在公開的 Telegram 和 Discord 群組中辨識出超過 15 個帳號，這些帳號就他認為與被竊 Bybit 資金相關的交易尋求協助。在聯繫數個帳號後，他與一名使用「Jimmy Green」化名的 Telegram 操作者建立了持續的關係。

2025 年 3 月 6 日，ZachXBT 向一個全新的以太坊地址注入 349,700 USDC，並開始與該操作者交換 Tron 上的 USDT。他表示每筆訂單的成本約為 5%，且無法保證對方會歸還資金。調查通常依賴事後追蹤資金；在此案例中，直接參與則揭示了僅憑公開鏈上數據無法得知的運作細節。

冒險換來了證據。交易過程中提供的一個以太坊地址，其 gas 來自一個 ZachXBT 直接追蹤到 Bybit 攻擊所得的錢包。Bybit 此前已建立公開黑名單系統，將已識別的攻擊者地址分發給調查員和追回合作夥伴。

這層接觸也帶來了資金流向的預先情報。ZachXBT 表示，Green 在相關交易出現在鏈上的前一天，就告訴他與 Bybit 相關的資金將轉移至 Solana。

聊天記錄揭露 1,200 萬美元的 Bybit 資金集群

3 月 12 日的一次交易為 ZachXBT 提供了另一個比對點。Green 傳送了一張跨鏈轉帳的截圖，其交易金額和時間與幾分鐘內建立的一筆 THORChain 訂單相符。

對話過程中提供的三個 Solana 地址，隨後揭露超過 1,200 萬美元的 Bybit 相關資金流經比特幣、以太坊、Solana 和 Tron。此路由方式符合 Bybit 遭竊後先前觀察到的跨鏈洗錢模式，當時 THORChain 成為贓款的主要通道；以這種方式跨鏈轉移價值，是掩蓋竊盜與變現之間軌跡的常見手法。\n與已識別集群相關的一個 USDT 地址於 2025 年 3 月 14 日遭凍結。ZachXBT 估計受影響餘額約為 442,000 USDT，而 BlockSec 的鏈上追蹤器證實該地址已進入 Tether 的凍結狀態。此類穩定幣凍結是少數能在贓款兌換為 USDT 等代幣後直接使其無法動用的干預手段。

更廣泛的洗錢問題持續至 2026 年。ZachXBT 近日將 9 月 Bitget 攻擊事件的錢包與疑似北韓行為者聯繫起來，而另一些與 Lazarus 相關的錢包今年稍早也透過 Hyperliquid 轉移超過 3,000 萬美元。

ZachXBT 表示，由於相關調查仍在進行中，他等了將近 18 個月才公布這項臥底行動的細節。他補充說，他在與北韓相關案件上的工作，自 2022 年以來已協助促成超過 7,500 萬美元的資產凍結。由於這些調查尚未結束，隨著該網絡更多基礎設施浮出水面，可能還會有更多披露、地址列入黑名單或凍結行動。

來源：Crypto Adventure