化名的鏈上調查員ZachXBT表示，他假扮為一個中國洗錢集團的客戶——該集團已為北韓Lazarus集團轉移超過10億美元的被竊加密貨幣。他自掏腰包支付349.7K USDC（約349,700美元），並接受每筆訂單5%的損失，以維持這項臥底行動。

在2026年10月5日於X發布的推文串中，ZachXBT表示，這次臥底工作收集到的情報協助推進了與2025年2月Bybit攻擊事件相關的資金凍結，並支持了對非法活動的鏈上歸因。他表示，這次行動揭露了超過1,200萬美元的Bybit被盜資金群組，Tether隨後凍結了與其相關的442,000 USDT。他補充說，自2022年以來，他已協助推進超過7,500萬美元與北韓事件相關的資金凍結。

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) October 5, 2026

一樁15億美元的目標案件

案件核心的攻擊事件於2025年2月發生在加密貨幣交易所Bybit，造成15億美元損失，是史上最大的加密貨幣竊案。FBI將該事件歸因於其用於指稱北韓駭客的名稱TraderTraitor。據ZachXBT所述，他接觸的洗錢者是一個為北韓工作的中國幫派。聯合國調查員多年來一直將北韓駭客組織與數十億美元的被竊加密貨幣聯繫起來，這些資金助長了該政權的武器計畫。

ZachXBT很可能是加密圈最知名、最多產的鏈上調查員。這位以化名為主的二十多歲年輕人多年來一直追蹤被盜資金，揭露駭客與詐騙案背後的人士，發布的推文串均以任何人都能驗證的公開區塊鏈數據為依據。即使在2023年遭一名昔日目標起訴並起底真實身分後，他仍持續進行調查。

「以客戶身分潛入，我收集到的情報協助推進了與2025年2月Bybit攻擊事件相關的資金凍結，並支持了對非法活動的鏈上歸因。」他寫道。

發現規律

切入點出現在攻擊事件發生後不久。「2025年2月，在歸因於與北韓有關的『TraderTraitor』組織的15億美元Bybit攻擊事件發生後不久，我觀察到Telegram和Discord公開群組中有15個以上帳號尋求與被盜資金直接相關訂單的協助，」他在X上寫道。

上週在價值3.87億美元的Bitget攻擊事件後，他再次看到同樣的模式。Bitget執行長以及區塊鏈追蹤公司Ellipic和Chainalysis均將該事件與北韓聯繫起來。

他在北韓相關案件上的紀錄使他具備採取行動的條件。在Bybit攻擊事件當天，他利用鏈上數據將其與Lazarus集團聯繫起來，FBI數日後也支持了這一歸因。他還指出，用於清洗Bybit資金的錢包與Lazarus更早的攻擊有關，包括Phemex和BingX的駭客事件。2024年，他對某Genesis債權人約4,100枚BTC被盜案的追蹤協助促成了逮捕。2025年2月，Paradigm聘請他擔任事件應變顧問，該公司聯合創辦人Matt Huang表示，他已為駭客與詐騙受害者追回超過3.5億美元。

ZachXBT表示，基金會的補助金和個人的捐款支持他的工作，使他能夠承接像這樣風險更高的案件。大多數鏈上追蹤是被動的——閱讀公開帳本而非接觸資金本身。透過假扮客戶，他從觀察者轉變為參與者，獲取了資金轉移預先通知等公開數據無法揭示的細節。

「Jimmy Green」

2025年，ZachXBT開始與那些為Bybit相關訂單尋求協助的帳號聯繫。其中一個在Telegram上化名「Jimmy Green」。

「2025年3月6日，我在以太坊上為一個新地址注入349.7K USDC，準備與Jimmy Green進行數筆交易，」他說。Jimmy提供了一個接收USDC的地址，以換取Tron上的USDT。ZachXBT寫道，該地址的gas費用由一個「可直接追蹤至Bybit攻擊資金、並已被標記在公開的Bybit攻擊黑名單網站上」的錢包支付。

「為了建立信任，我與他完成了另外幾筆交易，」他說。「在那後，Jimmy開始在事發前談論為北韓轉移Bybit資金，並透露他們在香港和中國大陸運作的基本細節。」

對ZachXBT而言，證明Jimmy預先知情的方式很簡單：「前一天他說資金將轉移到Solana，第二天資金就轉移了。」

持續追查是有代價的。「到了這個階段，我意識到我必須繼續承受每筆訂單5%的損失，並賭一把盡快獲取盡可能多的可行情報，」他寫道。「在這個案子中，我墊付了349.7K美元，每筆訂單損失5%，無法保證Jimmy不會帶著資金消失，還要承擔與該集團打交道的未知人身風險，」他說。

Jimmy急於促成更多生意。3月10日，他不斷聯繫這個假身分，直到ZachXBT繼續扮演角色，表示這種糾纏讓他「對你的業務失去信任」。Jimmy回答說：「團隊已經準備了100萬美元，隨時可以開始工作！」

在另一次對話中，Jimmy描述了團隊的運作方式：「我們有不同的分工。我們接收u，並將其分配給不同的承接者。」ZachXBT指出，「u」顯然是USDT的簡稱，即Tether發行的穩定幣。

鏈上的回報

這些對話轉化為可驗證的證據。ZachXBT寫道，2025年3月12日，他將Jimmy傳送的自己跨鏈轉移資金的截圖，與幾分鐘內創建的訂單相匹配，依據的是Thorchain瀏覽器上可見的金額與時間——Thorchain瀏覽器是這個直接跨鏈轉移代幣的去中心化協議上兌換交易的公開記錄。

Jimmy隨後分享了三個Solana地址。這些地址揭露了一個超過1,200萬美元的Bybit贓款群組正在即時兌換，從比特幣轉到以太幣再到Solana，最後轉到Tron。Tether隨後凍結了與該群組相關的442,000 USDT。這次凍結體現了加密世界中少數幾個硬性手段之一：一旦被盜資金轉換為USDT等代幣，發行方便可鎖定被標記地址上的資產。

Jimmy還主動提供了ZachXBT可以獨立核實的細節。他說他認識的一個團隊在2024年被凍結了約30萬美元；ZachXBT在鏈上找到了這筆凍結紀錄。實際金額為332,000 USDC，是在Poloniex攻擊事件中被竊的——這起2023年11月的駭客事件從該交易所盜走超過1億美元，研究人員已將其與北韓的Lazarus集團聯繫起來。

柬埔寨關聯

Jimmy表示，他曾為另一名客戶清洗了300萬美元的詐騙所得。ZachXBT追蹤到這些資金流向Huione Guarantee使用的一個熱錢包——Huione Guarantee是一個Telegram市場，犯罪分子在該平台出售洗錢服務和被盜數據。

Huione Guarantee隸屬於柬埔寨企業集團Huione Group，美國財政部FinCEN曾針對該集團涉嫌清洗至少40億美元資金採取行動。Telegram於2025年5月封禁了該市場，中國當局在柬埔寨將Huione Group前董事長冼樂嘉（Li Xiong）遣返後將其逮捕。

並非所有交流都涉及犯罪。「在我們的對話中，我和Jimmy在討論為北韓洗錢之餘有很多閒聊，」ZachXBT說。「他談到打麻將、獵野兔、美食、他的減脂餐、家庭生活，以及在迪士尼度假。」

有據可查的成果

這次誘捕行動並非一次性事件。「自2022年以來，我已協助推進超過7,500萬美元與北韓事件相關的資金凍結，」ZachXBT寫道。

他表示，調查結果會立即提供給可信的私營部門調查員以及負責該案的執法部門，而圍繞調查的敏感性使他無法提早發布。這篇推文串未點名該集團背後的任何人，也沒有描述源自這次行動的任何逮捕，基於他移交情報的進一步凍結或執法行動將是值得關注的後續發展。