区块链调查员 ZachXBT 表示，其自费垫付 349,700 美元，假扮客户渗透一个据称与朝鲜 Lazarus Group 及 2025 年 Bybit 黑客事件相关的中国有组织犯罪洗钱网络，并收集到可协助冻结涉案资金的情报。
ZachXBT 在 X 平台发布的详细帖文中称，该中国犯罪集团为 Lazarus Group 的多起攻击事件洗钱超过 10 亿美元。他称，2025 年 2 月 Bybit 事件发生后，他注意到 Telegram 和 Discord 群组中有超过 15 个账户寻求与盗取资金订单相关的帮助，随即展开调查。
为获取情报，他假扮客户，向一个新的以太坊地址注入 349,700 USDC，并与化名“Jimmy Green”的供应商进行多笔交易。2025 年 3 月，Jimmy 提供一个接收地址“0xbaa5”，用于在 Tron 网络上将 USDC 兑换为 USDT。
ZachXBT 称，Jimmy 的接收地址由一笔钱包提供 gas，而该钱包可直接追溯至 Bybit 被盗资金，并出现在 Bybit 公开的黑客事件黑名单上。他还称，Jimmy 在交易发生前讨论了为朝鲜转移 Bybit 资金，并分享了该团体在香港和中国大陆的运作细节。
“前一天，他说资金将转移到 Solana，第二天确实如此。”ZachXBT 称，“他说他的团队洗白了 Bybit 15 亿美元中的大部分，这与我观察到的洗钱模式一致。”
ZachXBT 表示，Jimmy 的其他说法也显示与非法资金存在类似关联。Jimmy 分享的 3 月 12 日跨链桥截图，与几分钟内创建的 THORChain 订单相符。Jimmy 提供的三个 Solana 地址还帮助识别出一个超过 1200 万美元的 Bybit 被盗资金集群，这些资金已在 BTC、ETH、SOL 和 Tron 之间兑换。Tether 随后冻结了与该集群相关的 442,000 USDT。
他还称，两人对话中的另外两项说法可以核实。Jimmy 提到 2024 年约有 30 万美元被冻结，这与 Poloniex 黑客事件中的 332,000 USDC 相符。Jimmy 还声称曾为另一名客户洗白 300 万美元欺诈所得，ZachXBT 称其追踪到已被制裁的 Huione Guarantee 的一个热钱包。
ZachXBT 称，在与 Jimmy 讨论为朝鲜洗钱的过程中，两人也进行了不少闲聊，话题包括打麻将、猎野兔、食物、减肥餐、家庭生活和迪士尼度假。他最终垫付了 349,700 美元，每笔订单损失约 5%，且无法保证 Jimmy 不会携款消失。他表示，继续与该团体交易是为了“赌一把尽可能快地获取可操作情报”。
ZachXBT 表示，他已立即将调查结果分享给执法部门，但由于调查敏感性，无法更早披露细节。他还补充称，自 2022 年以来，他已协助促成冻结与朝鲜相关事件有关的 7500 万美元资金。