导语：链上调查员ZachXBT表示，他自费349,700美元假扮客户，接触与朝鲜有关联的中国洗钱团伙，获取情报并协助冻结2025年2月Bybit被盗案相关资金。该案造成Bybit约15亿美元损失，FBI将其归因于朝鲜黑客组织TraderTraitor。
ZachXBT在X帖子中称：“假扮客户，我收集到帮助推动2025年2月Bybit事件冻结并归因链上非法活动的情报。”他将该团伙描述为替朝鲜工作的中国帮派。他还表示，这些涉嫌洗钱者并未特别隐藏行踪。
对于不常关注加密黑客事件的人来说，ZachXBT可能是业内最知名、最多产的链上调查员之一。这位主要匿名的20多岁调查者多年追踪被盗加密资产，并点名诈骗和黑客背后人员。他的帖子依赖公开区块链数据，且在2023年被前目标起诉并人肉后仍继续调查。
据其介绍，2025年2月Bybit事件后不久，他在Telegram和Discord公开群组中发现超过15个账户寻求与被盗资金直接相关的订单帮助。上周Bitget发生3.87亿美元黑客事件后，他又看到类似情况；Bitget CEO以及Elliptic、Chainalysis均将该事件与朝鲜联系起来。
ZachXBT在Bybit被黑当天就用链上数据将其与Lazarus Group关联，FBI数日后支持这一归因。他还展示，用于清洗Bybit资金的钱包与早前的Lazarus攻击有关，包括Phemex和BingX黑客事件。2024年，他对Genesis债权人约4,100枚BTC被盗案的追踪帮助促成逮捕。2025年2月，Paradigm聘请他担任事件响应顾问；联合创始人Matt Huang称，ZachXBT已帮助归还超过3.5亿美元给黑客和诈骗受害者。
ZachXBT称，来自基金会的资助和个人捐款让他能够承担像本次这样风险更高的案件。2025年，他开始联系抱怨Bybit相关订单的账户，其中一个在Telegram上名为Jimmy Green。2025年3月6日，ZachXBT称他为一个新地址注入349,700 USDC（以太坊），准备与Jimmy Green进行多笔交易。Jimmy给他一个地址，要求发送USDC以换取Tron上的USDT。
ZachXBT写道，该地址曾由一个可直接追溯到Bybit被盗资金、并被列入公开Bybit被盗资金黑名单网站的钱包提供gas。他随后又完成数笔交易以建立信任。之后，Jimmy开始提前谈论为朝鲜转移Bybit资金，并透露其香港和中国大陆行动的基本细节。ZachXBT称，证据之一是Jimmy前一天表示资金将转移到Solana，第二天资金果然转移。
继续追踪需要成本。ZachXBT写道：“此时我意识到，我需要继续每单损失5%，并赌自己能尽快获取尽可能多可操作情报。”他说自己垫付349,700美元，每单损失5%，且不保证Jimmy不会携款消失，同时还要承担与犯罪集团打交道带来的未知个人风险。
Jimmy渴望更多交易。3月10日，他不断联系这个虚假身份，直到ZachXBT以角色口吻表示这让他对Jimmy的业务失去信任。Jimmy回答称，团队已准备好100万美元，随时可以开始工作。在另一段聊天中，Jimmy解释团队设置：“我们有不同分工。我们收u，然后分发给不同接收者。”这里的u显然指Tether发行的稳定币USDT。
聊天最终带来链上证据。ZachXBT写道，2025年3月12日，他将Jimmy发送的一张跨链资金截图，与消息发出后几分钟内创建的一笔订单匹配，金额和时间均可在Thorchain浏览器这一去中心化协议公开日志中查证。Jimmy随后分享三个Solana地址。这些地址暴露出一个超过1,200万美元的Bybit被盗资金集群正在实时兑换，从比特币跳到以太坊、Solana，最后到Tron。Tether后来冻结了与该集群相关的442,000 USDT。
Jimmy还透露了ZachXBT可核查的细节。他说自己知道的一个团队在2024年约有30万美元被冻结，ZachXBT在链上找到了这笔冻结。实际数字是332,000 USDC，来自Poloniex事件——这起2023年11月黑客攻击从该交易所盗走超过1亿美元，研究人员将其与朝鲜Lazarus Group联系起来。
随后是柬埔寨线索。Jimmy还说，他为另一名客户清洗了300万美元诈骗所得，ZachXBT将这些资金追踪到Huione Guarantee使用的热钱包。Huione Guarantee是Telegram上的市场，犯罪分子在此出售洗钱服务和被盗数据。它隶属于柬埔寨集团Huione Group，美国财政部FinCEN曾因涉嫌清洗至少40亿美元而将其列为目标。Telegram于2025年5月封禁该市场，中国当局在柬埔寨驱逐后逮捕了Huione Group前主席Li Xiong。
并非所有对话都围绕犯罪。ZachXBT称：“在我们对话中，Jimmy和我在讨论为朝鲜洗钱之余有很多闲聊。”他说Jimmy谈到打麻将、猎野兔、食物、减脂餐、家庭生活，以及去迪士尼度假。
这次卧底并非一次性行动。ZachXBT写道：“自2022年以来，我已帮助推动与朝鲜相关事件有关的7500万美元以上冻结。”他说，调查结果立即提供给可信的私营部门调查人员及负责案件执法部门，调查敏感性使他无法更早公布。