ZachXBT自掏34.97万USDC卧底,渗透以太坊(ETH)上Lazarus洗钱网络

链上调查员ZachXBT披露,他曾经打入一个中国有组织犯罪团伙内部,该团伙为朝鲜Lazarus集团清洗的被盗加密货币超过10亿美元,而这次卧底的代价是他自掏腰包34.97万美元。在2026年10月5日发布的一条推文串中他写道,通过假扮洗钱客户,他收集到的情报随后被用于执行2025年2月Bybit被盗案的冻结操作,并在链上完成非法活动的归属认定。

事件始于15亿美元规模的Bybit被盗案发生不久之后。ZachXBT在公开的Telegram和Discord群组中发现超过15个账户在为与被盗资金相关的订单寻求帮助,其中一名操作者使用化名Jimmy Green。2025年3月6日,他向以太坊(ETH)上的一个全新地址注入349,700枚USDC。USDC是由Circle Internet Group发行的稳定币。此后他开始与Jimmy交易,后者把USDC换成了Tron网络上的USDT。这个接收地址收到的手续费来自一个可直接追溯至Bybit被盗资金的钱包,且该钱包已被列入公开的Bybit被盗黑名单。

每一笔完成的订单他都要亏掉5%,他也承认Jimmy随时可能卷款消失,还伴随着无法估量的人身风险。回报是情报:Jimmy在Bybit资金转移发生之前就谈及相关安排,还透露了在香港和中国大陆的行动细节。到3月10日,他开始催促更多订单;当这个假身份推脱时,他回应称团队随时备有100万美元可以开工。2025年3月12日,ZachXBT把Jimmy发来的自己跨链转移资金的截图,与几分钟前记录在Thorchain浏览器上的订单匹配成功。Thorchain浏览器是这条跨链协议兑换记录的公开账本。随后Jimmy分享了三个Solana地址,暴露出超过1200万美元的Bybit赃款集群:资金从比特币跳到以太坊,再到Solana,最后落到Tron。Tether随后冻结了与该集群相关的442,000枚USDT。

从Bybit赃款到汇王

Bybit案记录是整个案子的支柱。ZachXBT在2025年2月攻击发生当天,就用链上数据把从交易所流出的15亿美元与Lazarus集团联系起来,数天后美国联邦调查局确认了这一归属,将其归入该机构追踪的TraderTraitor集群。他还证明,为Bybit赃款洗钱的钱包与Lazarus更早袭击Phemex和BingX的案件相关联。在后续发帖中,Jimmy声称他的团队已清洗了Bybit被盗资金的大部分,并分享了攻击者地址以及一笔经THORSwap跨链转移的实例。

交叉验证与聊天内容同样关键。Jimmy提到有一个团队在2024年有大约30万美元被冻结;而链上对应的事实是,2023年11月Poloniex被盗案中被窃的332,000枚USDC遭冻结,那起损失超过1亿美元的攻击已被研究人员归到Lazarus名下。当Jimmy自称已为另一名客户清洗300万美元诈骗赃款时,ZachXBT将资金追溯到Huione Guarantee使用的热钱包。Huione Guarantee是Telegram上的担保市场,与柬埔寨企业集团汇王集团相关,美国财政部金融犯罪执法网络认定其涉嫌洗钱至少40亿美元。Telegram在2025年5月封禁了该市场,汇王集团前董事长李雄在被柬埔寨驱逐后被中国警方逮捕。

这一手法可以复制。上周,Bitget发生3.87亿美元被盗案,Bitget首席执行官以及追踪公司Elliptic和Chainalysis均将攻击者指向朝鲜,随后ZachXBT再次发现多名中国账户在公开招募洗钱帮助。他表示,自2022年以来,他协助执行的与朝鲜事件相关的冻结金额已超过7500万美元。2025年2月,做市商Paradigm聘请他担任事件响应顾问,联合创始人Matt Huang称他已为黑客和诈骗的受害者追回超过3.5亿美元。他的高风险调查经费则来自基金会资助和个人捐赠。

这次卧底改变了什么

COINOTAG认为,这次披露的重点不在钱,而在方法。一名私人调查员自费行动,每单吃下5%的损失,最终产出的是发行方和执法部门可以直接执行的链上锚点:从442,000枚USDT的冻结,到2022年以来累计7500万美元的涉朝冻结。这些发现对执法的意义大于对以太坊价格走势的意义。ZachXBT描述的保密流程也决定了披露节奏:要等到私营调查机构和指定执法人员完成各自工作后才能发布,所以结果总是晚到且集中出现。本次披露距离Bybit被盗案约19个月,且是在冻结已经落地之后。