链上调查员ZachXBT：洗钱团伙公开求协助
链上调查员ZachXBT发文称，一批被指为朝鲜攻击方处理赃款的亚洲非法活动人员，正在所使用服务的公开Discord服务器与Telegram频道里求助，处理卡单兑换与出金，资金来自Bitget约3.875亿美元被盗事件。Bitget于9月24日披露热钱包与温钱包遭未授权转出，初估约3.516亿美元，后上修至约3.875亿美元，补计同一事件中Zcash与TRON上的转出。首席执行官Gracy Chen称手法与已知朝鲜黑客组织模式高度吻合。
ZachXBT列出五个化名及对应聊天账号、链上兑换哈希，包括Cc、jack、Melon、lolo/Marin与HELP ME。截图显示有人在THORChain及SwapKit类支持频道抱怨XRP兑比特币未到账：一名用户称打入277724枚XRP、仅退回431枚；另一人写道资产丢失会给自己带来很大麻烦。资金正经跨链桥在不同区块链间跳转，并进入Wasabi等混币服务。THORChain方面被指未封禁与攻击者相关的钱包。
被标记为Alias 4的lolo/Marin，此前还出现在今年4月18日Kelp DAO约2.92亿美元攻击的洗钱路径中。该案约116500枚rsETH从基于LayerZero的跨链设施被抽走，LayerZero与安全公司后将攻击归因于TraderTraitor（亦称UNC4899），属更广泛的Lazarus集群。FBI曾将TraderTraitor与2024年日本DMM Bitcoin约3.08亿美元失窃及2025年2月Bybit约15亿美元失窃并列。ZachXBT称在多起被归因于TraderTraitor的攻击后都看到同一洗钱模式，已追踪相关团伙，计划未来数周公布更多数据。
卖方是急于把赃款换成比特币并切断溯源的中间人，买方是仍提供跨链兑换与混币的服务节点。事件驱动来自兑换卡单迫使经办人走进公开客服频道，资金从交易所热钱包流向桥、再流向混币池。受益方是能在链上把聊天身份与哈希对齐的调查方，承压方是未及时冻结路径的跨链协议与仍开放支持工单的服务商。TRM等分析机构亦称Bitget赃款与过往朝鲜相关洗钱网络出现重叠。
来源：公开信息
ABAB AI 解读
ZachXBT三天前曾公开表示不打算跟Bitget这单，理由是不再为不支持其工作的行业对象耗时间；三天后发出带五个化名、Discord编号与THORChain哈希的长帖，说明调查触发点不是交易所求援，而是洗钱人员自己把工单打到了公开频道。这与其过往风格一致：先画钱包图，再等人把链下身份送上门。Alias 4同时出现在Kelp与Bitget两条赃款路径，把两起被归因TraderTraitor的事件从“手法相似”推进到“同一批搬运工”。
资本路径是国家背景攻击方负责突破与提币，外包给中文区中间人做跨链与混币。3.875亿美元里可见约1.03亿枚XRP分三笔离开Bitget，其中20万枚XRP进入THORChain。中间人要的是手续费与兑换通道，不要与攻击者绑定的公开身份；卡单迫使他们在Discord报交易哈希，等于把人、单、链三张表自己拼上。Wasabi接收的是已经跳过桥的比特币侧，目的是把可冻结的交易所资产变成更难批量拦截的混币输出。
类比2022年Lazarus用混币器处理Ronin、2025年Bybit失窃后的分层搬运，以及DMM Bitcoin案后FBI点名TraderTraitor。行业阶段上，攻击已从“偷了就跑”进入“必须有常备兑换台”：桥和客服频道成为洗钱产能。THORChain拒绝预封钱包，是去中心化兑换把审查成本外抛给事后追踪。Bitget把损失从3.516亿改到3.875亿，说明热钱包清点本身也滞后于链上分流。
结构判断属于监管变化尚未追上的产业链重构。机制是持牌交易所可以冻账户，跨链协议按哈希自动兑，客服按工单修故障，三套系统不共享同一制裁名单。国家行为体负责高成本入侵，把低技术、高暴露的搬运外包给会说中文、会开Discord的承包商。公开求助降低了链下取证成本，也暴露外包结构：攻击可以职业化，洗钱环节仍依赖会在公共频道喊“资产没到”的人。后续几周若更多哈希与账号对上，定价权会从“能否归因朝鲜”转到“哪一层服务商必须连坐”。
ABAB News · 认知定律
公开客服是洗钱链上最便宜的身份泄露
攻击可外包入侵，洗钱难外包沉默
桥只认哈希，不认制裁名单