鏈上偵探ZachXBT：自費滲透洗錢網絡
鏈上偵探ZachXBT發文稱，他曾假扮客戶滲透一箇中國有組織犯罪洗錢網絡。該網絡被指爲與朝鮮相關的Lazarus Group在多起漏洞利用中洗錢超過10億美元。他收集的情報推動了2025年2月Bybit被盜15億美元事件的資金凍結和鏈上歸因。
Bybit事件後，他在Telegram和Discord公開羣組看到逾15個賬戶在承接與被盜資金相關的訂單，並接觸了化名Jimmy Green的操作者。2025年3月6日，他向新以太坊地址打入34.97萬USDC，分多筆換成對方的波場USDT以建立信任。對方後來提前透露轉移計劃，並稱其團隊清洗了Bybit被盜資金的大部分。ZachXBT稱，每筆訂單他接受約5%虧損，以換可行動情報。
對方提供的三個Solana地址暴露一個超過1200萬美元的Bybit資金集羣，路徑跨比特幣、以太坊、Solana和波場。其中44.2萬USDT隨後被Tether凍結。收款地址的燃料費來自Bybit公開黑名單上的地址。對方發送的跨鏈截圖，在金額和時間上能對上數分鐘內生成的THORChain訂單。對方還提到香港和中國大陸的操作安排。
另兩段說法也在鏈上對上。一筆他稱2024年被凍約30萬美元的資金，對應2023年11月Poloniex被盜案中於2024年5月凍結的33.2萬USDC。另一筆300萬美元欺詐所得，被追溯到後來遭制裁的匯旺擔保熱錢包。相關發現已交給私營部門調查人員和執法部門。尚無機構就這次滲透發佈獨立聲明。
ZachXBT稱，此案墊付34.97萬美元，並承擔資金損失和人身風險。自2022年以來，他已協助推動與朝鮮相關事件有關的超過7500萬美元資產凍結。同一調查還把該網絡與2026年9月Bitget約3.87億美元被盜事件聯繫起來。他同時呼籲基金會和個人資助，以繼續做其他人認爲不可行的案件。
這是情報驅動的凍結，不是市場價格事件。買方是被盜項目、穩定幣發行方和執法協作方，賣方是承接贓款訂單的洗錢網絡。資金沒有迴流受害者全體，但44.2萬USDT和33.2萬USDC被截停，黑名單地址被標出。受益的是能拿到提前轉移計劃和地址的調查方，承壓的是依賴公開羣組接單、並把對手方當成客戶的洗錢通道。
來源：公開信息
ABAB AI 解讀
ZachXBT從2022年起就把朝鮮相關被盜資金的公開追蹤做成個人案件流，累計推動超過7500萬美元凍結。2025年2月Bybit損失15億美元后，公開黑名單和交易所地址成爲他這次滲透的對照底稿。Lazarus Group此前在2017年WannaCry、2022年Ronin與Harmony橋被盜中留下跨鏈拆分痕跡，這次被他指向的不是黑客入口，而是後端接單網絡。
他墊付的34.97萬美元沒有變成股權或賞金，而是換成對方的波場USDT，換回的是提前轉移計劃、Solana地址和跨鏈截圖。這些材料再交給Tether、私營調查人員和執法部門，才變成44.2萬USDT凍結、33.2萬USDC與Poloniex舊案的對應，以及300萬美元流向後來被制裁的匯旺擔保熱錢包。資本路徑是個人預付調查成本，穩定幣發行方執行凍結，制裁名單把場外擔保節點從可用通道里拿掉。
類比是2013年後連鎖分析公司用公開賬本做的交易所合作凍結，而不是政府臥底專案。差別在於成本由個人先付，5%損耗算進情報價格。行業仍處在控制階段：漏洞利用沒有停止，2026年9月Bitget約3.87億美元被盜仍被他連到同一接單羣體，但凍結點從黑客錢包轉到穩定幣發行方和場外擔保熱錢包。
結構上這是產業鏈重構。被盜資金要變成可花費餘額，必須經過接單、跨鏈和擔保節點。公開羣組接單讓調查員能以客戶身份進入，穩定幣發行方則掌握最後的凍結開關。定價權因此不在被盜項目，而在誰能把對話提前量和鏈上地址同時交給發行方。
ABAB News · 認知定律
黑產靠接單，調查就靠假裝下單。
凍結權不在受害者，在穩定幣發行方。
情報的價格，是先墊出去的那筆虧損。