鏈上調查員ZachXBT：洗錢團伙公開求協助
鏈上調查員ZachXBT發文稱，一批被指爲朝鮮攻擊方處理贓款的亞洲非法活動人員，正在所使用服務的公開Discord服務器與Telegram頻道里求助，處理卡單兌換與出金，資金來自Bitget約3.875億美元被盜事件。Bitget於9月24日披露熱錢包與溫錢包遭未授權轉出，初估約3.516億美元，後上修至約3.875億美元，補計同一事件中Zcash與TRON上的轉出。首席執行官Gracy Chen稱手法與已知朝鮮黑客組織模式高度吻合。
ZachXBT列出五個化名及對應聊天賬號、鏈上兌換哈希，包括Cc、jack、Melon、lolo/Marin與HELP ME。截圖顯示有人在THORChain及SwapKit類支持頻道抱怨XRP兌比特幣未到賬：一名用戶稱打入277724枚XRP、僅退回431枚；另一人寫道資產丟失會給自己帶來很大麻煩。資金正經跨鏈橋在不同區塊鏈間跳轉，並進入Wasabi等混幣服務。THORChain方面被指未封禁與攻擊者相關的錢包。
被標記爲Alias 4的lolo/Marin，此前還出現在今年4月18日Kelp DAO約2.92億美元攻擊的洗錢路徑中。該案約116500枚rsETH從基於LayerZero的跨鏈設施被抽走，LayerZero與安全公司後將攻擊歸因於TraderTraitor（亦稱UNC4899），屬更廣泛的Lazarus集羣。FBI曾將TraderTraitor與2024年日本DMM Bitcoin約3.08億美元失竊及2025年2月Bybit約15億美元失竊並列。ZachXBT稱在多起被歸因於TraderTraitor的攻擊後都看到同一洗錢模式，已追蹤相關團伙，計劃未來數週公佈更多數據。
賣方是急於把贓款換成比特幣並切斷溯源的中間人，買方是仍提供跨鏈兌換與混幣的服務節點。事件驅動來自兌換卡單迫使經辦人走進公開客服頻道，資金從交易所熱錢包流向橋、再流向混幣池。受益方是能在鏈上把聊天身份與哈希對齊的調查方，承壓方是未及時凍結路徑的跨鏈協議與仍開放支持工單的服務商。TRM等分析機構亦稱Bitget贓款與過往朝鮮相關洗錢網絡出現重疊。
來源：公開信息
ABAB AI 解讀
ZachXBT三天前曾公開表示不打算跟Bitget這單，理由是不再爲不支持其工作的行業對象耗時間；三天後發出帶五個化名、Discord編號與THORChain哈希的長帖，說明調查觸發點不是交易所求援，而是洗錢人員自己把工單打到了公開頻道。這與其過往風格一致：先畫錢包圖，再等人把鏈下身份送上門。Alias 4同時出現在Kelp與Bitget兩條贓款路徑，把兩起被歸因TraderTraitor的事件從“手法相似”推進到“同一批搬運工”。
資本路徑是國家背景攻擊方負責突破與提幣，外包給中文區中間人做跨鏈與混幣。3.875億美元裏可見約1.03億枚XRP分三筆離開Bitget，其中20萬枚XRP進入THORChain。中間人要的是手續費與兌換通道，不要與攻擊者綁定的公開身份；卡單迫使他們在Discord報交易哈希，等於把人、單、鏈三張表自己拼上。Wasabi接收的是已經跳過橋的比特幣側，目的是把可凍結的交易所資產變成更難批量攔截的混幣輸出。
類比2022年Lazarus用混幣器處理Ronin、2025年Bybit失竊後的分層搬運，以及DMM Bitcoin案後FBI點名TraderTraitor。行業階段上，攻擊已從“偷了就跑”進入“必須有常備兌換臺”：橋和客服頻道成爲洗錢產能。THORChain拒絕預封錢包，是去中心化兌換把審查成本外拋給事後追蹤。Bitget把損失從3.516億改到3.875億，說明熱錢包清點本身也滯後於鏈上分流。
結構判斷屬於監管變化尚未追上的產業鏈重構。機制是持牌交易所可以凍賬戶，跨鏈協議按哈希自動兌，客服按工單修故障，三套系統不共享同一制裁名單。國家行爲體負責高成本入侵，把低技術、高暴露的搬運外包給會說中文、會開Discord的承包商。公開求助降低了鏈下取證成本，也暴露外包結構：攻擊可以職業化，洗錢環節仍依賴會在公共頻道喊“資產沒到”的人。後續幾周若更多哈希與賬號對上，定價權會從“能否歸因朝鮮”轉到“哪一層服務商必須連坐”。
ABAB News · 認知定律
公開客服是洗錢鏈上最便宜的身份泄露
攻擊可外包入侵，洗錢難外包沉默
橋只認哈希，不認制裁名單