大多数链上侦探仅从外部追踪被盗加密货币，但这位匿名者 ZachXBT 表示，他将 34.97 万美元自有资金直接汇给了正在转移这些资金的团伙成员。
他在 X 平台（原 Twitter）上写道：“伪装成客户，我收集的情报有助于对 2025 年 2 月的 Bybit 被盗事件采取行动冻结，并归属链上的非法活动。”ZachXBT 指出，该团伙是一个为朝鲜工作的中国黑帮。
此次事件指的是造成加密货币交易所 Bybit 损失 15 亿美元的漏洞攻击。FBI 将此事归咎于其追踪的朝鲜黑客组织“TraderTraitor”。ZachXBT 称，这些涉嫌洗钱者并没有刻意隐藏行踪。
对于不混迹“加密 Twitter”、不熟悉日常加密货币黑客和漏洞事件的人来说，ZachXBT 可能是该领域最著名、最高产的链上调查员。这位大多保持匿名的 20 多岁年轻人多年来一直追踪被盗加密货币，并揭露诈骗和黑客事件背后的真凶。他的分析基于任何人都可查看的公开区块链数据，即便在 2023 年遭前任目标起诉并人肉搜索后，他仍坚持进行调查。
2025 年 2 月，在 Bybit 被归咎于朝鲜关联组织“TraderTraitor”发生 15 亿美元被盗事件后不久，ZachXBT 今日在帖子中写道，他在 Telegram 和 Discord 的公共群组中观察到 15 个以上账户公开寻求帮助处理与被盗资金直接相关的订单。
上周 Bitget 发生 3.87 亿美元被盗事件后，他也注意到了类似现象。Bitget 首席执行官及区块链追踪公司 Elliptic 和 Chainalysis 已将此事与朝鲜联系起来。
他在追踪朝鲜关联活动方面的记录颇为相关。在 Bybit 被黑当天，他便利用链上数据将其与 Lazarus 集团联系起来，几天后 FBI 也支持了这一归属认定。他还显示，用于清洗 Bybit 资金的钱包与之前的 Lazarus 攻击有关，包括 Phemex 和 BingX 被盗事件。
2024 年，他对从 Genesis 债权人处被盗约 4100 BTC 的追踪工作帮助导致了逮捕行动。2025 年 2 月，Paradigm 聘请他担任事件响应顾问，其联合创始人 Matt Huang 称他已向黑客和诈骗受害者追回超过 3.5 亿美元。ZachXBT 表示，来自基金会的资助和个人捐赠让他能够承担此类风险较高的案件。
回到 2025 年，ZachXBT 开始联系那些抱怨与 Bybit 相关订单的账户。其中一个人在 Telegram 上化名“Jimmy Green”。
他说：“2025 年 3 月 6 日，我在以太坊上向新地址注资 34.97 万 USDC，准备与 Jimmy Green 进行多笔交易。”Jimmy 给了他一个地址以接收 USDC，作为交换，他会在 Tron 链上提供 USDT。
ZachXBT 写道，该地址已接收由一个“可直接追踪至 Bybit 被盗资金，并被标注在公共 Bybit 黑名单网站上”的钱包支付的 Gas 费。
他说：“为了建立信任，我与他又完成了几笔额外交易。”此后，Jimmy 开始在他行动之前透露关于为朝鲜移动 Bybit 资金的计划，并提供了他们在香港和中国大陆运营的基本情况细节。
ZachXBT 提供的证据显示：“前一天他说资金将被转移到 Solana，第二天果然发生了。”
维持调查是有成本的。“此时，我意识到我需要每单继续承受 5% 的亏损，并尽可能快地争取到可行动的情报。”他写道。
“对于这个案件，我垫付了 34.97 万美元，每单亏损 5%，且无法保证 Jimmy 不会卷款消失，同时也面临与团伙打交道带来的未知个人风险。”
Jimmy 表现得急于承接更多业务。3 月 10 日，他持续催促这个假身份，直到 ZachXBT 入戏说道这让他“对你的业务失去信任”。Jimmy 的回答是：“团队已准备好 100 万美元，随时可以开始工作！”
在另一段聊天中，Jimmy 解释了团队架构：“我们有不同的分工。我们接收 USDT 并将其分发到不同的接收方。”这里的“u”显然是指 Tether 发行的稳定币 USDT。
这些聊天记录在链上得到了验证。ZachXBT 写道，2025 年 3 月 12 日，他将 Jimmy 发送的自己桥接资金的一张截图，与几分钟内生成的订单匹配。他使用了 Thorchain 探索器上的金额和时间数据，这是一个记录去中心化协议跨链直接转移币种交换的公共日志。
随后，Jimmy 分享了三个 Solana 地址。这些地址暴露了一个正在实时交换的超过 1200 万美元 Bybit 被盗资金集群，资金从比特币跳转到以太坊，再到 Solana，最终流入 Tron。Tether 随后冻结了与该集群关联的 44.2 万美元 USDT。
Jimmy 还提供了一些 ZachXBT 可以核实的信息。他说，他所知的一个团队在 2024 年被冻结了约 30 万美元，ZachXBT 在链上找到了该冻结记录。实际数字为 33.2 万美元 USDC，这些资金是在 Poloniex 被盗事件中盗取的，该事件发生于 2023 年 11 月，从交易所抽走了超过 1 亿美元，研究人员已将此事与朝鲜 Lazarus 集团联系起来。
接着出现了柬埔寨关联。Jimmy 还表示，他曾为另一位客户洗钱了 300 万美元的诈骗所得。ZachXBT 将这些资金追踪到 Huione Guarantee 使用的一个热钱包，这是一个 Telegram 市场，犯罪分子在此出售洗钱服务和被盗数据。
Huione Guarantee 隶属于 Huione Group，这是美国财政部 FinCEN 针对的柬埔寨 conglomerate，涉嫌洗钱至少 40 亿美元。Telegram 于 2025 年 5 月封禁了该市场，而在中国当局逮捕前 Huione Group 董事长李雄之后，柬埔寨将其遣返。
并非全是犯罪谈话。“在整个对话过程中，我和 Jimmy 在讨论为朝鲜洗钱的间隙进行了很多闲聊。”ZachXBT 说，“他谈到打麻将、猎野兔、食物、他的减肥餐、家庭生活以及迪士尼度假。”
这次卧底行动并非孤例。“自 2022 年以来，我已协助行动冻结了与 DPRK 事件相关的超过 7500 万美元资金。”ZachXBT 写道。他表示，他的发现立即发送给可信的私营部门调查员以及负责该案的执法部门，由于对调查的敏感性，他推迟了发布。