区块链调查员 ZachXBT 在 Telegram 上伪装成诈骗者数月，潜入一个中国洗钱团伙，他称该团伙处理了 2025 年 2 月从 Bybit 窃取的 15 亿美元中的大部分——这笔赃款与朝鲜有关。他为这次行动垫付了 349,700 美元自有资金，并对每笔订单收取 5% 的费用，这意味着他正在调查的人反而在付钱给他。
他收集的证据帮助当局冻结了资金，并确认了 Bybit 资金流向的归属。公开的推文串在黑客事件发生 19 个月后才发布，因为他首先将所有信息交给了私人调查人员和执法部门。
掩护故事是如何奏效的
ZachXBT 的切入点是基于一个简单而棘手的问题：他告诉该团伙，他有来自隐私工具 Railgun 的标记 ETH，需要变成 Tron 上干净的 USDT。这对洗钱者来说是个常见的麻烦，该团伙信以为真。
其中一名洗钱者使用化名“Jimmy Green”，并在 THORChain 拥有 10,845 名成员的社区聊天中发布了一笔卡住的交易。Jimmy Green 的 Telegram 个人简介宣传通过混币服务处理被标记的 BTC、ETH、SOL 和 TRX——对于一个靠不被注意而生存或灭亡的生意来说，这是一个相当公开的推销。他的账户关联着一个弗吉尼亚区号的美国电话号码。
Jimmy Green 报出了现行费率：5%。一笔早期测试订单返回了 23,750 USDT，即对 25,000 美元收取了 5% 的费用。
吹嘘、钱包，以及一次 Solana 之旅
这位洗钱者并不害羞。他直呼金正恩的名字，把这位朝鲜领导人当作一个喜怒无常的供应商。他声称他的团队洗白了 Bybit 15 亿美元 ETH 中的几乎全部——尽管这个数字仍然是他自己的说法，并非经过核实的数字。
对调查人员更有用的是，他有时会宣布朝鲜的工作将涉及什么。他说这将在“明天”开始，比特币将回到 Solana。第二天，资金转移到了 Solana。
2025 年 3 月 12 日，Jimmy Green 发送了一张自己将 1.192 BTC 跨链兑换为 ETH 的截图。ZachXBT 将其与几分钟后创建的一笔 THORChain 订单匹配上了。这种马虎的时间安排正是导致这些行动失败的原因。
Jimmy Green 还提供了三个 Solana 地址。这些地址暴露了一个价值 1200 万美元或更多的 Bybit 资金集群，这些资金通过 BTC、ETH、SOL 和 Tron 循环。Tether 后来冻结了与该集群相关的 442,000 USDT。
他提到一个团队在 2024 年约有 30 万美元被冻结。ZachXBT 在链上找到了它：来自 Poloniex 漏洞利用的 332,000 USDC。另一次关于洗白 300 万美元欺诈所得的吹嘘，引出了一个位于 Huione Guarantee 的热钱包，这个柬埔寨市场后来受到制裁，其前董事长被捕。
暴露他的人类细节
Jimmy Green 发送了饭菜照片，询问 ZachXBT 是否会打中国麻将，并分享了个人细节。一张照片显示他的手机屏幕上显示着一个持有约 120 万 USDT 的钱包，后面有一台笔记本电脑正在运行谷歌翻译。
ZachXBT 在公开的 Telegram 和 Discord 群组中识别出 15 个或更多账户，这些账户寻求帮助处理与被盗资金相关的订单。该团伙并没有躲在黑暗的角落里——而是在公开渠道中招揽生意。
为什么推文串来迟了——以及接下来会发生什么
Bybit 黑客事件发生在 2025 年 2 月。完整的叙述直到本周才公开，因为 ZachXBT 选择在发布前将其转交给私人调查人员和执法部门。从盗窃到公开清算之间有 19 个月的间隔，这解释了为什么部分线索已被清理——或冻结。
尚未解决的是，这 15 亿美元中有多少实际流经了这个特定团伙。Jimmy Green 声称他的团队处理了几乎全部资金，这只是一个想让自己看起来很重要的男人的说法。经过核实的部分则更为有限——被冻结的 442,000 USDT、1200 万美元的集群、与 Poloniex 相关的 332,000 USDC。执法部门尚未表示弗吉尼亚号码或“Jimmy Green”化名是否已指向真实身份。
