15 亿被盗币难洗：卧底黑客揭秘洗钱黑产链

据 Woofun AI 消息，2025 年 2 月，朝鲜黑客对 发动攻击并盗走约 15 亿美元，匿名调查员 通过卧底行动深入洗钱网络，揭示了巨额资金转移背后的复杂链条与执法难点。

ZachXBT 的卧底行动始于他假扮成中国洗钱网络的一名客户，为此他投入了 349,700 枚 作为交易本金。在这一过程中，他每完成一笔交易便需承担 5% 的损失，这种高昂的成本是他为了获取普通区块链分析无法触及的内部信息而必须支付的代价。通过这种高风险的渗透，他成功追踪到超过 1200 万美元与 Bybit 盗窃案直接相关的资金流向。

更关键的是，他掌握的情报促使 冻结了 442,000 枚 。这一系列行动不仅暴露了单一案件的细节，更揭开了一个庞大的犯罪网络，该网络据信与朝鲜 Lazarus 集团有关，其涉及的加密货币盗窃总额已超过 10 亿美元，其中就包括了从 Bybit 盗取的巨额资金。ZachXBT 的发现表明，黑客攻击交易所仅是犯罪链条的起点，真正困难且充满风险的环节在于将被盗资产转化为可使用的法币或其他具有实际购买力的货币。

从宏观视角来看，这一案件折射出一个规模巨大的犯罪金融服务市场，美国当局在过去两年中一直试图瓦解这一体系。今年 9 月，美国财政部对 Xinbi Guarantee 实施了制裁，指控该平台自 2022 年以来已处理了价值超过 240 亿美元的数字资产和法币。美国财政部明确指出，朝鲜黑客是利用该平台从事非法活动的分子之一。

值得注意的是，在 Huione 遭到制裁后，犯罪分子试图将业务转移到 Xinbi 以继续其犯罪活动。这一现象表明，仅仅消除一个交易平台并不能切断支撑该平台的各种关系与需求，犯罪资金寻找替代通道的能力极强，显示出黑产基础设施的顽强生命力。

2025 年 2 月 26 日，美国联邦调查局正式将 Bybit 遭窃案归咎于朝鲜黑客，并将该行为命名为 。FBI 警告称，被盗资产正在被转换为 及其他加密货币，随后分散到数千个区块链地址中。虽然黑客身份很快被锁定，但找出处理被盗资金的中间人则需要大量的调查工作。ZachXBT 在公共 Telegram 和 Discord 群组中发现了超过 15 个账户公开寻求帮助，以处理与被盗 Bybit 资金相关的交易。这表明后续的洗钱过程中至少有一部分涉及中间人公开招揽或安排相关服务。他联系了其中的几个账户，最终与使用 Telegram 昵称 的人建立了联系，此人自称需要帮助在不同网络之间转移加密货币。

2025 年 3 月 6 日，ZachXBT 称自己向一个新的以太坊地址注入了 349,700 枚 USDC，然后通过该联系人开始在波场（）上将这种与美元挂钩的 token 兑换成 USDT。

尽管兑换条件并不理想，但他仍这么做是为了让自己显得像一个可靠的客户。这种安排存在巨大风险，即中间人可能会带着资金直接消失。黑客们依赖中间人，而这些中间人反过来也有可能偷走他们的钱，由于缺乏可执行的商业保护措施，声誉和个人关系就变得尤为重要，有助于维持这些合作关系。这也为 ZachXBT 提供了进入该犯罪网络的途径，因为愿意进行多次交易的客户对提供服务的人来说价值更高。