著名白帽黑客揭露华人洗钱团队内幕

正文：

编译｜Odaily 星球日报（@OdailyChina）；译者｜Azuma（@azuma_eth）

编者按：本文为知名白帽黑客 ZachXBT 近期关于其暗访某华人洗钱团队的调查文章。在文中，ZachXBT 详细描述了自己如何伪装成洗钱客户，并与团队成员进行交流的过程。在赢得对方信任后，他得知该团队曾处理了 Bybit 被盗资金中近 15 亿美元的大部分。ZachXBT 还在调查中获取了一定线索，帮助冻结了一部分被盗资金，并将这些线索提供给了执法机构。

以下是 ZachXBT 原文内容，由 Odaily 星球日报进行编译。

近期，我卧底进入了一个有组织的华人犯罪团队，此团队曾在多次黑客攻击事件中为朝鲜黑客组织 Lazarus Group 洗钱超过十亿美元。

我伪装成客户进行情报收集，并协助冻结了2025年2月Bybit黑客事件中的被盗资金，同时在链上追踪并归因了这些非法活动。

这一切始于2025年2月，当朝鲜黑客组织“TraderTraitor”从Bybit窃取15亿美元后，我注意到异常现象——超过15个账号在Telegram和Discord的公开群组中发帖寻求客服帮助，涉及被盗资金的相关订单。

我主动联系了这些账号，其中一个在Telegram上使用的化名是“Jimmy Green”。

2025年3月6日，我向以太坊上的一个新地址充值了34.97万USDC，准备与Jimmy Green进行几笔交易。

Jimmy提供了他的地址（以0xbaa5开头），让我把USDC转入，以此换取他在Tron链上的USDT。

该地址的Gas费由另一个0xbcb4开头的地址提供，该地址可以追溯到Bybit被盗资金，并已被列入Bybit黑客事件的公开黑名单。

为了建立信任，我与他完成了多笔交易，Jimmy Green还使用了其他地址。

随后，Jimmy开始在资金转移前提前向我透露他们为朝鲜转移Bybit被盗资金的动向，以及他们在香港和中国大陆的运作细节。

例如，他会提前一天告知资金将转移到Solana，结果第二天链上确实发生了转移。他声称他的团队洗掉了Bybit被盗资金的大部分，这与我观察到的洗钱模式完全一致。

此时，我意识到我必须承受每笔订单5%的亏损，继续交易以尽快获取更多可操作的情报。

在2025年3月12日的一次案例中，Jimmy分享了一张他跨链转移资金的截图。通过THORChain浏览器上的金额和时间戳比对，我成功匹配到了在他发消息后几分钟内创建的一笔订单。

Jimmy还提供了三个Solana地址（具体如下），这些地址揭示了一个与超过1200万美元Bybit被盗资金相关的地址集群，该集群正在通过BTC ➡️ ETH ➡️ SOL ➡️ Tron链进行实时跨链兑换。

随后，相关集群的44.2万USDT被Tether成功冻结（0x652d7f9edaaa8891be2de74ea568d70af823d89e）。该集群还采用了一种新型洗钱手法：通过非流动性代币在Uniswap流动性池中进行洗钱。

Jimmy曾提到他认识的一个团队在2024年被冻结了约30万美元。我在链上确认了这笔冻结，实际金额为源自Poloniex被盗事件的33.2万USDC。

他还透露他们曾为另一位客户清洗了300万美元的诈骗赃款。我追溯这些资金，发现它们来自于汇旺担保（Huione Guarantee）的一个热钱包，该平台现已被制裁，其前董事长也已被捕。

在整个沟通过程中，除了讨论洗钱事项外，我和Jimmy还聊了许多日常话题，包括麻将、野兔捕捉、美食、减脂餐、家庭生活以及迪士尼度假。

值得注意的是，他的语法有些生硬，可能是使用了翻译软件。

我发布这篇文章的目的是希望能够继续获得来自基金会或个人的资助捐款，这将使我能够承担更高风险，调查那些被认为不可行或成本过高的特殊案件。

在这个案件中，我自掏腰包了34.97万美元作为本金，每笔交易都要承受5%的亏损，还面临Jimmy随时卷款跑路的风险，以及与犯罪集团直接接触所带来的未知人身危险。

自2022年以来，我已协助冻结了超过7500万美元与朝鲜黑客事件相关的资金。我所发现的调查线索已迅速共享给了值得信赖的私营领域调查员及负责此案的执法部门。

由于调查的高度敏感性，我此前无法尽早公开这些细节。这也是我这项工作的令人沮丧之处：我无法总是按照自己的意愿及时公布调查结果，目前我手中还有其他案件的大量重要发现亟待分享。

如果您对这起案件感兴趣，并且有能力提供支持，欢迎随时与我联系。

来源：Odaily星球日报