独立链上侦探 ZachXBT 在 10 月 5 日发出一篇 12 段的长推文，按时间顺序完整复盘了他如何以“客户”身份混入一个为 Lazarus Group 洗钱超 10 亿美元的团伙。整个过程里，他自掏腰包砸进去 35 万美元，最后撬动了 7500 万美元的资产冻结。云栈社区整理这份材料时，严格按原推文顺序逐条拆解，把每个链上动作翻译成可复用的方法论。
第一步：观察——15+ 账号公开求洗钱
2025 年 2 月，15 亿美元规模的 Bybit 盗案刚被披露并归因到 Lazarus Group 旗下的 TraderTraitor。ZachXBT 在公开的 Telegram 群组和 Discord 服务器里发现一个反常模式——超过 15 个账号在公开求“能接 Bybit 盗案赃币的换币订单”。这等于把“我有赃币、想变现”的广告直接打到了阳光下。
这一步的红队价值一目了然：链上侦察不是坐在屋里盯仪表盘。犯罪分子同样用 IM（Instant Messaging，即时通讯）做生意，公开群组里的换币请求本身就是高质量的情报信源。
第二步：选定目标——锁定 Jimmy Green
ZachXBT 顺着 Bybit 关联的投诉账号一个个联系过去，其中一个就用了“Jimmy Green”这个化名。
- TG User：long_991
- TG ID：7635649994
选目标的核心在于找资金流向的“支点”。Jimmy 是中间商，不是直接盗币的黑客——这种角色往往两头通吃，最有情报价值。
第三步：备资——2025 年 3 月 6 日入资 34.97 万 USDC
为了让“客户身份”看起来真实，ZachXBT 在 2025 年 3 月 6 日往一个新地址充了 349,700 USDC，准备用来做几笔交易。
他的地址：
0x073256b50d66a7eb005f2a504d0a4fb6ea62a276
这一步的红队方法论很直接：渗透需要有真实资产当“门票”。情报员自己掏钱做钓饵，损失全由自己扛，没有任何保险兜底。
第四步：首笔交易——地址 0xbaa5 直追 Bybit
Jimmy 提供了地址 0xbaa5，让 ZachXBT 把 USDC 转过去，换取他的 Tron（波场）链 USDT。
链上追查结果如下：
- 0xbaa5 的 gas 费由 0xbcb4 资助
- 0xbcb4 可以直接追溯到 Bybit 盗案赃币
- 该地址已经在 Bybit 盗案公开黑名单站点上被标记
Jimmy Green 的完整地址：
0xbaa551da0ae0c93025d9a983a68025a27dc15337（ETH）TPwXAPwYaDCm7GrzNFiMmNnofrxEVURXRM（TRON）
这一步展示了链上追踪的核心动作：每个新地址都要查“上游资金来自哪”。一笔交易加一笔 gas 费，就能把对方扯进盗案溯源图里。
第五步：加码信任——多笔小额交易铺垫
完成几笔额外交易后，ZachXBT 把 Jimmy 的信任级别慢慢“养”了上去。
Jimmy Green 的更多地址：
0x1893ef01e700b1359280e11736d1b89fe97ed216（ETH）TS5hY6mm6UsCLNdVDWnsRA69LuAwfdn158（TRON）TMGjdFeBf9T6kGB9ZmLzeaAPYWBokuyTuS（TRON）
这正是社会工程学的经典套路——用小额高频交易养熟关系，等对方开始主动“交底”。
第六步：对方主动泄密——团队规模与运作模式
信任度起来之后，Jimmy 开始主动聊 Bybit 资金调度，而且常常比链上动作早一天预告。
ZachXBT 列出两个验证案例：
- Jimmy 说“明天会往 Solana 转一批”，第二天链上确实如此
- Jimmy 自称团队洗了 Bybit 盗案 15 亿赃款中的大部分，与 ZachXBT 观察到的洗钱模式吻合
到这一步，ZachXBT 意识到自己得继续以每单 5% 的损失当“门票”，用最快速度抓取可行动的情报。
第七步：桥接资金截图——链上秒级对账
2025 年 3 月 12 日，Jimmy 主动发了一张正在桥接（Bridge，跨链转移）资金的截图。ZachXBT 用金额和时间戳在 THORChain 浏览器上做对账——这条订单在他发图后几分钟内就上链了。
交易哈希：
81a85130b36057428e64b6f97215f77b5a197776a8f1b3a61c8cd0ee1ebfa8c1
这是链上情报的硬功夫——对方刚发图，浏览器已经把数据送上来了。
第八步：Solana 集群曝光——1200 万美元赃币实时换链
Jimmy 还分享了 3 个 Solana 地址。这三个地址暴露了一个价值 1200 万美元以上的 Bybit 赃币集群，正在按 BTC → ETH → SOL → Tron 的路径实时换链。
后续动作：
- 集群里 44.2 万 USDT 被 Tether 冻结
- 该集群还用了 Uniswap 流动性池里的非主流代币做“洗币新招”
Jimmy Green 的 Solana 地址：
9gSwa2Mew9P21Wxs8nFgDujTurKZx1nBEVRv6K5sJP6eEvZJGsDymrSUQyF23HLKEgUpjfd9XN1GTmm8AG6pFS7H8S6T5gL2w5z4M9TCehMgQjxVm3Q6R7WDHp6WFfbtZSAy
Tether 冻结地址：
0x652d7f9edaaa8891be2de74ea568d70af823d89e
第九步：交叉验证——2024 年的 30 万冻结到 Poloniex
Jimmy 提到“他认识的团队”在 2024 年有大约 30 万美元被冻结。ZachXBT 一查链上，实际数字是 332,000 USDC，来自 Poloniex 盗案。
Jimmy 还提到替另一个客户洗了 300 万美元的诈骗赃款。ZachXBT 把这笔钱追到了 Huione Guarantee 的一个热钱包——这家平台已经被 OFAC 制裁，前董事长已被捕。
情报交叉验证的价值在这一步充分体现：对方无意间说出的细节，往往是另一条独立案件的关键线索。
第十步：闲聊铺垫——生活细节也是情报
在正经情报交接的间隙，ZachXBT 和 Jimmy 聊过不少生活琐事——打麻将、猎野兔、吃减脂餐、家庭生活、迪士尼度假。
ZachXBT 在最后备注：“他语法别扭是因为用翻译软件。”
这一步的红队价值在于建立人格立体度。对方觉得你“懂他”，才会在关键问题上放松警惕。
第十一步：自掏腰包——35 万美元无回报
ZachXBT 在最后坦白这次行动的全部代价：
- 自掏腰包 349,700 美元
- 每单亏 5%，没有 Jimmy 跑路的兜底保证
- 还要承担来自犯罪团伙本身的人身风险
但收益也是实在的：自 2022 年起，他已经推动了 7500 万美元以上与朝鲜相关案件的链上冻结。
情报一旦成形，会立即同步给私营调查员和办案执法机关。由于调查敏感度，他没法第一时间公开——“这也是我这份工作里最让人无奈的地方。我手里还有其他几个重大案件的发现还没来得及公开”。
红队方法论小结
整篇看下来，ZachXBT 这套链上调查的操作可以拆成四步：
- 公开信号捕获：盯着 Telegram 和 Discord 公开群组里“求洗钱”的反常广告
- 链上资金拓扑：每给一个新地址就追上游 gas 来源，几笔交易就能画出盗案溯源图
- 社会工程学养熟：用小额真实交易养信任，等对方主动泄密
- 多源交叉验证：把对方闲聊里的小数字和别的盗案时间线对账，往往能揪出独立案件
最大的成本不是工具也不是技术，而是钱与时间。ZachXBT 在一年半时间里个人承担了 35 万美元的机会成本，没有赞助商兜底，全靠捐款和基金会拨款撑下来。
原文出处
- 原始推文：ZachXBT @ x.com
- 作者：ZachXBT（独立链上侦探，Paradigm 顾问）
- 发布时间：2026-10-05
- 文中所有链上地址、交易哈希均保留原文
发表于 昨天 21:36
|
查看: 7|
回复: 0
