ZachXBT 乔装成诈骗分子，成功渗透进一支涉嫌为朝鲜洗白大部分 Bybit 盗窃所得 15 亿美元的华人团队。洗钱者不仅向他汇报金正恩最新动态，还分享了晚餐照片，甚至邀请他打麻将。
据 ZachXBT 透露，这些内部信息帮助执法机关冻结了部分资金，并成功追踪 Bybit 资金流向。调查期间，他自掏腰包垫付了 34.97 万美元，每笔订单需支付 5%“手续费”，该手续费正是支付给其调查对象的团队。
朝鲜洗钱团伙藏身何处？就在 THORChain 社区聊天室
时间回到 2025 年 2 月，Bybit 被盗案件刚刚发生。ZachXBT 留意到，公开的 Telegram 和 Discord 群组中有 15 个以上账号在寻求与被盗资产相关的订单协助。
其中一名用户自称 Jimmy Green，在 THORChain 拥有 10,845 名成员的社区聊天室发布了一笔卡单。THORSwap 团队成员回复，询问其兑换渠道。ZachXBT 指出，这些资金正是通过THORChain流动的 Bybit 被盗资产。
Jimmy 的 Telegram 个人简介实为招聘广告。广告以中文撰写，声称可为被风控的 $BTC、$ETH、$SOL 和 $TRX 提供混币洗钱服务，并承诺“绝无回流”。该账号绑定的是美国弗吉尼亚州区号的电话号码。
ZachXBT 的伪装身份，是持有来自隐私工具 Railgun 的“被标记”$ETH，需要将其兑换为 Tron 网络上的“干净” USDT。Jimmy 开价手续费为 5%。他办理的一笔 2.5 万美元订单，最终到账 23,750 USDT，正好扣除了 5%。
一个聊天中，金正恩能被提及多少次？
Jimmy 并未使用“某大客户”这类称呼，而是直接提到“金正恩”，甚至形容其如脾气多变的上游供货方。
后续的聊天内容读起来宛如一则加密“天气预报”。Kim 宣布暂停操作，原因是返还的币过于“脏”，正被调查中。Kim 之所以测试比特币，是担心 USDT 资金被冻结。在释放的 50 枚 $BTC 中，Jimmy 团队拿到了 30 枚。
期间，“那些外国人”下令暂停 10 天。Jimmy 抱怨称，朝鲜方面的币源暂停，他们团队正急需更多活儿。
ZachXBT 保持角色扮演，问 Jimmy 当天是否被“金正恩”忙坏了。Jimmy 回应说，自己现在“每天都很忙”。
他自称团队专业从事“币混洗、隔离、冻结规避”，还是“中国最大规模”的此类服务商。Jimmy 还向 ZachXBT 夸称，他们几乎清洗了 Bybit 平台 15 亿美元等值 $ETH 的资金。
ZachXBT 表示，Jimmy 的夸口与此前追踪到的洗钱模式基本吻合，但这仍属 Jimmy 单方面说法，尚未完全证实。此前，这位调查员曾公开指出有中国 OTC 交易员协助行动，为 Lazarus 组织搬运资金。
他真的提前预告了资金动向吗？
Jimmy 最大的“失误”，就是喜欢先说再做。一天早上，他宣称朝鲜团队第二天会启动操作，$BTC 将流向 Solana。次日，ZachXBT 发现资金果然转入 Solana 网络。
2025 年 3 月 12 日，Jimmy 还发来一张自己将 1.192 枚 $BTC 跨链兑换为 $ETH 的截图。ZachXBT 根据金额和时间点，对应上几分钟后 THORChain 上的新订单。
Jimmy 还主动交出了 3 个 Solana 钱包地址。相关链上数据曝光，超 1,200 万美元 Bybit 资金在 $BTC、$ETH、$SOL 和 Tron 之间循环流转。此后，Tether 冻结了其中关联的 44.2 万枚 $USDT。
一次偶然对话还解开了旧案谜团。Jimmy 无意提及，自己认识的团队曾在 2024 年被冻结大约 30 万美元。ZachXBT 顺藤摸瓜，在链上查到为 Poloniex 黑客事件中的 33.2 万 $USDC。
有人自曝曾利用 Huione Guarantee 热钱包洗钱 300 万美元诈骗款。ZachXBT 指出，这家柬埔寨市场已遭制裁，前董事长亦被逮捕。
究竟是谁在“猎猫捉老鼠”？
在数次沟通间隙，Jimmy 还发送了两锅热气腾腾炖菜的照片。肉类分别是野兔和野鸟，均为他亲手持枪捕获。他还询问 ZachXBT 是否会玩中国麻将。
有时候，他晒出自己的减脂餐、自制美式咖啡，还抱怨天气寒冷。ZachXBT 回忆道，他们甚至聊过家庭琐事与去迪士尼度假的趣事。
其中一张照片显示，Jimmy 用手机打开了一个钱包，余额约为 120 万枚 $USDT。镜头后方的笔记本正开着 Google 翻译，这也解释了他语法上的“独特风格”。
Jimmy 对自己的身份毫不避讳：“我们是老实做生意的。”他说这话时，又转来一批 $USDT。
他解释，之前的停顿，是因为团队怀疑 ZachXBT 欺骗了他们。诚信，始终排在第一。
与此同时，这位侦探则表现得若即若离。Jimmy 有时候凌晨发消息“早上好”，一个小时后又补一句“你好”，有时甚至凌晨只发一个问号。ZachXBT 因此训了他一顿。
Jimmy 赶紧道歉，表示团队随时可以动用 100 万美元启动交易。
ZachXBT 表示，所有资料已全部移交给私家侦探和执法机构，因此这篇推文晚了 19 个月才发布。他透露，自己自 2022 年起协助冻结的朝鲜（DPRK）相关资金已超 7,500 万美元——尽管被盗金额以十亿美元计。
类似的“工单求助”模式上月又再次出现。来自3.87 亿美元 Bitget 事件的洗钱团队，甚至在公开群组主动寻求转移资金的协助。事实证明，朝鲜的承包团队至今依然需要“客服支持”。
来源：BeInCrypto 中文（综合编译与客观梳理）
主流交易平台费率评测与官方防钓鱼安全指南
1. 非投资建议：本文内容及观点仅代表原作者或信源机构立场，不代表数链库观点，亦不构成本平台任何投资建议、财务指导或法律意见。加密资产市场波动剧烈，存在本金归零风险，投资决策需建立在独立思考之上，本文内容仅供参考，风险自担。
2. 客观中立与防钓鱼提醒：本站坚持客观中立的评测标准，不提供任何交易撮合或保本承诺。如需访问第三方交易所或钱包，请务必通过官方安全验证导航核对正版域名，谨防搜索引擎虚假钓鱼广告。