2025年2月朝鲜黑客从Bybit窃取约15亿美元加密货币后，区块链调查员ZachXBT伪装成洗钱客户，深入犯罪网络内部。他投入349700枚USDC，甘愿承担5%交易损失，最终追踪到超过1200万美元涉案资金，并协助Tether冻结44.2万枚USDT。调查揭示了一个洗白超10亿美元朝鲜黑客脏款的洗钱网络。美国财政部2024年9月对Xinbi Guarantee实施制裁，该平台自2022年起处理超240亿美元交易。同期Huione Group被指2021年至2025年洗白至少40亿美元非法所得。
文章作者：Andjela Radmilac
文章编译、来源：Saoirse，Foresight News
2025 年 2 月，朝鲜黑客从 Bybit 窃取了约 15 亿美元加密货币。尽管这次黑客攻击已经得到大量报道与解析，但事件后续以及被盗资金的去向却鲜少受到关注。
想要转移这笔巨额赃款，黑客必须仰仗一整套愿意处理被盗资产的人际网络。而由此形成的关系链条，只要投入足够资金，就能够被渗透。
化名区块链调查员 ZachXBT 就采取了这一办法。他拿出 349700 枚 USDC，伪装成某中文洗钱网络的客户，甘愿接受每笔交易 5% 的亏损。他最终获取关键线索，追踪到超过 1200 万美元与 Bybit 失窃案相关的资金；据他本人表述，这些信息也协助 Tether 冻结了 442000 枚 USDT。
他的调查揭开了一个洗钱网络。据他判断，该网络洗白了超 10 亿美元来自朝鲜 Lazarus Group 加密盗窃案的赃款，本次 Bybit 攻击所得赃款也包含在内。
这项调查指向一个规模庞大的非法金融服务黑市，美国当局过去两年一直在对此开展打击行动。
同年 9 月，美国财政部对 Xinbi Guarantee（新币担保）实施制裁。美方称，自 2022 年起，该交易平台通过自身系统处理了超过 240 亿美元的数字资产与法币交易，朝鲜黑客正是使用该平台服务的非法主体之一。
财政部同时提到，Huione Group（汇旺集团）遭到制裁之后，犯罪分子转而利用 Xinbi Guarantee 继续开展非法活动。这表明，仅仅关停一个交易平台，无法根除背后的人脉关系与犯罪需求。
令人难以置信的是：入侵交易所、窃取资金，只是整个犯罪链条中相对简单的环节。真正的难点在于，把窃得的加密货币兑换成法定货币或是其他具备实际购买力的资产。
想要完成变现，黑客必须借助各类支付服务与灰色人脉，而这也为调查人员和监管机构留下了介入的突破口。
投入 349700 枚 USDC 的「卧底客户」
2025 年 2 月 26 日，FBI 认定 Bybit 失窃案系朝鲜黑客所为，行动代号为 TraderTraitor，并发布预警：被盗资产正被转换为比特币及其他加密货币，再分散转入数千个区块链地址。
虽然黑客身份很快确定，但要找到经手赃款的中介机构，仍需要大量调查工作。
ZachXBT 称，他在 Telegram 与 Discord 的公开群组内发现，有超过 15 个账号承接与 Bybit 赃款相关的交易业务。这意味着，至少在部分洗钱环节中，中介会公开招揽业务、撮合交易。
他联系了其中数个账号，最终对接上电报昵称为 Jimmy Green 的联系人，对方声称可以协助跨链转移加密货币。
ZachXBT 表示，2025 年 3 月 6 日，他向一个全新的以太坊地址转入 349700 枚 USDC，通过该联系人将以太坊链上的 USDC 兑换为波场链的 USDT。为塑造真实客户的身份，他接受了并不占优的兑换条件。
这 349700 枚 USDC 是用于交易的本金，并非调查带来的净亏损；他愿意承担每笔交易 5% 的损失，以此换取普通链上分析无法获取的情报。
这类交易本身也蕴藏风险：中介有可能直接卷款跑路。
黑客所仰仗的中介本身也可能背信弃义、侵吞赃款。由于不存在具备强制效力的商业保障，圈内声誉和私人交情，成为维系这套合作的核心。
而这恰恰为 ZachXBT 提供了渗透机会：对于服务方而言，愿意反复开展交易的客户具备更高价值。
凭借这层卧底关系，他获取的信息不再局限于钱包地址。中介会在执行交易前，和他商议资金转移方案。ZachXBT 得以将私下沟通的内容，与公链上留存的交易记录交叉比对。
有一次，中介在交易尚未发生时，就和他商量把资金转移至 Solana 链。其余兑换记录以及钱包关联线索，据信帮助他锁定了一大批和 Bybit 失窃案相关的资产。
这是调查的关键转折点：链上数据只能记录交易行为，却无法确认交易背后的行为人及其真实动机。交易双方的私下沟通记录，才是锁定资金控制者、明确资金用途的核心证据。
尽管 ZachXBT 的调查结论与 FBI 官方记录并非完全吻合，但这仍是近年来极具分量的调查行动。它证明，单凭区块链数据无法完成的工作，可以依靠人际关系与商业往来取证实现；同类方法也有望应用于其他加密盗窃案件的调查。
追踪到 1200 万美元≠成功追回 1200 万美元
ZachXBT 称，通过与 Jimmy Green 的对接，他锁定了分布于多条公链、总规模超 1200 万美元的 Bybit 涉案资金集群。
他还透露，此后 Tether 冻结了 442000 枚和朝鲜黑客案件相关的 USDT。这说明，当赃款依旧停留在 USDT、USDC 这类由发行方管控的代币中时，快速识别被盗资产，对挽回损失至关重要。
需要区分两组数据：追踪到 1200 万美元，并不代表这笔资金全部遭到冻结；冻结 442000 枚 USDT，也不等于这些代币已经被没收、返还 Bybit。
442000 枚 USDT 这一数字，以及该笔冻结和本次调查的关联，均来自 ZachXBT 的个人表述；Tether 也曾公布过针对 Bybit 失窃案规模更大的冻结操作。
从发现被盗加密货币、找到经手中介，到取得对赃款的法律或技术控制权，中间存在巨大鸿沟。
公链本身无法阻止资产被再次转移。一旦资金流经不愿配合调查、或是处于司法管辖范围之外的服务平台，情况会更为棘手。
中心化发行的稳定币为监管留下介入抓手：发行方拥有管理权限，可以限制特定地址转账。原生比特币不存在发行方提供的冻结机制；不过，当局取得合法授权后，依旧可以扣押托管机构保管的比特币，或是掌控对应私钥。
这就意味着，调查不仅需要精准溯源，查到的资金余额还必须处于具备技术能力与执法权限的机构的管辖范围内。
Bybit 开展资产追回工作期间，法院禁令叠加金融中介的配合，可以在盗窃发生很久之后限制资产流动，但无法保证全额追回。
问题在于，被盗加密货币会在不同钱包、公链、托管方与交易对手之间不断拆分流转。资金每经过一个新平台，追讨方往往就要重新搜集证据，启动新一轮法律程序。
这也就是为什么调查人员能够看清资金流向，却无力阻止下一笔转账，或是拿回被盗资金。
规模达 40 亿美元的加密洗钱业务
借助外部中介洗白赃款并非 Bybit 失窃案独有的现象。美国执法档案显示，当局长期在追查各类灰色业务 —— 这类业务专门把被盗加密货币转化为犯罪分子可以实际使用的资产。
2020 年 3 月，美国司法部起诉两名中国公民田寅寅、李家栋，指控二人洗钱总价值超 1 亿美元的加密货币，赃款大多源自交易所黑客攻击。
这些指控表明，即便没有亲自实施黑客入侵，中间人在整个犯罪链条中依旧扮演着核心角色。
财政部的制裁公告还披露，田寅寅曾将近 140 万美元的比特币兑换为苹果 iTunes 预付礼品卡。由此可见，洗钱链条的末端未必是复杂的跨国金融服务，普通零售储值卡也会被加以利用。
同样的变现需求，在一些撮合犯罪分子与结算、兑换、支付服务商的交易平台上，以更大规模运作。
2025 年 5 月，美国财政部金融犯罪执法网络（FinCEN）将总部位于柬埔寨的 Huione Group（汇旺集团）列为重点洗钱金融机构。调查发现，2021 年 8 月至 2025 年 1 月，该集团洗白的非法所得至少达到 40 亿美元。
其中 FinCEN 确认，至少有 3700 万美元加密货币来自朝鲜网络盗窃，其余赃款来源于各类投资诈骗与网络骗局。
40 亿美元是上述全部犯罪行为的涉案总金额；3700 万美元，是该机构核实到的、与朝鲜相关赃款的最低估值。
FinCEN 的评估报告指出，该集团的反洗钱与客户身份核验机制存在严重漏洞。身份核查的缺失，使得集团下属机构得以间接接收朝鲜黑客攻击得来的赃款。
这份调查的意义并不局限于单笔交易。如果一家中介可以持续提供支付通道，就会成为多个犯罪团伙共用的犯罪基础设施，各个犯罪组织无需自行搭建赃币变现渠道。
资金大量汇集于这类平台，它们也就成为制裁、资产扣押、切断银行合作以及其他执法行动的打击目标。
Huione Group 的交易平台承接了海量交易与非法业务。即便 Telegram 封禁了该网络的部分渠道，平台运营方依旧试图维持业务运转。
平台总交易量和 FinCEN 统计核实的非法所得，统计口径并不相同，不能把所有流经平台的资金直接认定为已经证实的犯罪赃款。
犯罪平台可以关停，但犯罪客户依旧存在
难题在于：即便非法交易平台的基础设施被摧毁，催生这类业务的犯罪需求并不会消失，只要犯罪分子还能联系到其他替代服务商。
2026 年 6 月，美国司法部宣布查封 Huione Group 子公司所使用的云服务器后台。据称，这些服务器被用于转移诈骗、网络犯罪以及其他非法活动的收益。
此次行动是在美方早前对该集团实施限制措施之后展开，目标是支撑非法资金转移与资产隐匿的技术设施。
然而摧毁基础设施，并不能自动切断犯罪客户与接单中介之间的联系。
9 月 9 日，财政部的制裁公告清晰揭示了这一局限：当局制裁了 Xinbi Guarantee。这是一个非法交易市场，负责撮合犯罪组织与能够提供金融服务、技术及其他资源的商户。
财政部表示，自 2022 年前后起，Xinbi 处理的数字资产与法币交易总规模折合超 240 亿美元，业务主要面向东南亚市场。
如此庞大的体量，让该平台成为打击犯罪组织金融基础设施执法行动的重点对象。
财政部还提到，在 FinCEN 整治 Huione 之后，网络犯罪分子将业务迁移至 Xinbi，以此维持自身运作。这个新平台为同一批客户提供几乎完全相同的服务。
监管机构描绘出一个市场化的灰色生态：当原有渠道因执法打击变得不再可靠，参与者就会转而寻找下一家服务商。
在针对 Huione 的打击行动期间，Telegram 下架了数千个 Huione Guarantee 相关频道，相关商户纷纷投奔其他替代交易平台。
正因如此，打击行动的成效，不能只用关停的网站、账号、服务器数量来衡量。只要犯罪客户仍有非法金融服务的需求，就会想方设法找到仍在运营的服务商，重建资金通道。
当然，打击行动依旧会抬高犯罪成本，比如资产被冻结、结算失败、熟悉的交易对手消失。但只要犯罪行为有利可图，转移赃款的经济动机就会一直存在。
执法机构面临的困境，就是不断抬高整个替代服务商网络的犯罪成本，降低其业务稳定性。
Tether 冻结操作，迫使加密洗钱网络转向其他支付工具
针对 Xinbi Guarantee 的执法行动表明，金融限制可以扰乱犯罪活动，但也会倒逼犯罪团伙更换支付渠道。
Tether 开展了一系列冻结操作，在至少 22 个 Xinbi 相关钱包中冻结总计超 4500 万美元的 USDT。
随即该交易平台告知用户，将转向使用 USDD。这种稳定币不像 USDT，发行方没有地址冻结权限。
这是一个关键转变：当涉案资金还处于发行方管控范围内，代币冻结功能对调查人员极具价值；想要规避监管的犯罪客户，就会倾向选用管控机制不同的资产。
这件事说明，支付体系的某一环遭到限制，交易就会流向其他渠道。调查人员既要追踪资产的去向，也要追查提供通道的服务商。
在 9 月的整治行动中，当局同样打击了 Xinbi 的相关基础设施，扣押价值超 5200 万美元的加密货币。与此同时，资产提现速度加快，竞品交易平台据称开始限制洗钱商户入驻。
上述案件，和 ZachXBT 提及的朝鲜黑客相关 442000 枚 USDT 冻结属于两起独立事件。公开报道无法证实二者涉及相同地址、人员或是资金。
但两个案例都印证一点：犯罪团伙高度依赖金融中介。即便原始盗窃已经完成，中介服务依旧给监管留下介入窗口。
如果代币发行方具备资产冻结能力，风险就集中在可识别地址内的资金余额。如果一个平台为多个犯罪团伙提供服务，它的薄弱点就包括基础设施、商户人脉、结算安排。
两条路径都可以提升赃款转移与使用的成本和风险。
撮合交易的中间人，更难被替代
ZachXBT 的调查之所以能够取得突破，核心在于证明：通过付费卧底建立客户关系，可以挖出负责安排交易的人员信息。
长期经手被盗加密货币的犯罪中介，会积累圈内口碑，筛选固定的交易伙伴，摸清哪些服务可以完成交易、不会截留赃款。
这类人脉关系，会让犯罪运作随着时间推移变得更加高效。尤其当客户需要大额转账，既不想暴露身份，又担心交易对手卷走资金时。
不过一旦老牌服务商被打掉，这套合作关系很难迅速重建。替代服务商往往收费更高、拒收可疑资金，或是业务稳定性不足。
这种依附关系，也为调查带来新的情报来源。服务商可能会透露未来的交易计划、其他参与方，以及完成订单所需的支付基础设施。
调查人员依旧需要结合链上记录与其他证据核验情报。一个地址收到盗窃相关资金，不代表收款方知情，或是主观参与犯罪。
但将私下聊天记录与后续区块链资金流向交叉比对，能够减少信息的不确定性，这是单纯追踪交易流水无法做到的。
更多执法案例表明，想要削弱非法金融服务的吸引力，不能只是定期关停网站。催生这类生意的客户群体与牟利动机，会比网站服务器存续得更久。
不过扣押资产、切断金融通道、起诉服务商、锁定结算控制人，能够改变犯罪行为的成本收益。只是不同服务商，所能承受的风险临界点各不相同。
这也解释了：加密货币的被盗总金额，并不等同于犯罪分子成功变现、可供挥霍的资金；更不能直接认定这笔资金被用于特定军事或国家开支。
原始被盗金额、中介地址流转金额、成功兑换为实际购买力的金额，以及执法机构最终追回的金额，是四组相互独立的统计口径，均需要分别举证。
对朝鲜黑客而言，就算入侵行动取得成功，依赖洗钱服务也会带来后续风险。拿到被盗资产，不等于就有人愿意接收、兑换并最终完成消费。
ZachXBT 的卧底行动说明，这种变现需求，可以将客户关系转化为调查突破口。美国针对 Huione 与 Xinbi 的打击行动同样证明，即便犯罪客户不断更换阵地，灰色服务商本身依旧可以成为执法打击目标。
犯罪行为的核心软肋在于：窃取加密货币，和实际使用加密货币完全是两回事。后者依旧依托商业合作关系，所有参与方都有需要保全的资产、声誉与经济利益。
朝鲜黑客想要把赃款变成可以花销的钱，就必须再次踏入需要建立信任的人际网络；而提供服务的中间人，自身也要承担资金受损的风险。