自掏35万美元当卧底：调查员如何撕开北韩黑客10亿美元洗钱网络

为了摸清一个洗钱超 10 亿美元的跨国犯罪集团，调查员 ZachXBT 自己掏了近 35 万美元。 他假装成手里握着黑钱的同行大客户，直接扎进了洗钱团伙的联络网。 每一笔试水交易，他都主动接受 5% 的折价损失。 花这笔真金白银，就为了换对方一句实话：你们到底是怎么帮黑客把钱洗干净的？

整件事要从 2025 年 2 月说起。 当时加密货币交易所 Bybit 遭遇黑客攻击，整整 15 亿美元的资产被洗劫一空。 下手的是北韩侦察总局旗下的黑客部队 Lazarus。 15 亿美元的代码到手了，黑客面临的物理难题才刚开始。 平壤急需的是粮食、石油、导弹零件和现实世界里的硬通货。 在由公开账本记录的区块链上，这么大一笔被全网标记的赃款，只要敢直接充进任何合规交易所，账户立刻就会被封死。 怎么把这笔巨款换成现实世界的现金？ 黑客只能把最脏的下沉环节外包出去。 一个盘踞在香港与中国大陆的跨国有组织犯罪网络，接下了这单生意。

这帮洗钱团伙的技术手段确实算得上隐蔽。 他们先把大笔以太坊打散，拆成成百上千笔小额资金。 接着在 Uniswap 和 THORChain 这些去中心化资金池里反复倒手。 然后再把资产跨链转移到 Solana、波场和比特币网络上。 中途甚至特意用极低流动性的冷门代币做对冲掩护。 如果只坐在办公室里做链上图谱分析，追踪者很容易被这层层套娃绕晕。 代码层面，资金链已经被切得支离破碎。

但是，这套洗钱系统有一个注定绕不开的死穴。 黑客盗窃代币，最终目的是在现实世界里消费。 只要钱想变成法币或纸钞，就必须经过线下的场外承兑商，也就是俗称的地下钱庄。 一旦需要肉身参与承兑，人的贪婪就会留下破绽。

ZachXBT 盯上的就是这个破绽。 Bybit 遇袭之后，他在电报和 Discord 的公开群里，筛查了十几个到处招揽代办业务的可疑账号。 其中一个代号 Jimmy Green 的中间人被他锁定了。 这个人公开声称，不管多黑的币，他们都有办法做隔离混币洗白。 ZachXBT 化名 kj 找上了门。 他没有亮明身份，直接把自己打造成一个急于出逃、不在乎手续费的黑客金主。 从 2025 年 3 月起，他分批把 34.97 万美元真实资金打给对方做兑换测试。 每笔交易白白让人抽走 5% 的油水。 在地下黑市里，只有手里真正握着烫手黑钱的人，才舍得吃这种高昂的折价。

这个饵下得太准了。 面对一条大鱼，Jimmy Green 的警惕性荡然无存。 在随后的私信往来中，为了证明自己的实力，他开始主动向客户晒肌肉。 他证实自己的团队吃下了 Bybit 案相当大比例的洗钱份额。 他们在香港和中国大陆铺设了线下承兑网络，同时和柬埔寨的汇旺担保有极深的资金往来。 更夸张的是，每次大额资金跨链的前一天，Jimmy Green 都会在聊天里提前预告： 明天我们准备把资金跨链倒腾到 Solana。

这个提前量彻底改变了战局。 以往安全团队追踪黑客，永远只能在交易发生几天后顺藤摸瓜。 等分析出钱包地址，水房早就把钱换成现金提走了。 现在，剧本完全颠倒了过来。 黑客还没在键盘上敲下回车，ZachXBT 就已经提前拿到了他们明天的转移路线和目标钱包。 他没有急着发推特炫耀，扭头就把一手情报同步给了安全团队和执法部门。 当洗钱团伙按计划把资金转入特定地址时，埋伏网早就张开了。 稳定币发行商 Tether 依据情报，链上直接把 44.2 万美元的泰达币当场冻结。 顺着这根线索，调查人员锁定了涉及 Bybit 超过 1200 万美元的洗钱钱包集群。 协助执法机构冻结了北韩黑客网络超过 7500 万美元的非法资产。

最绝的是他的耐心。 从 2025 年 3 月潜伏卧底开始，整整一年半的时间，ZachXBT 保持绝对静默，没有对外透露半点风声。 直到各方收网布控完毕，他才在 2026 年 10 月 5 日把整起卧底调查彻底公开。

黑客的代码写得再精巧、跨链跳了多少层，只要赃款要在现实世界里花出去，就必须依赖线下的中间人。 维系地下网络的纽带从来不是密码学算法，仅仅是中间人对暴利的贪婪。 一个民间调查员，揣着 35 万美元诱饵假装送钱，就能让这个号称洗了 10 亿美元的国家级水房，自己把后门敞开。 把链上技术算计到极致的黑客，最后还是栽在了一个管不住嘴的中间人身上。