顧客を装い資金洗浄組織に潜入、Bybit流出資金を追跡
暗号資産（仮想通貨）のハッキングや詐欺などをブロックチェーン上の取引から追跡する独立系調査者のザックXBT（ZachXBT）が、資金洗浄の顧客を装って中国の組織犯罪グループに潜入したと10月5日に自身のXアカウントで報告した。
同氏は潜入のため、34万9,700 USDC（約5,530万円）を自ら用意したという。またザックXBTは、このグループが、北朝鮮のハッカー集団「ラザルス・グループ（Lazarus Group）」が複数の事件で盗んだ暗号資産の資金洗浄を担ってきたとみている。洗浄した資金の総額は10億ドル（約1,581億円）超に上るという。
今回の潜入調査は、2025年2月に暗号資産取引所バイビット（Bybit）から約15億ドル（約2,371億円）相当の暗号資産が流出した事件をきっかけに始まった。米連邦捜査局（FBI）は、同事件を北朝鮮系のサイバー攻撃グループ「トレーダートレイター（TraderTraitor）」による犯行と特定している。
ブロックチェーンでは取引履歴が公開されているため、盗難資金の追跡を困難にする目的で、複数の暗号資産やブロックチェーンをまたいで資金を交換・移動させる手法が使われる。実際にFBIはバイビット事件について、盗まれた暗号資産の一部がビットコインなどに交換され、複数のブロックチェーン上にある数千のアドレスへ分散されたと説明している。
ザックXBTによると、バイビット事件の発生直後、テレグラム（Telegram）やディスコード（Discord）の公開グループで、暗号資産の交換や移動について支援を求めていた15以上のアカウントを確認したという。これらのアカウントが扱っていた取引は、バイビットから流出した資金に直接関連していたとのことだ。そこで同氏は一部のアカウントに顧客を装って接触し、そのうちテレグラムで「ジミー・グリーン（Jimmy Green）」という偽名を使用していた人物との取引を試みたとのこと。
ザックXBTは2025年3月6日、ジミー・グリーンとの取引に備え、イーサリアム（Ethereum）上の新しいアドレスに用意したUSDCを入金した。実際の取引ではUSDCを送り、その代わりにジミーからトロン（Tron）上のUSDTを受け取ったという。さらに、最初の取引でジミーから指定されたアドレスへのガス代の送金元をたどったところ、バイビットから流出した資金まで直接追跡できたという。
そのうえでザックXBTは、できるだけ早く調査に利用できる情報を集めるため、注文ごとに約5%の損失を負いながらジミーとの取引を続けたとのこと。ザックXBTによると、ジミーが資金を持ち逃げしない保証はなく、犯罪組織と関わることによる個人的なリスクもあったとのことだ。
その結果、ジミーは、北朝鮮側に代わってバイビットの盗難資金を移動させる自身の計画を、事前にザックXBTへ伝えるようになったのこと。また、香港と中国本土での活動についてもザックXBTへ話すようになったという。具体的には、ジミーが資金をソラナ（Solana）へ移動すると事前に伝え、翌日に実際に資金が移動したケースがあったという。またザックXBTによると、ジミーは自身のチームがバイビットから流出した15億ドルの大部分を資金洗浄したとも話したとのことだ。
ザックXBTは、こうしてジミーから得た情報を、公開されているブロックチェーン上の取引データと照合したという。2025年3月12日には、ジミーはザックXBTに、異なるブロックチェーン間で資金を移動させる様子を示すスクリーンショットを共有したとのこと。そこでザックXBTが、異なるブロックチェーン間で暗号資産を交換できるプロトコル「ソーチェーン（THORChain）」の取引履歴を確認したところ、ジミーのメッセージから数分以内に作成された交換注文が見つかり、その金額もスクリーンショットの内容と一致したという。
さらにザックXBTは、ジミーから共有された3つのソラナアドレスを手がかりに、バイビット事件に関連する1,200万ドル（約19億円）超の資金を扱うアドレス群を特定したとのこと。この資金は、ビットコイン（Bitcoin）、イーサリアム、ソラナ、トロンの順に各ブロックチェーンを経由し、リアルタイムで交換・移動されていたという。
このアドレス群に関連する44万2,000 USDTは、その後USDTの発行元であるテザー（Tether）によって凍結されたとザックXBTは説明している。USDTでは、発行元のテザーが特定のアドレスを凍結し、そのアドレスにあるUSDTを移動できない状態にできる。
またザックXBTは、今回の調査で得た情報を、信頼できる民間の調査担当者と事件を担当する法執行機関に直ちに共有したと述べている。一方、調査の機密性から、これまで調査内容を公表できなかったという。
なおザックXBTは、2022年以降、北朝鮮に関連するインシデントで7,500万ドル（約119億円）超の資金凍結につながる対応を支援してきたと伝えている。
1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. https://t.co/jauRRt8875
— ZachXBT (@zachxbt) October 5, 2026
画像：PIXTA