“币圈名侦探”ZachXBT：冲在犯罪第一线，如何只身破获 2.43 亿美元盗窃案？
2024-10-26 • By okx交易所
15hoursago(10,252024(UTC))LikeDislikeComment作者：AndyGreenberg
编译：Ismay，BlockBeats
编者按：和Ansem对线、公布Murad地址，曝光U商王逸聪、披露SHAR的项目方deck，相信很多读者最近都频繁听到ZachXBT这个名字。自2021年以来，链上侦探ZachXBT已帮助诈骗、被盗受害者追回近5亿美元。上个月，他破获了2.43亿美元的盗窃案，这是有史以来针对个人的最大盗窃案。从区块链的深处追踪犯罪到揭露奢侈生活背后的巨额资金流转，ZachXBT凭借自己的智慧与执着，在短短几年间帮助追回了数亿美元的被盗资金。《连线》杂志的本篇文章将带你走进这位加密货币“无面侦探”的神秘世界，揭示他如何与加密犯罪斗智斗勇，以及那些鲜为人知的幕后故事。
以下为原文内容：
8月19日，一位二十多岁的年轻人，网名ZachXBT，正准备登机回家。他并不愿透露是哪个机场、他的真名以及他住在哪里。
这时，他的手机弹出了一条警报：一笔比特币被转移到一个小型的加密货币交易所。这是他长期监控的许多交易所之一，主要目的是寻找与犯罪洗钱相关的资金流动。这条警报引起了他的注意：这笔交易金额约为60万美元，远远超过该交易所日常交易规模的10倍。
当他到达登机口时，手机又响起一条新的提醒：同一交易所上发生了另一笔超过100万美元的交易。随后又有一笔200万美元的交易。
当ZachXBT排队准备登机时，他迅速在手机上追踪这些资金，倒查这些比特币地址，并标记了可疑资金，试图在飞机起飞后的半小时互联网中断之前查明资金来源。
在飞机升空前，他已经确定这笔资金来自一个自2012年起就未动用过的大额比特币钱包，总金额达数亿美元。而现在，这笔价值九位数的巨款正在被急于套现，并且支付了高额交易费用，这种做法显然不是一个持币十多年的投资者会接受的。
在ZachXBT看来，这种资金流动很明显是一起巨额盗窃案。
经过进一步核实，他发现有人从一位受害者手中盗走了价值约2.43亿美元的比特币，可能是有史以来最大的一起针对个人的加密货币盗窃案。“这真的是一个非常异常的数额，竟然是从一个人那里盗走的，”ZachXBT对《连线》杂志说道，“我不得不确认自己没有看错。”
当飞机升至一万英尺以上并且Wi-Fi恢复工作后，ZachXBT开始追踪更多被盗资金的流向。
这些资金通过一个又一个交易所和币币兑换服务平台被转移。在接下来的几个小时里，他加速绘制出这些资金流动的分支图，发现黑客通过十几个平台试图隐藏资金的踪迹。
随着他沿着这条线索追溯到比特币的失主，ZachXBT发现部分资金最初来自已经倒闭的Genesis加密货币交易所。他通过X平台（原Twitter）私信该交易所的管理员，请他们联系受害者，最终该受害者聘请他追查被盗资金。
当他抵达目的地时，ZachXBT已经发现被盗资金分成了三条主要的资金流，指向了他认为的三名嫌疑人。他还向自己在X平台上超过65万的粉丝发布了一条消息，指出区块链上正在进行的盗窃活动。
不久后，他收到了一名线人的消息，声称掌握有关黑客身份的线索。
接下来的一周，ZachXBT日夜工作，每天只睡四到五个小时，并定期将他的调查结果分享给执法机构。他最终确定了涉嫌盗窃的嫌疑人——两名二十出头的年轻黑客，名为MaloneLam和JeandielSerrano。ZachXBT还确认了另一名涉嫌黑客，但《连线》杂志选择不公开他的姓名，因为该人尚未被逮捕或指控。
他甚至获得了一段视频，视频显示其中一人在完成盗窃后庆祝这笔巨额财富的得手。在他的快速调查中，ZachXBT甚至还追踪到这些嫌疑人的Instagram和TikTok，看到其中一人挥霍数百万美元，购买豪车、乘坐私人飞机，还在夜总会里一晚消费高达50万美元。
自从飞机上收到那条警报后，不到一个月的时间，三名嫌疑人中的两人被逮捕并面临刑事指控。
当ZachXBT终于看到其中一名黑客的拘捕照时，他表示自己感到了一阵短暂的肾上腺素激增，但很快便恢复了平静。“我并没有特别的成就感，”ZachXBT说道，“我只是把它当作另一起普通的案件。”
比特币盗窃案调查结果｜ZachXBT的置顶推文为大众服务的加密货币私人侦探如果追踪一起价值2.5亿美元的盗窃案对ZachXBT来说就像在网上度过的平常一天，那么这或许是因为在过去三年里，他已成为全球最活跃的独立加密货币侦探。
自2021年作为业余调查员开始工作以来，他已追踪到数十亿美元的被盗资金和诈骗案件。根据他提供给《连线》杂志的一份表格统计，他的数百起调查直接促成了大约2.1亿美元的犯罪加密货币资金被追回，另有约2.25亿美元的资金在他间接帮助下为受害者追回。
他揭露了通过拉高出货骗局推销代币的网红，追踪了大型加密货币盗窃案背后的网络犯罪分子，并揭发了数十起朝鲜黑客入侵加密公司甚至以员工身份渗透的事件。
在整个过程中，他几乎完全依靠加密货币捐赠来资助他的工作，包括来自加密货币组织的拨款和陌生人通过他社交媒体个人资料中列出的地址发送的贡献款项，自2021年以来，已累计约130万美元。“他是新一代的调查员，他为大众服务，”曾与ZachXBT合作的美国特勤局分析师JoeMcGill表示，“他的成功完全取决于他调查的成功。”
在追求成为一名加密货币“正义警察”的过程中，ZachXBT始终小心翼翼地保持匿名。在网上，他只以他的头像形象出现——一只穿着侦探风衣或有时是连帽衫的鸭嘴兽卡通形象。为了避免受到加密货币犯罪分子和骗子的报复，他从未公开过自己的真实面貌、姓名或具体年龄，并且只有在《连线》杂志同意不追查这些个人身份信息的前提下，他才愿意接受采访。
ZachXBT的Twitter主页特勤局分析师McGill回忆，在他们早期的电话会议中，ZachXBT不仅关闭摄像头，甚至还使用了变声软件，有时声音像《南方公园》里尖声叫喊的角色；而其他时候，他又将声音调得很低沉，仿佛来自恐怖电影中的角色。“一开始确实挺怪异的，”当时在加密追踪公司TRMLabs工作的McGill说，“但我尊重他的隐私，因为这个匿名的人确实在做着非常出色的工作。”
加密货币调查员、FiveI's公司创始人NickBax表示，ZachXBT几乎每周都能揭露许多加密货币犯罪骗局和盗窃案，通常比执法机构的动作要快得多。Bax半开玩笑地说，他甚至怀疑ZachXBT是不是机器人。
“他简直像一台机器，”Bax说道。
去年的一次调查中，他们合作追踪了2021年AnubisDAO加密项目中的6000万美元盗窃案。Bax周六晚上给了ZachXBT一份包含500笔交易的清单，每笔交易都需要手动分析，以及关联的区块链地址。“我以为这至少能让他忙上几天”，然而，第二天下午，ZachXBT已经完成了所有交易的分析，并确定了哪些与盗窃案有关。“我非常震惊，”Bax说道，“他肯定是连续12小时不间断地坐在电脑前。”
ZachXBT的许多调查结果都会毫无仪式感地发布在他X平台的账户上。
然而，随着时间的推移，他的调查越来越多地引起了执法机构的关注——如今，他经常在公开发布前与这些机构分享自己的调查结果，这些侦探工作的目标正在面临越来越严重的后果。
“随着Zach的影响力不断扩大，这些案件带来了财务和法律上的后果，”加密公司MetaMask的安全研究员TaylorMonahan说道，她是ZachXBT最亲密的调查合作伙伴之一，曾参与了2.43亿美元盗窃案的调查。“如果Zach现在发布关于某人的帖子，并且揭露得很到位，那个人很有可能会被逮捕。”
从受害者到揭发者那么，ZachXBT究竟是如何在没有正式培训或组织支持的情况下，甚至比执法部门的加密调查员更快、更准确地追踪资金流向的呢？
对此，他自己也不太确定。“这个问题挺难的，我也不知道为什么我这么擅长，”ZachXBT在电话采访中告诉《连线》杂志。他认为这与自己愿意不分昼夜地工作有关——毕竟加密货币市场从不休市——以及多年深入研究加密货币区块链所积累的经验。“你看的区块链越多，当你吃饭、睡觉甚至呼吸都在研究它，随着时间的推移，一切就会开始变得更加清晰，”他说。“你能开始发现那些关联。我可以看一个钱包，在几秒钟内判断它是不是坏人。”
ZachXBT表示，他对区块链的熟悉源于他多年作为加密货币爱好者和交易者的经历——以及他自己也曾是加密经济中众多陷阱的受害者之一。
大约在2017年，他天真地花了数千美元购买各种加密代币，但这些代币最终都大幅贬值——通常是因为所谓的rugpull，即代币的创建者突然抛售手中的代币，导致其他投资者手中的资产变得一文不值。“当时我买入时想着，‘这将改变世界。’我买入后一直持有，从未卖出，”ZachXBT说，结果是，“我成了那个被骗的人。”
到2018年，不仅他所有的投资都大幅缩水，ZachXBT使用的Electrum加密钱包还因恶意软件更新被黑客入侵，他又损失了近1.5万美元。
直到那时，他才决定退一步重新思考自己的策略。他不再单纯地买入并持有代币，而是开始分析加密货币的区块链——几乎所有区块链都是公开可见的，任何能够解读不同地址所属者的人都可以查看——通过这种方式，他观察到一些更大、更成功的投资者是如何交易代币和比特币的，并试图模仿他们的操作。
通过这些区块链分析，到2020年，他对追踪加密货币交易已经相当熟悉，能够发现普通投资者看不到的正在进行中的骗局。
他看到一些网红向成千上万的粉丝公开宣传某个加密资产，推高其价格，然后通过区块链追踪他们的资金，发现他们实际上是在宣传后立刻出售自己持有的代币，这往往是典型的“拉高出货”骗局。
“这更像是一个举报者的角色，”ZachXBT说。“我注意到这些活动时会想到，‘这让我想起了2017年和2018年我上当受骗的经历，为什么不发个帖子揭露它呢？’然后这件事就开始引起广泛关注了。”
NFT热潮兴起时，ZachXBT同样开始仔细审查像BoredBunny和BillionaireDogsClub这样的NFT项目，揭示资金的真实流向。这些NFT卖家仅凭几张卡通图片就能募集到数百万美元，声称这些NFT将带来如参加独家活动或俱乐部的特权。
然而，ZachXBT通过区块链分析发现，这些卖家只是将资金分散并装进自己的口袋。有时，他甚至通过加密货币追踪发现某些NFT卖家实际上是之前一个已被证明是骗局的项目的“重新包装”。
在某些情况下，ZachXBT发布的关于NFT卖家的帖子确实吓退了买家，阻止了一些可疑的NFT卖家继续出售他们的产品。但随着时间的推移，他对不断揭露这种透明度较高、重复上演的骗局感到厌倦，同时也对缺乏更实质性结果感到沮丧：他曝光的NFT项目中，没有任何人因此面临刑事指控。
时间来到2022年初，ZachXBT开始注意到一群黑客正在入侵一些知名加密货币用户的Twitter账户，并发布钓鱼链接，指向用以掏空用户钱包的以太坊智能合约，导致数千万美元的盗窃。
每当有受害者痛苦地发帖称自己的储蓄被盗时，ZachXBT会主动联系他们，然后仔细追踪他们失去的资金。他将这些区块链线索与自己在年轻加密货币窃贼经常出没的Discord和Telegram频道中发展起来的消息来源相结合，最终找到了几个可能与该钓鱼活动有关的青少年在线昵称，他们在网上炫耀自己盗取的大笔财富。
此时，ZachXBT已经在加密货币的地下世界名声大噪，甚至有一名他认为是嫌疑人的人，在Twitter上发帖炫耀自己购买了一款镶钻的AudemarsPiguet腕表时，还嘲讽性地提到了“mrxbt”。
ZachXBT通过一个奢侈手表的Discord频道追踪到了这款手表的卖家，成功说服这名卖家交出了购买这款价值近5万美元腕表的青少年的收货地址和真实姓名。
没有公开记录显示这些所谓的窃贼是否被逮捕——可能是因为嫌疑人是未成年人，指控要么已被封存，要么从未提出。但ZachXBT找到了一份没收通知，显示2022年10月，即他在X平台发布调查结果一个月后，FBI从他识别出的青少年嫌疑人处没收了价值超过20万美元的加密资产以及那块钻石手表。
同年，ZachXBT使用类似的技术，追踪到另一场网络钓鱼活动中被盗的价值250万美元的NFT，目标嫌疑人是一对法国黑客。几个月后，法国检察官逮捕了五名嫌疑人，据法新社报道，他们明确提到ZachXBT在X平台发布的帖子帮助了对两名主要嫌疑人的调查。“看到执法部门根据我分享的信息采取行动，这让我非常有成就感，”ZachXBT说。“这让我意识到，也许我所做的事情真的有了些成效。”
自从两年前首次引起执法部门的关注以来，ZachXBT的调查规模——以及某些情况下的结果——都急剧扩大。
2023年2月，他追踪到了加密项目Platypus被盗的近900万美元资金，并在短短几个小时内识别出其中一名嫌疑人；仅仅一周多后，法国警方逮捕了两名嫌疑人。尽管对这两人的指控最终被撤销，但警方成功追回了数百万美元的资金，Platypus也在推文中向ZachXBT表达了感谢。
同年，他追踪到加密公司UraniumFinance被盗的2500万美元，其中大部分似乎通过购买稀有的《万智牌》卡片进行了洗钱。当臭名昭著的网络犯罪组织“ScatteredSpider”对拉斯维加斯的凯撒娱乐公司发动勒索软件攻击，并从该公司勒索到1500万美元时，ZachXBT帮助追踪并追回了其中的1200万美元，其他参与该案件调查的人员向《连线》透露了这一消息。
大约在同一时间，ZachXBT公布了一项重大调查结果，揭露了朝鲜黑客实施的25起加密货币盗窃案，总金额超过2亿美元，其中约700万美元在他的帮助下被冻结。这些黑客行动中，有大约一半此前从未被公开过。
他随后跟进了一项调查，揭露了一个由约30名朝鲜IT工作者组成的网络，他们渗透进了科技公司，并以加密货币形式获得报酬。在其中一个案例中，一名疑似与朝鲜有关的技术人员被NFT公司Munchables雇佣，成功窃取了6200万美元的加密资产。当ZachXBT帮助识别并标记这笔资金后，窃贼由于无法轻易将钱变现，最终被迫将其归还。
“你知道那是多少钱吗？”
回到开头那起盗窃案，当ZachXBT在机场收到提示，发现8月19日发生的单个受害者被盗走2.43亿美元的线索时，这是他所追踪过的最大盗窃案之一。
从国际航班回到家后，他连续数天追踪这些分散的资金流，同时在社交媒体上监控三名嫌疑人的动向，其中两人使用网名Greavys和Box。特别是Greavys，真名是MaloneLam，似乎身处迈阿密。他在网上发布的内容和照片显示自己与豪华房产、钻石手表、私人飞机以及豪车为伴，其中包括一辆LamborghiniRevuelto和一辆PaganiHuayra，后者的售价通常超过300万美元。
ZachXBT还发现，Greavys曾送给一些网红价值3万到5万美元的Birkin和Hermès包包，并在夜店里出现了服务员举着写有“WHOWANTABIRK”（谁想要个Birkin包）的电子标牌，标记着他的名字。
“看起来他们除了狂欢和偷钱，什么都不干，”ZachXBT说道。
几天内，ZachXBT说服了在他飞行途中第一次给他发私信的线人，向他提供了一段三名疑似参与盗窃的黑客之间的屏幕共享视频。这些黑客毫不知情，其中一名嫌疑人在共享屏幕时，又与另一群朋友共享了他的屏幕，而其中一位朋友似乎录下了这段视频。
在这段90分钟的视频中，ZachXBT表示，三名黑客多次互相用他们的名字称呼对方。而在另一个片段中，其中一名男子还短暂展示了自己的Windows主屏幕，意外暴露了他的姓氏。
视频甚至捕捉到了这几名黑客得手后兴奋狂喜的时刻。“天啊！天啊！2.43亿美元！太棒了！”其中一人在视频中喊道，“我要疯了！我们搞定了，我们搞定了。我快要爆炸了。你知道那是多少钱吗？”
9月18日下午晚些时候，距离ZachXBT开始调查还不到一个月，Lam在迈阿密的一处海滨出租物业中被捕，他每月为此支付6.8万美元。Box——真名为JeandielSerrano——在洛杉矶机场被逮捕，当时他正与女友从马尔代夫度假返回。据检方称，他被捕时戴着一块价值50万美元的手表，租住在洛杉矶附近的一处房产，每月房租超过4万美元，并且花费了100万美元购买豪车。
第二天，针对Lam和Serrano的电汇欺诈和洗钱指控被解封，根据法庭文件，两名黑客都向执法调查人员承认参与了多起加密货币盗窃案。Lam特别承认，这些犯罪所得为他购买了不下31辆高端汽车。
目前为止，2.43亿美元中已有7900万美元被查封或冻结，ZachXBT希望还能找到更多被盗资金。检察官表示，即使在嫌疑人挥霍一番后，仍有超过1亿美元下落不明。
ZachXBT的第三名嫌疑人，目前根据公开记录显示可能居住在康涅狄格州，但尚未被指控任何犯罪。然而，记者BrianKrebs指出一份刑事诉状，描述了一群男子在8月底2.43亿美元盗窃案发生四天后，涉嫌在康涅狄格州抢劫了一对五十多岁的夫妇并短暂绑架了他们，因为这些劫匪“相信受害者的儿子拥有大量数字货币的访问权限”，这暗示受害者可能是ZachXBT追踪到的第三名涉嫌资金接收者的父母。
对ZachXBT来说，这次调查可能是一个转折点。这是他第一次由受害者聘用并获得报酬，而不是作为志愿者靠捐赠来工作。他表示，未来可能会更多地从事这样的有偿工作，甚至考虑创办自己的调查公司。
但ZachXBT坚称，他并不是为了通过揭露这些事件致富。“我看到资金被查封、归还给受害者、嫌疑人被逮捕，这就是我的目标，这也是我最初的目的，”ZachXBT说。“看到这些事情对人们有所帮助，这才是我获得满足感的来源。”
他的合作伙伴TaylorMonahan来自加密钱包公司MetaMask，现已与他合作了数十项调查。她认为ZachXBT依然主要受到正义感的驱使——这种正义感源于他曾经也是加密货币世界的受害者，想要防止其他人遭遇同样的结局。
“他和这个领域的许多人有着相同的经历，那就是发生了不好的事情，而身边的人都只会说‘这真倒霉’，”Monahan说。“他本能地拒绝接受这种经历，并且想要改变这一切。”
Monahan说，“他和这个领域的许多人有着相同的经历：当遇到不幸的事情时，周围的人只会说‘真倒霉’，但他本能地拒绝接受这种无奈的回应，决心改变这一切。”
