走进ZachXBT：从受害者到吹哨人 最强加密侦探炼成记

作者：Andy Greenberg，Wired杂志；

编译：0xxz@金色财经

8 月 19 日，一名 20 多岁的男子（网名 ZachXBT）走进机场准备登机回家——至于哪个机场、他的真名、家在哪里，他都不愿说——这时，他的手机上出现了一条警报。一笔比特币刚刚被转移到一家小型加密货币交易所，他一直在比特币区块链上监控这些交易所的交易，以寻找洗钱犯罪的迹象。这条警报引起了他的兴趣：这笔交易价值约 60 万美元，金额是该交易所典型交易的 10 倍。

当他到达登机口时，另一条 ping 提醒他同一家交易所还有第二笔交易，价值超过 100 万美元。再然后是一笔 200 万美元的交易。在排队登机时，ZachXBT 匆忙用手机追踪这笔钱，从一个比特币地址追溯到另一个比特币地址，标记可疑资金，并在飞机起飞和机上 Wi-Fi 上线之间的半小时网络中断之前找到它们的来源。在飞机起飞前，他已经确定这笔钱来自一个加密钱包，钱包里有价值数亿美元的比特币，自 2012 年以来一直没有动过——而这笔九位数的巨款现在正被匆忙清算，交易所的交易成本高昂，一个有耐心、十多年的比特币投资者不会接受。

对于 ZachXBT 来说，这些资金流动看起来就像是一起大型盗窃案。事实上，当他再次核实他的发现时，似乎有人从一名不幸的受害者手中偷走了价值约 2.43 亿美元的比特币，这可能是有史以来针对个人的最大加密货币盗窃案。“从一个人身上偷走的金额如此之大，真是太不正常了，”ZachXBT 告诉《连线》杂志。“我必须确保我没有疯。”

当 ZachXBT 飞到 10,000 英尺高空并连接 Wi-Fi 时，他开始追踪更多被盗资金的流出情况，这些资金通过一个又一个交易所和货币兑换服务流出。在接下来的几个小时里，他迅速绘制出资金流向的分支图，因为窃贼通过十几个这样的平台转移货币，显然是为了混淆他们的行踪。

当他顺着线索找到丢失比特币的人时，ZachXBT 发现部分资金最初来自现已倒闭的 Genesis 加密货币交易所。他在 X 上直接给交易所的管理员发消息，请他们帮他联系受害者，受害者最终会雇佣他寻找被盗资金。

飞机落地时，ZachXBT 发现被盗资金主要有三条线索，他认为这三条线索可能流向了三名罪犯。他还向 X 上超过 65 万名粉丝发了一条消息，指出区块链上正在进行的盗窃。他很快收到了一条消息，消息来自一位自称掌握了窃贼身份线索的消息人士。

在接下来的一周里，ZachXBT 日夜不停地调查此案，每天睡眠时间不超过四五个小时，并定期与执法机构分享他的调查结果，他确定了盗窃案背后的嫌疑人——两名年轻的黑客，分别是 Malone Lam 和 Jeandiel Serrano，两人都是二十出头。（ZachXBT 还确定了另一名黑客嫌疑人，WIRED 选择不公开其姓名，因为该人尚未被捕或被指控。）他甚至获得了一段视频，他说这段视频显示了盗窃完成时的其中一个屏幕，他们正在庆祝这笔巨额意外之财。在旋风般的调查中，ZachXBT 甚至在 Instagram 和 TikTok 上追踪嫌疑人，看到其中一人花费数百万美元购买汽车、私人飞机和俱乐部，嫌疑人每晚的花费高达 50 万美元。

ZachXBT 制作的图表细节展示了他如何识别涉嫌窃取 2.43 亿美元资金的其中一名嫌疑人 Malone Lam，

其中包括社交媒体帖子，展示了 Lam 在汽车、私人飞机、夜总会和价值 50,000 美元的奢侈手袋礼物上的支出。图片由 ZachXBT 提供

在飞机上 ZachXBT 的手机收到警报后不到一个月，三名涉嫌盗窃的嫌疑人中就有两人被逮捕并受到刑事指控。

当 ZachXBT 终于看到其中一名黑客的面部照片时，他说他感到一阵肾上腺素激增。但这种感觉很快就过去了。“我并没有感受到任何特别的成就感，”ZachXBT 说。“我只是把它当成其他案件来对待。”

为人民服务的加密私家侦探

如果说追踪 2.5 亿美元的盗窃案对 ZachXBT 来说就像是互联网上的又一天，那也许是因为他在过去三年中已成为世界上最多产的独立加密货币侦探。自 2021 年开始从事业余调查员的工作以来，他已经追踪了数十亿美元的被盗资金和骗局。根据他自己的统计（他在电子表格中为《连线》杂志进行了细分），他的数百次调查直接导致追回了价值约 2.1 亿美元的犯罪加密货币收益，以及另外 2.25 亿美元的被扣押资金，他至少以某种非直接的方式帮助受害者追回了这些资金。他点名那些在拉升抛售计划中推广代币的网红，追捕大规模加密货币抢劫案背后的网络犯罪分子，并揭露了数十起朝鲜黑客入侵加密货币公司甚至以员工身份渗透这些公司的事件。

在整个过程中，他的资金几乎全部来自加密货币捐赠，形式包括加密货币组织的资助和陌生人的付款，陌生人将捐款发送到他在社交媒体资料中列出的地址，自 2021 年以来累计约 130 万美元。“他是新一代的调查员。他为人民服务，”与 ZachXBT 合作的特勤局分析师乔·麦吉尔 (Joe McGill) 说。“他的成功完全与他的调查成功息息相关。”

ZachXBT 在从事加密货币义警职业的同时，也一直戴着面具。在网上，他只以自己的头像出现，一种穿着侦探风衣或连帽衫的鸭嘴兽卡通形象。为了避免遭到加密货币罪犯和骗子世界中众多敌人的报复，他从未公开露面，也从未透露过自己的真实姓名或确切年龄，只有在我不试图挖掘这些身份信息的情况下，他才会接受《连线》的采访。

McGill 说，在他们早期的一些电话会议中，ZachXBT 不仅会关闭摄像头，还会使用变声器应用程序，有时听起来像一个高音调的“南方公园”角色，就像 McGill 说的那样，或者在其他场合，他会降低自己的音调，直到让他想起恐怖电影中的某些东西。“一开始，这很奇怪，”当时在加密追踪公司 TRM Labs 工作的 McGill 说。“但我尊重他的隐私，因为这个匿名的人做得非常出色。”

加密货币调查员、Five I's 公司创始人尼克·巴克斯 (Nick Bax) 表示，ZachXBT 几乎每周都会揭露大量加密犯罪骗局和盗窃行为，其行动速度往往比执法机构快得多，以至于巴克斯曾半开玩笑地怀疑他是否可能是某种机器人。

“他就是一台机器，”巴克斯说。

作为去年一项调查的一部分，他们合作追踪了 2021 年加密项目 AnubisDAO 发生的 6000 万美元盗窃案。周六晚上，Bax 向 ZachXBT 提供了 500 笔交易的清单，每笔交易都需要手动分析，以及所有关联的区块链地址。“我估计这会让他忙上几天，”Bax 说。然而，到了第二天下午早些时候，ZachXBT 已经查看了每一笔交易，并确定了哪些交易与盗窃案有关。“我很震惊，”Bax 说。“他肯定连续 12 个小时都在电脑前。”

ZachXBT 的许多调查结果都被毫不客气地发布在他位于 X 的帐户上。然而，随着时间的推移，他的调查结果越来越受到执法机构的关注——他现在经常在发布之前与其中一些机构分享他的调查结果。结果给侦探工作的目标带来了切实且日益严重的后果。加密货币公司 MetaMask 的安全研究员 Taylor Monahan 表示：“随着 Zach 的势力越来越大，他面临的经济和法律后果也越来越多，”ZachXBT 在调查方面最亲密的合作者之一，包括 2.43 亿美元的盗窃案。“如果 Zach 现在发布关于某人的帖子，而且是正面的帖子，那么那个人就会被逮捕。”

从受害者到吹哨人

那么，在没有接受过正式培训或组织支持的情况下，ZachXBT 是如何成功超越执法部门的加密调查员的呢？就连他自己也不确定。“这是一个很难回答的问题。我不知道我为什么这么擅长，”ZachXBT 在接受《连线》电话采访时表示。他将其归因于愿意全天候工作——毕竟加密市场永远不会关闭——以及对加密货币区块链分析的熟悉，而这些熟悉来自于多年来对这些庞大的交易账本的钻研。“你对区块链的了解越多，就像你吃饭、睡觉和呼吸时一样，随着时间的推移，它就会开始变得更有意义，”他说。“你可以开始发现这些联系。我可以查看钱包，对其进行分析，并在几秒钟内告诉你它是否是一个坏人。”

ZachXBT 表示，他对区块链的熟悉源自他多年作为加密货币爱好者和交易员的经验，他本人也是加密货币经济中许多陷阱的受害者，这些陷阱针对不谨慎的投资者。他说，大约在 2017 年，他天真地购买了价值数千美元的加密代币，这些代币最终都贬值了，通常是由于所谓的“rug pulls”，即加密代币的创造者抛售其持有的代币，而其他投资者只剩下毫无价值的资产。“我买入时想着‘这将改变世界’。我只是持有它，从未出售，”ZachXBT 说。结果，他说，“我成了被骗的人。”

到 2018 年，不仅所有这些投资都化为乌有，而且 ZachXBT 使用的 Electrum 加密钱包也遭到恶意软件更新攻击。他又损失了近 15,000 美元。

直到那时，他才决定退一步重新考虑自己的做法。他不再简单地购买和持有代币，而是开始分析加密货币的区块链（几乎所有区块链都是公开可见的，任何人都可以破译不同地址的所有者），以了解规模更大、更成功的投资者如何交易代币和硬币，然后尝试模仿他们的举动。

通过区块链分析，他在 2020 年已经足够熟悉追踪加密交易，能够发现普通投资者无法察觉的正在进行的骗局。他会看到一位网红向数十万粉丝公开推广加密资产，抬高其价格，然后在区块链上跟踪他们的资金，发现他们实际上在随后立即出售自己的资产，这似乎是一种典型的拉升抛售计划。“这更像是一个告密者，”ZachXBT 说。“我会注意到这种活动，然后想，‘这让我想起了我在 2017 年和 2018 年所经历的事情。为什么不发个帖子呢？’然后这件事开始爆发。”

当 NFT 热潮在那年晚些时候开始时，ZachXBT 也开始仔细研究 Bored Bunny 和 Billionaire Dogs Club 等 NFT 项目，以了解流入这些项目的资金真正流向了哪里。其中一些 NFT 卖家仅凭卡通 .jpg 图像就能筹集数百万美元，并承诺用这些图像创建的 NFT 将带来诸如参加独家活动或俱乐部等福利。相反，ZachXBT 通过区块链分析发现，卖家只是在瓜分资金并将其中饱私囊。有时，他甚至会通过加密追踪发现，NFT 卖家实际上是一个早期项目的品牌重塑，而该项目已经被证明是一个骗局。

在某些情况下，ZachXBT 关于 NFT 卖家的帖子确实成功吓跑了买家，并阻止了可疑的 NFT 经销商出售他们的商品。但随着时间的推移，他厌倦了一次又一次地揭露同样往往透明的骗局，并对缺乏更具体的结果感到沮丧：与他揭露的 NFT 项目有关的人没有受到刑事指控。

然后，在 2022 年初，他开始注意到一群黑客正在接管知名加密货币用户的 Twitter 帐户，并发布指向以太坊智能合约的钓鱼链接，旨在窃取用户的钱包，导致数千万美元的盗窃。每当有悲痛欲绝的受害者发布他们的积蓄被盗的消息时，ZachXBT 就会与他们联系，然后一丝不苟地追踪他们损失的资金。他将这些区块链线索与他开始在年轻加密货币窃贼经常光顾的 Discord 和 Telegram 频道中开发的消息来源结合起来，这使他找到了一些青少年的在线账号，他们似乎是钓鱼活动的幕后黑手，并吹嘘自己的巨额收益。

此时，ZachXBT 在加密货币黑社会中已经很著名，他认为是嫌疑犯的一个人甚至在 Twitter 帖子中对“mr xbt”进行了嘲讽，吹嘘他买了一块镶有钻石的爱彼手表。ZachXBT 在一个奢侈手表 Discord 频道中找到了手表卖家，并说服卖家交出了这位青少年的送货地址和真实姓名，这位卖家以近 50,000 美元的价格出售了这块手表。

似乎没有公开记录证明这些涉嫌盗窃的人是否被捕——可能是因为嫌疑人是未成年人，而且指控要么被封存，要么从未提出过。但 ZachXBT 发现了一份没收通知，显示 2022 年 10 月，即 ZachXBT 在 X 上发布他的调查结果一个月后，联邦调查局从他确定的青少年嫌疑人手中没收了价值超过 20 万美元的加密资产——以及钻石手表。

同年，ZachXBT 使用类似技术，通过另一场网络钓鱼活动追踪到另外价值 250 万美元的 NFT，这些 NFT 被盗原因据称是两名法国黑客。在那起案件中，法国检察官几个月后逮捕了五名嫌疑人，据法新社报道，他们特别赞扬 ZachXBT 在 X 上发布的帖子，感谢他们协助调查两名涉嫌头目的行为。ZachXBT 说：“看到执法部门根据我分享的内容采取行动，我感到非常有成就感。这让我觉得，也许我所做的事情真的发现了一些事情。”

自首次引起执法部门关注以来的两年间，ZachXBT 的调查规模（在某些情况下，其后果）呈爆炸式增长。2023 年 2 月，他追查到从加密项目 Platypus 窃取的近 900 万美元资金，并在几个小时内确定了其中一名涉嫌盗窃者的身份；一周多后，法国警方逮捕了两名嫌疑人。尽管对这两人的指控最终被撤销，但警方追回了数百万美元的资金，Platypus 在推文中对 ZachXBT 表示感谢。同年晚些时候，他追踪到加密公司 Uranium Finance 的 2500 万美元盗窃案，其中大部分似乎是通过购买稀有的万智牌卡牌洗白的。据参与此案的其他调查人员向《连线》杂志透露，当名为 Scattered Spider 的网络犯罪集团对拉斯维加斯的凯撒娱乐公司 (Caesar's Entertainment) 发动勒索软件攻击，向该公司勒索 1500 万美元时，ZachXBT帮助追踪并追回了其中的 1200 万美元资金。

大约在同一时间，ZachXBT 公布了大量调查结果，调查了朝鲜黑客实施的 25 起加密货币盗窃案，总额超过 2 亿美元，其中约 700 万美元是由他帮助冻结的。大约一半的黑客攻击从未公开过。他随后又进行了另一项调查，揭露了大约 30 名朝鲜 IT 工作者组成的网络，他们渗透到科技公司并获得加密货币支付。在一个案例中，其中一名似乎与朝鲜有联系的科技工作者受雇于 NFT 公司 Munchables，并成功从该公司窃取了价值 6200 万美元的加密资产。当 ZachXBT 帮助识别和标记资金时，对窃贼的关注使得这笔钱很难变现，以至于他们干脆把钱还了回去。

“你知道那是多少钱吗？”

即便如此，当 ZachXBT 在机场收到短信提醒，得知 8 月 19 日一名受害者被盗的 2.43 亿美元时，这仍然是他追查过的最大盗窃案之一。

乘坐国际航班回国后，他继续跟踪这些资金流出，同时在社交媒体上监视三名嫌疑人的踪迹，其中两人的网名是 Greavys 和 Box。Greavys 的真名是 Malone Lam，似乎在迈阿密，他发布了豪华房地产、钻石手表、喷气式飞机和跑车的照片，并出现在照片中，其中包括兰博基尼 Revuelto 和帕加尼 Huayra，后者的售价通常超过 300 万美元。ZachXBT 发现了一些网红的帖子，Greavys 曾向这些网红赠送价值 30,000 至 50,000 美元的铂金包和爱马仕包，以及夜总会服务员手持的电子标志的照片，上面写着“谁想要铂金包”，并附有他的名字。

“看起来他们所做的就是聚会和偷钱，”ZachXBT 说。

几天之内，他就说服了在飞行期间给他发私信的人，让他给他发送一段视频，视频中是三名黑客的屏幕共享视频，这三名黑客似乎参与了此次盗窃。他们不知道的是，其中一名黑客在屏幕共享期间将自己的屏幕重新分享给了另一组朋友——其中一名似乎还录了下来。ZachXBT 表示，在这段 90 分钟的视频中，三名黑客多次直呼对方的名字。在另一个时刻，三人中的一人还短暂地闪现了他的 Windows 主屏幕，并透露了他的姓氏。

视频甚至捕捉到了黑客成功窃取九位数资金后疯狂的反应。“天哪！天哪！2.43 亿美元！是的！”其中一人在录音中说道。“我要疯了！哟！我们完了。我们完了。我要疯了。你知道那是多少钱吗？”

9 月 18 日下午晚些时候，在 ZachXBT 开始调查后不到一个月，Lam 在迈阿密一处海滨出租物业被捕，他每月要支付 68,000 美元。Box 的真名是 Jeandiel Serrano，他与女友从马尔代夫度假回家时在洛杉矶机场被拘留。据检察官称，他被捕时戴着一块价值 50 万美元的手表，在洛杉矶附近租了一套每月租金超过 40,000 美元的房子，并花了 100 万美元购买豪车。第二天，对 Lam 和 Serrano 的电信欺诈和洗钱指控被公布。根据法庭文件，两名黑客都向执法调查人员承认他们参与了多起加密货币盗窃案。Lam 特别承认，从中获利购买了不少于 31 辆高端汽车。

到目前为止，他们涉嫌窃取的 2.43 亿美元中，有 7900 万美元已被扣押或冻结。ZachXBT 希望更多的钱能被找到。检察官表示，即使在这些涉嫌黑客大肆挥霍之后，仍有超过 1 亿美元下落不明。

根据公开记录，ZachXBT 的第三名嫌疑人似乎住在康涅狄格州，尚未受到任何罪行指控。然而，记者 Brian Krebs 指出，一份刑事起诉书描述了一群男子在 8 月底 2.43 亿美元被盗四天后，劫持了一对 50 多岁的康涅狄格州夫妇的兰博基尼汽车，并短暂绑架了他们，因为劫车者“认为受害者的儿子拥有大量数字货币”——这表明受害者可能是 ZachXBT 追踪到的资金的第三名涉嫌接收者的父母。

对于 ZachXBT 来说，这次调查可能是一个转折点。这是他第一次受雇于案件中的受害者，并因其技能而获得报酬，而不是作为志愿者接受捐赠。他说他可能会转型做更多有偿工作，甚至创办自己的调查公司。

但他坚称自己仍然不是为了通过揭露真相而致富。“我看到钱被没收，钱被归还给受害者，人们被逮捕，这就是我的目标。这就是我打算做的事情，”ZachXBT 说。“看到它造福人民。这就是我的满足感。”

他的合作伙伴、加密钱包公司 MetaMask 的泰勒·莫纳汉 (Taylor Monahan) 已与 ZachXBT 合作开展了数十项调查，她表示，她相信 ZachXBT 很大程度上仍然受到正义感的驱使 —— 这种正义感源于他自己曾经是加密世界残酷行为的受害者，并希望防止其他人遭遇同样的结局。

“他和这个领域的许多人都有过同样的经历，那就是发生了一些糟糕的事情，你周围的每个人都说，‘你真倒霉’，”莫纳汉说。“他本能地拒绝这种经历。他想改变它。”