'شوالیه تاریکی' در دنیای ارزهای دیجیتال، سازمان‌های جنایتکار را سرکوب می‌کند... با صرف میلیون‌ها دلار و تحمل خسارت

[خبرنگار یانگ وون مو از بلاک مدیا] 25 فوریه 2025. یک فرد با نام مستعار 'جیمی گرین' در تلگرام به مشتری جدیدی نزدیک شد. او گفت که "دارای اتریوم (ETH) مشکوک به منبع است" و از او پرسید که آیا می‌تواند آن را با دارایی‌های پاک در شبکه‌ای دیگر مبادله کند. حجم معامله حدود 100 ETH بود. طرف مقابل بدون هیچ شکی شروع به بحث در مورد شرایط معامله کرد.

هویت مشتری یک سرمایه‌گذار عادی نبود. او یک محقق ناشناس به نام 'زک ایکس بی تی' (ZachXBT) بود که در حال ردیابی جریان‌های مالی جنایی در بلاکچین بود. زک ایکس بی تی نوعی تحقیق نفوذی را انجام می‌داد. گرین به عنوان یکی از اعضای شبکه جنایی چینی که دارایی‌های دیجیتال دزدیده شده توسط سازمان هک کره شمالی به نام 'لازاروس' را شستشو می‌داد، مشکوک بود.

زک ایکس بی تی بعداً با صرف حدود 350,000 دلار (حدود 469 میلیون و 310 هزار تومان) چندین معامله انجام داد. او برای به دست آوردن اعتماد طرف مقابل، حتی تا 5 درصد ضرر را در هر معامله تحمل کرد. در عوض، او برنامه‌های جابجایی وجوه هک شده کره شمالی و آدرس‌های کیف پول مرتبط و همچنین روش‌های عملیاتی درون سازمان جنایی را به دست آورد.

"متن‌های مشکوک" در تلگرام و دیسکورد

در فوریه 2025، حدود 1.5 میلیارد دلار (حدود 20.13 تریلیون تومان) اتریوم از صرافی دیجیتال جهانی بای‌بییت دزدیده شد. پشت این حمله، سازمان هک مرتبط با کره شمالی به نام 'تریدر تریتر' (TraderTraitor) شناسایی شد.

زک ایکس بی تی در حال ردیابی مسیرهای جابجایی وجوه دزدیده شده بود که در کانال‌های عمومی تلگرام و دیسکورد متن‌های مشکوکی را پیدا کرد. حساب‌هایی که از "مشکل در سفارشات معامله" شکایت می‌کردند، یکی پس از دیگری ظاهر شدند. زک ایکس بی تی 15 حساب را تأیید کرد که برخی از سفارش‌های آنها مستقیماً به وجوه هک شده بای‌بییت مرتبط بود. به عبارت دیگر، همدستانی که وجوه جنایی را پردازش می‌کردند، در کانال‌های پشتیبانی مشتری عمومی در مورد مشکلات معاملاتی سؤال می‌کردند.

زک ایکس بی تی به یکی از این افراد که از نام مستعار 'جیمی گرین' استفاده می‌کرد، نزدیک شد. او خود را به عنوان مشتری که می‌خواهد مقدار زیادی دارایی دیجیتال مبادله کند معرفی کرد و از او درباره شرایط معامله پرسید. روش پیشنهادی گرین ساده بود. مشتری باید USDC را از شبکه اتریوم ارسال کند و او USDT را از شبکه ترون پرداخت می‌کند. این یک روش مبادله غیررسمی بین بلاکچین‌های مختلف بود.

در 6 مارس 2025، زک ایکس بی تی 349,700 USDC را به کیف پول جدید واریز کرد. این پول برای انجام معامله واقعی بود. خطر این وجود داشت که طرف مقابل پول را بگیرد و ناپدید شود، اما او معامله را ادامه داد.

اولین سرنخ از کیف پولی که گرین ارائه داده بود به دست آمد. این آدرس نشان می‌داد که از کیف پول دیگری که به وجوه هک شده بای‌بییت مرتبط بود، هزینه‌های گاز مورد نیاز برای کارمزد معامله را دریافت کرده است. اگر هزینه‌های گاز از کیف پول هکرها دریافت شده باشد، این به این معنی است که دو طرف در یک رابطه همکاری هستند. او در حال پیگیری بود.

با تکرار معاملات، گرین به تدریج احتیاط خود را کاهش داد. او سازمان خود را "بزرگترین تیم شستشوی پول حرفه‌ای چین" معرفی کرد و حتی شروع به صحبت درباره برنامه‌های جابجایی وجوه مرتبط با کره شمالی کرد.

"اکثریت 1.5 میلیارد دلار را تیم ما شستشو داده است"

گرین به زک ایکس بی تی گفت که "تیم او اکثریت 1.5 میلیارد دلار اتریوم دزدیده شده از بای‌بییت را شستشو داده است". او همچنین به زک ایکس بی تی گفت که وجوه هک شده بای‌بییت به شبکه سولانا (SOL) منتقل خواهد شد و مسیر شستشو را نیز فاش کرد. در واقع، روز بعد، معامله‌ای که در آن وجوه منتقل می‌شد، در سولانا مشاهده شد.

سرنخ قطعی در 12 مارس 2025 به دست آمد. زمانی که گرین صفحه‌ای را که در آن وجوه را به بلاکچین دیگری منتقل می‌کرد، ارسال کرد، زک ایکس بی تی مبلغ و زمان نمایش داده شده در صفحه را با سوابق معاملاتی پروتکل کراس‌چین 'تورچین' (THORChain) مقایسه کرد. در نتیجه، او معامله واقعی را که چند دقیقه بعد از ارسال پیام ایجاد شده بود، پیدا کرد.

سپس با ردیابی سه آدرس کیف پول سولانا که گرین ارائه داده بود، جریان وجوه بزرگتری نمایان شد. زک ایکس بی تی گفت: "من تأیید کردم که بیش از 12 میلیون دلار (حدود 160 میلیارد تومان) وجوه هک شده بای‌بییت به گروهی از کیف پول‌ها مرتبط است."

وجوه ابتدا از بیت‌کوین (BTC) به ETH منتقل شد و سپس از طریق SOL به شبکه ترون منتقل گردید. در این فرآیند، پل‌هایی که دارایی‌ها را بین بلاکچین‌ها منتقل می‌کنند و صرافی‌های غیرمتمرکز (DEX) مورد استفاده قرار گرفتند. در برخی معاملات، استفاده از توکن‌های کم حجم در استخرهای نقدینگی (LP) یونی‌سواپ (Uniswap) نیز تأیید شد. این یک روش بود که ساختار معاملات را پیچیده کرده و ردیابی وجوه را دشوار می‌کرد.

تأیید ساختار 'سرقت دارایی‌های سازمان هک کره شمالی → شستشوی سازمان حرفه‌ای چینی'

گفت‌وگوی زک ایکس بی تی با گرین محدود به شستشوی وجوه نبود. او به زک ایکس بی تی درباره مَاه‌جونگ، غذا، سفرهای خانوادگی و دیگر موضوعات روزمره صحبت کرد. گرین که از هویت زک ایکس بی تی بی‌خبر بود، به راحتی درباره رفتارهای جنایی گذشته خود صحبت کرد. این امکان را فراهم کرد که او به عنوان یکی از اعضای سازمان چینی شناسایی شود.

گرین به زک ایکس بی تی گفت: "تیمی که قبلاً با آن آشنا بودم، حدود 300,000 دلار (حدود 40 میلیون و 226 هزار تومان) مسدود شده است." زک ایکس بی تی این مورد را ردیابی کرد و مورد مسدود شده 332,000 USDC را که به حادثه هک پولونیکس (Poloniex) در سال 2023 مرتبط بود، پیدا کرد. همچنین، 3 میلیون دلار (حدود 40 میلیارد و 226 میلیون تومان) از وجوه تقلبی یک مشتری دیگر به کیف پول داغ مرتبط با 'هویون گارانتی' (Huione Guarantee) منتقل شد.

زک ایکس بی تی از این طریق ساختار تقسیم کار را تأیید کرد که در آن سازمان هک کره شمالی دارایی‌های دیجیتال را دزدیده و سازمان حرفه‌ای چینی وجوه را دریافت و شستشو می‌دهد. زک ایکس بی تی همچنین اعلام کرد که در حادثه هک بیت‌گت (Bitget) که در سپتامبر گذشته رخ داده است و حجم آن 387 میلیون دلار (حدود 5189 میلیارد تومان) برآورد شده، "نشانه‌های مشابهی را شناسایی کرده است."

زک ایکس بی تی اطلاعاتی را که به دست آورده بود با نهادهای تحقیقاتی خصوصی و سازمان‌های تحقیقاتی به اشتراک گذاشت. او توضیح داد که به دلیل حساسیت محتوای تحقیق، انتشار آن را به تعویق انداخته است. تتر (Tether) بر اساس تحقیقات زک ایکس بی تی، 442,000 USDT مرتبط با آن گروه کیف پول را مسدود کرد.

زک ایکس بی تی با پوشاندن صورتش با ماسک، شبیه به بتمن است که به مجرمان ضربه می‌زند. زک ایکس بی تی گفت: "امیدوارم حمایت بنیاد و افراد ادامه یابد" و افزود: "به خاطر این حمایت، دیگران می‌توانند با ریسک‌های بیشتری در مواردی که دیگران فکر می‌کنند امکان‌پذیر نیست، وارد شوند."

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.