Last Updated on 2026年10月9日 by oba3
匿名のオンチェーン調査者ザックXBT（ZachXBT）は2026年10月5日、中国を拠点とするとされる資金洗浄ネットワークへ顧客を装って接触し、34万9700USDCを自ら用意して実際の取引を行った調査手法を公表した。ザックXBTによれば、このネットワークは北朝鮮のラザルス・グループ（Lazarus Group）に関連する複数の暗号資産窃取事件で資金洗浄を担っていたという。
今回の焦点は、調査者が約35万ドルを危険にさらした大胆さではない。公開ブロックチェーンを外部から観察するだけでなく、資金洗浄サービスの顧客として実取引を発生させ、相手が提示するアドレス、送金時刻、ブリッジ経路などをオンチェーン記録と照合したことにある。民間フォレンジックが受動的な追跡から、管理された取引を使って犯罪インフラ内部の接続関係を確認する手法へ踏み込んだ事例として注目される。
何が起きたのか？
ザックXBTの説明によると、調査は2025年2月に発生した暗号資産取引所バイビット（Bybit）の約15億ドル規模の暗号資産窃取事件をきっかけに始まった。米連邦捜査局（FBI）は同年2月26日、この事件について北朝鮮による攻撃であり、同局がTraderTraitorと呼ぶ活動に関連すると公式に発表している。
ザックXBTは事件後、テレグラム（Telegram）やディスコード（Discord）の公開グループで、盗難資金と関連するとみられる注文について支援を求める15以上のアカウントを確認したとしている。その中から「Jimmy Green」を名乗る人物へ接触し、資金交換を希望する顧客を装った。
2025年3月6日には新しいイーサリアム（Ethereum）アドレスへ34万9700USDCを用意し、相手側との複数の取引を開始した。ザックXBTによれば、取引ごとに約5％の損失を受け入れ、相手が資金を持ち逃げする可能性もある中で調査を続けた。
その後、相手から共有された送金情報やアドレスをオンチェーン取引と照合した結果、バイビット事件に関連するとザックXBTが判断した1200万ドル超の資金クラスターを特定したとしている。さらに、このクラスターに関連する44万2000USDTがテザー（Tether）によって凍結されたと説明している。
ただし、中国系組織がラザルス関連事件で累計10億ドル超を洗浄したという規模や、今回の潜入調査の詳細は主にザックXBT本人の公表に基づく。FBIはバイビット事件そのものを北朝鮮に帰属させているが、今回公表された特定の中国系ネットワークや10億ドルという総額を政府機関が独立して確認したとは現時点で確認できない。
なぜ重要なのか？
従来のオンチェーン調査では、すでに発生した送金を追い、既知の取引所アドレスや犯罪関連ウォレットとの接続を調べる方法が中心だった。しかし資金洗浄業者が複数のウォレット、ブリッジ、チェーン、OTC取引を使えば、公開データだけでは誰が同じネットワークを運営しているか判断しにくい場合がある。
今回の方法では、調査者自身が相手へ注文を出すことで、犯罪サービス側から新しい情報を発生させている。相手が提示した入金アドレス、資金の受取先、送金タイミング、次に利用するチェーンといった情報を、実際のブロックチェーン記録と照合できるためだ。
ザックXBTは、相手が共有したブリッジ操作の画面と、その数分以内に作成されたTHORChain上の注文を照合した例も説明している。また相手から共有された複数のソラナ（Solana）アドレスを手掛かりに、ビットコイン（Bitcoin）、イーサリアム、ソラナ、トロン（TRON）をまたぐ資金移動を追跡したとしている。
つまり実取引そのものが、単なる資金移動ではなく調査用の観測点になる。相手がどのウォレットやサービスを使うかを能動的に確認できることが、今回の手法の特徴だ。
市場構造への影響
暗号資産犯罪の資金洗浄は、一人の攻撃者が盗難から換金までをすべて処理するとは限らない。盗難を実行する主体、異なるチェーンへ資金を移す業者、OTCで交換する業者、ステーブルコインを受け取る事業者などが分業することで、犯罪インフラがサービス化される。
この構造では、ハッカーのウォレットだけを監視しても全体像を把握しにくい。盗難資金が洗浄業者へ渡った時点で、新しいアドレスや取引経路が生成され、別の顧客資金と混ざる可能性があるためだ。
民間調査者が顧客としてネットワークへ接触すると、この分業構造の接続点を直接観測できる場合がある。どの担当者が注文を受け、どのアドレスへ送金を求め、どのブリッジを使い、どのステーブルコインへ変換するかを時系列で記録できれば、単独ウォレットではなく犯罪サービス全体をクラスターとして把握しやすくなる。
一方、この方法を一般的な調査モデルとして簡単に再現できるわけではない。調査資金を失う危険だけでなく、犯罪者との取引に関する法的問題、制裁対象資金との接触、証拠保全、捜査機関との調整などが必要になる。誰でも実資金を投入して調査すべきだという話ではない。
資金・規制・流動性との関係
今回の事例では、オンチェーン追跡だけでなく、ステーブルコイン発行体や法執行機関へ情報を渡せることが資金凍結につながる重要な接点になる。
テザーのような中央管理型ステーブルコインでは、発行体が特定アドレスを凍結できる仕組みを持つ。そのため不正資金がUSDTへ移った段階で十分な証拠とアドレス情報が共有されれば、資金移動を止められる場合がある。今回の44万2000USDTについても、ザックXBTは自身の調査情報が関連資金の凍結につながったと説明している。
ただし、すべてのチェーンや資産に同じ凍結機能があるわけではない。ビットコインのように発行体が存在しない資産では、中央主体が特定ウォレットを直接停止することはできない。その場合は取引所への入金、法定通貨への換金、規制事業者との接点が重要になる。
FBIもバイビット事件後、取引所、ブリッジ、ブロックチェーン分析企業、DeFiサービスなど民間事業者へ、北朝鮮関連と特定したアドレスから派生する取引の監視や遮断を呼び掛けていた。犯罪資金追跡では、公開台帳だけでなく発行体、取引所、分析企業、捜査当局をつなぐ情報共有が実際の資金封じ込めを左右する。
初心者向け補足
オンチェーン調査とは、公開ブロックチェーンに記録された送金履歴を分析し、資金がどのウォレットやサービスを通ったかを追う作業だ。多くのブロックチェーンでは送金履歴は公開されているが、ウォレットに実名が直接表示されるわけではない。
通常は既存の取引履歴から関係を推測する。しかし今回ザックXBTが説明した方法では、自分で新しいウォレットを用意し、調査対象と実際に取引することで「相手が自分の注文を処理するとき、どのインフラを使うか」を確認した。
たとえば取引相手が送金先アドレスを伝え、そのアドレスが過去の盗難資金から直接資金提供を受けていれば、両者の接続を示す追加材料になる。さらに取引相手が送金予定のチェーンや手法を事前に話し、その後オンチェーンで同じ動きが確認できれば、情報の信頼性を検証できる。
ただし、オンチェーン上で資金がつながったことと、そのウォレットを操作する実在人物を法的に特定したことは同じではない。最終的な捜査や責任追及には、取引所の本人確認情報、通信記録、法執行機関による証拠収集などが必要になる。
Web3Timesの視点
今回注目したいのは、ザックXBTが約35万ドルを危険にさらしたことではない。オンチェーン犯罪調査が、公開データを眺めるだけのフォレンジックから、管理された実取引によって相手側のインフラを観測する手法へ広がった点だ。
第一の観測点は、実取引から得た情報をどこまで独立して検証できるかである。相手の発言だけでは証拠として弱いが、送金アドレス、時刻、金額、ブリッジ操作を公開台帳と一致させられれば、犯罪ネットワークの接続関係を具体化できる。
第二は、調査結果を実際の資金凍結へ変換する経路だ。分析者がウォレットを特定しても、発行体、取引所、法執行機関が動かなければ資金は移動し続ける。44万2000USDTの凍結は、民間調査とステーブルコイン発行体の対応が接続した事例として見ることができる。
第三は調査資金の調達方法である。ザックXBTは今回の活動を自己資金、助成金、寄付などで支えていると説明しており、こうした高コストの調査を継続可能な仕事として誰が負担するのかという問題が残る。犯罪側が巨額化するほど、追跡する側にも資本が必要になる。
第四は民間調査と公的捜査の境界だ。ザックXBTは得た情報を法執行機関へ速やかに共有したとしている。今後同様の手法が増えるなら、調査資金の管理、犯罪組織との接触、証拠保存、制裁対応を含め、民間フォレンジックと捜査機関がどう役割分担するかが重要になる。
ブロックチェーンの透明性だけで犯罪資金を止められるわけではない。しかし、オンチェーン履歴へ実取引から得た情報を重ね、発行体や取引所、捜査当局へ接続できれば、匿名ウォレットの集合だった資金洗浄網を具体的な運用インフラとして可視化できる場合がある。今回の事例は、民間フォレンジックが単なる事後分析から、犯罪インフラの構造を能動的に観測する運用モデルへ広がる可能性を示したものとして読むことができる。
