Transakcje kryptowalutowe często są postrzegane jako anonimowe, jednak publiczny charakter blockchaina umożliwia śledzenie przepływu aktywów cyfrowych nawet po zastosowaniu skomplikowanych schematów prania pieniędzy. Jednym z najbardziej znanych specjalistów wykorzystujących tę cechę jest niezależny śledczy ZachXBT. Ujawnia on oszukańcze projekty, śledzi skradzione miliony dolarów i pomaga powiązać adresy kryptowalutowe z rzeczywistymi uczestnikami procederów przestępczych.
Śledztwa ZachXBT wielokrotnie przyciągały uwagę organów ścigania, giełd kryptowalutowych i międzynarodowych firm analitycznych. Do najbardziej znanych przypadków należą prześledzenie 243 mln dolarów skradzionych inwestorowi, ustalenie powiązań między włamaniem na giełdę Bybit a północnokoreańską grupą Lazarus, a także wykrycie podejrzanych operacji z wykorzystaniem kryptowalut znajdujących się pod kontrolą amerykańskich instytucji państwowych. Jego działalność pokazuje, dlaczego przejrzystość blockchaina może stanowić poważną przeszkodę dla przestępców.
Kim jest ZachXBT i jak został śledczym zajmującym się kryptowalutami
ZachXBT to pseudonim niezależnego badacza blockchaina specjalizującego się w analizie podejrzanych transakcji, oszustw i kradzieży aktywów cyfrowych. Nie ujawnia publicznie swojej tożsamości, woląc skupiać uwagę odbiorców na dowodach i wynikach prowadzonych śledztw.
Zainteresowanie przestępstwami związanymi z kryptowalutami pojawiło się u niego po osobistych doświadczeniach z oszukańczymi projektami. W okresie intensywnego rozwoju NFT i zdecentralizowanych finansów zaczął analizować podejrzane operacje związane z oszukiwaniem inwestorów, manipulowaniem cenami i wyprowadzaniem środków z projektów.
Stopniowo pojedyncze publikacje przekształciły się w pełnoprawne śledztwa. ZachXBT zaczął zestawiać historię transakcji blockchainowych z informacjami z mediów społecznościowych, wiadomościami uczestników społeczności kryptowalutowej oraz danymi platform handlowych. Pozwalało to wykrywać powiązania między adresami, które na pierwszy rzut oka należały do niezależnych użytkowników.
Główną platformą publikacji wyników stał się serwis X. Badacz zamieszcza szczegółowe analizy zawierające adresy portfeli, schematy przepływu środków oraz wyjaśnienia domniemanych mechanizmów oszustw. Dzięki możliwości samodzielnego zweryfikowania wielu transakcji jego materiały zyskały uznanie wśród specjalistów ds. bezpieczeństwa blockchaina.
Obecnie ZachXBT współpracuje z firmami analitycznymi, zespołami ds. bezpieczeństwa projektów kryptowalutowych oraz organami ścigania. Jednocześnie jego publiczne ustalenia pozostają wynikami śledztw, a nie orzeczeniami sądowymi. Ustalenie odpowiedzialności karnej konkretnej osoby wymaga niezależnej weryfikacji dowodów przez uprawnione organy.
Jak ZachXBT śledzi skradzione kryptowaluty
Podstawą pracy badacza jest on-chain analysis — analiza informacji zapisanych w publicznych blockchainach. W sieciach Bitcoin, Ethereum i innych otwartych systemach można analizować adresy nadawców i odbiorców, kwoty przelewów, czas operacji oraz interakcje z inteligentnymi kontraktami.
Przestępcy często zakładają, że przemieszczanie środków między dziesiątkami portfeli utrudni śledztwo. W tym celu wykorzystują adresy pośredniczące, zdecentralizowane giełdy, mosty międzyłańcuchowe oraz wymianę kryptowalut na aktywa zapewniające wyższy poziom prywatności.
Jednak każda publiczna transakcja pozostawia ślad. Analityk może krok po kroku odtworzyć przepływ środków, zidentyfikować powiązane grupy adresów i wykryć miejsca, w których aktywa cyfrowe trafiają na scentralizowane platformy.
Praca ZachXBT zazwyczaj obejmuje kilka etapów:
-
Identyfikacja transakcji początkowej. Badacz ustala adres, z którego skradziono środki, i określa pierwotne kierunki ich transferu.
-
Odtworzenie łańcucha operacji. Analizowane są portfele pośredniczące, wymiany tokenów i transfery między blockchainami.
-
Poszukiwanie powiązanych adresów. Porównywane są przedziały czasowe, charakterystyczne kwoty, powtarzające się trasy transferów oraz inne oznaki wspólnej kontroli.
-
Zestawienie z danymi zewnętrznymi. Wykorzystywane są publiczne wiadomości, informacje o domenach, materiały z mediów społecznościowych i inne dostępne dowody.
-
Przekazanie wyników. W przypadku istnienia wystarczających podstaw informacje mogą być przekazywane giełdom, poszkodowanym i organom ścigania.
Szczególnie ważny jest ostatni etap. Samo wykrycie skradzionych aktywów nie oznacza możliwości ich odzyskania. Jeśli środki znajdują się pod adresem kontrolowanym przez przestępcę, niezależny badacz nie może samodzielnie cofnąć transakcji. Jednak gdy aktywa trafiają na scentralizowaną giełdę, pojawia się możliwość zwrócenia się do jej działu bezpieczeństwa w celu przeprowadzenia weryfikacji i potencjalnego zablokowania środków.
Śledztwo w sprawie kradzieży 243 mln dolarów od wierzyciela Genesis
Jednym z najbardziej znanych śledztw ZachXBT była sprawa kradzieży około 243 mln dolarów w Bitcoinie w sierpniu 2024 roku. Ofiarą padł wierzyciel upadłej firmy kryptowalutowej Genesis.
Według materiałów śledztwa sprawcy wykorzystali socjotechnikę. Podszywali się pod przedstawicieli Google i giełdy kryptowalutowej Gemini, przekonując poszkodowanego do wykonania czynności, które umożliwiły uzyskanie dostępu do jego środków.
Po udanym ataku przestępcy wyprowadzili ponad 4000 BTC i zaczęli rozdzielać aktywa między liczne adresy. Aby ukryć pochodzenie pieniędzy, wykorzystywano transfery przez różne platformy handlowe oraz konwersję między kryptowalutami.
ZachXBT wspólnie z innymi specjalistami odtworzył znaczną część tras przepływu środków. Dodatkowymi dowodami stały się nagrania rozmów, wiadomości z zamkniętych społeczności oraz materiały przypuszczalnie powiązane z uczestnikami procederu.
Śledczy publicznie wskazał kilku domniemanych sprawców i opisał sposób podziału skradzionych aktywów. We wrześniu 2024 roku amerykańskie organy ścigania poinformowały o zatrzymaniu podejrzanych w sprawie oszustwa kryptowalutowego na dużą skalę.
Przypadek ten pokazał ważną cechę śledztw dotyczących przestępstw cyfrowych: nawet jeśli skradzione środki przechodzą przez wiele portfeli, dodatkowe błędy przestępców mogą umożliwić ustalenie ich tożsamości. Czasami decydujące znaczenie ma nie skomplikowany algorytm analityczny, lecz zestawienie danych blockchainowych z informacjami, które sami uczestnicy ujawniają w internecie.
Jak ZachXBT pomógł ustalić udział Lazarus we włamaniu na Bybit
W lutym 2025 roku giełda kryptowalutowa Bybit padła ofiarą jednej z największych kradzieży w historii branży. Sprawcy ukradli aktywa cyfrowe o wartości około 1,5 mld dolarów, wykorzystując naruszenie bezpieczeństwa procesu podpisywania transakcji.
Skala zdarzenia wywołała międzynarodowy rozgłos. Aby ustalić źródło ataku, platforma analityczna Arkham Intelligence ogłosiła nagrodę za informacje umożliwiające zidentyfikowanie uczestników włamania.
ZachXBT przedstawił materiały łączące operację z Lazarus Group — północnokoreańską grupą hakerską znaną z ataków na firmy kryptowalutowe i instytucje finansowe.
W śledztwie wykorzystano dane dotyczące przelewów testowych, powiązane adresy, prawidłowości czasowe oraz schematy przemieszczania skradzionych aktywów. Analiza pozwoliła wykryć punkty wspólne z infrastrukturą wcześniej wiązaną z Lazarus.
Arkham uznała przedstawione materiały za przekonujące. Następnie Federalne Biuro Śledcze USA również publicznie powiązało włamanie na Bybit z północnokoreańskimi hakerami.
Znaczenie tego śledztwa wykracza poza konkretną giełdę. Pokazało ono, że niezależny specjalista jest w stanie szybko zebrać dowody istotne dla analizy międzynarodowych cyberprzestępstw. Jednocześnie techniczne ustalenie powiązań między portfelami a ostateczne określenie odpowiedzialności konkretnych osób pozostają odrębnymi zadaniami.
Śledztwa dotyczące oszustw wymierzonych w użytkowników Coinbase
Osobny obszar działalności ZachXBT wiąże się z socjotechniką. W przeciwieństwie do skomplikowanych włamań technicznych tego rodzaju przestępstwa często opierają się na psychologicznym oddziaływaniu na właścicieli kryptowalut.
W 2025 roku badacz opublikował materiały dotyczące domniemanej grupy oszustów, którzy podszywali się pod pracowników działu obsługi klienta Coinbase. Sprawcy kontaktowali się z użytkownikami, informowali o fikcyjnych problemach z bezpieczeństwem i przekonywali ich do wykonywania czynności prowadzących do utraty środków.
W jednym ze śledztw ZachXBT powiązał domniemanego uczestnika procederu z kradzieżami o łącznej wartości ponad 4 mln dolarów. Analiza wykazała, że część skradzionych aktywów trafiała na kryptowalutowe platformy hazardowe, a niektóre operacje służyły do konwersji środków na inne waluty cyfrowe.
Podobne sprawy pokazują ograniczenia zabezpieczeń o charakterze wyłącznie technicznym. Nawet niezawodny blockchain nie zapobiega sytuacji, w której użytkownik samodzielnie przekazuje przestępcy poufne dane lub zatwierdza złośliwą transakcję.
Aby wykrywać takie przestępstwa, konieczne jest analizowanie nie tylko adresów portfeli, lecz także metod komunikacji z ofiarami, fałszywych stron internetowych, historii kontaktów telefonicznych oraz tras przepływu środków po kradzieży.
Podejrzane operacje z wykorzystaniem państwowych portfeli kryptowalutowych
W styczniu 2026 roku ZachXBT przedstawił śledztwo dotyczące domniemanej kradzieży kryptowalut powiązanych z aktywami pozostającymi pod kontrolą amerykańskich instytucji państwowych.
Punktem wyjścia były materiały z Telegrama, w których jeden z uczestników demonstrował posiadanie znacznych ilości aktywów cyfrowych. Badacz przeanalizował publicznie pokazane adresy i odtworzył powiązane z nimi transakcje.
W rezultacie wykryto operacje przypuszczalnie związane z dziesiątkami milionów dolarów, w tym środki pochodzące z aktywów kryptowalutowych wcześniej skonfiskowanych przez amerykańskie władze.
ZachXBT wysunął również przypuszczenie dotyczące możliwego powiązania podejrzanego z rodziną kierownika firmy realizującej kontrakt na obsługę przejętych kryptowalut. Twierdzenia te wymagały jednak dalszej oficjalnej weryfikacji i nie mogły być traktowane jako dowód udziału w przestępstwie potwierdzony przez sąd.
Specyfika tej sprawy polega na tym, że przedmiotem śledztwa stała się infrastruktura przechowywania państwowych aktywów cyfrowych. Pokazuje to, że ryzyko przejęcia kluczy, niewystarczającej kontroli dostępu i nadużyć występuje nie tylko wśród prywatnych inwestorów i giełd kryptowalutowych.
Dlaczego śledztwa ZachXBT wpływają na rynek kryptowalut
Publikacje ZachXBT często wywołują szybką reakcję społeczności kryptowalutowej. Po pojawieniu się informacji o podejrzanych adresach giełdy mogą zaostrzyć kontrole, projekty — ostrzec użytkowników, a firmy analityczne — dodać odpowiednie portfele do systemów monitorowania.
Wpływ badacza wynika przede wszystkim z publicznej dostępności dowodów. Wiele materiałów zawiera konkretne transakcje, które inni specjaliści mogą zweryfikować za pomocą eksploratorów blockchaina. Odróżnia to śledztwo techniczne od niepotwierdzonych oskarżeń publikowanych w mediach społecznościowych.
Jednak jawność wiąże się również z ryzykiem. Błędna identyfikacja właściciela adresu może zaszkodzić reputacji niewinnej osoby. Ponadto przepływ środków przez określony portfel nie zawsze dowodzi, że jego właściciel wiedział o przestępczym pochodzeniu aktywów.
Dlatego rzetelna analiza blockchaina wymaga rozróżniania potwierdzonych faktów, powiązań o charakterze probabilistycznym i przypuszczeń. Do ostatecznego ustalenia tożsamości i roli podejrzanego mogą być potrzebne dokumenty bankowe, dane giełd kryptowalutowych, wyniki przeszukań oraz inne materiały niedostępne dla niezależnego badacza.
Jak działalność ZachXBT zmienia walkę z przestępczością kryptowalutową
Praca ZachXBT pokazuje zmianę podejścia do prowadzenia śledztw dotyczących przestępstw finansowych. W tradycyjnym systemie bankowym znaczna część informacji o przelewach jest poufna i dostępna przede wszystkim dla instytucji finansowych oraz organów państwowych. W publicznych blockchainach historia transakcji jest jawna, co pozwala niezależnym analitykom wykrywać podejrzane operacje bez wcześniejszego dostępu do bankowych baz danych.
Jednocześnie przejrzystość blockchaina nie oznacza automatycznego ujawnienia tożsamości przestępcy. Adres portfela jest identyfikatorem technicznym, a nie danymi osobowymi z dokumentu tożsamości. Aby ustalić właściciela, konieczne jest połączenie informacji o transakcjach z dodatkowymi dowodami.
ZachXBT zyskał rozpoznawalność właśnie dzięki umiejętności łączenia tych źródeł. Jego śledztwa pokazują, że przestępstwa związane z kryptowalutami mogą pozostawiać ślady przez wiele lat, a próby zaciemnienia przepływu aktywów nie zawsze uniemożliwiają ich analizę.
Najważniejsze znaczenie jego działalności polega nie tylko na ujawnianiu poszczególnych kradzieży o wielomilionowej wartości. Kształtuje ona praktykę niezależnych śledztw finansowych, w której publiczne dane blockchaina stają się narzędziem kontroli przepływu aktywów cyfrowych. Wraz z rozwojem rynku kryptowalut znaczenie takich specjalistów będzie rosło, ponieważ bezpieczeństwo branży zależy nie tylko od niezawodności technologii, lecz także od zdolności do szybkiego wykrywania oszukańczych schematów i ustalania odpowiedzialności ich organizatorów.
