ZachXBT 揭露，替疑似北韓駭客清洗 Bitget 贓款的人，因在跨鏈兌換卡單後跑到公開 Discord 求助，結果工作人員竟回貼金正恩的照片開嘲諷。
（前情提要：Bitget 駭客轉出 8,300 萬鎂 XRP！XRPL 不支援凍結，Ripple 無能為力）
（背景補充：Bitget 首度完整溯源：破口竟是外購資安工具漏洞，排除私鑰外洩與內鬼）
一名替疑似北韓駭客洗錢的人，在公開的 Discord 頻道裡向客服求救：「弄丟資產會給我的生活帶來很多麻煩。」結果客服的回應竟是貼出一張金正恩揮手燦笑的照片，再補上一句「你選錯工作了」，戲謔拉滿 XD。
這段對話出自鏈上偵探 ZachXBT 稍早在 X 上的貼文。他稱，替疑似北韓攻擊者清洗 Bitget 9/24 被盜資金（約 3.87 億美元）的，是一批中國洗錢者，他們直接在所用服務的公開頻道裡為卡住的訂單求助。
BREAKING: Chinese illicit actors laundering funds from the $387M Bitget exploit on behalf of the alleged DPRK attackers are openly asking for support with orders in public Discord servers and Telegram channels of services they use.
Notably, Alias 4 (below) was also seen… pic.twitter.com/KfdTo51M2o
— ZachXBT (@zachxbt) September 28, 2026
公開頻道裡的求救對話
化名 jack 的協助洗錢者，在 9/27 先問「GM！要去哪裡提交工單？」接著說，他用 Thorium 把 XRP 換成 BTC，快一整天了還沒收到 BTC。他把 THORChain 打成 Thorium，這是一個不用註冊帳號的去中心化跨鏈兌換協議。
接著好笑的來了，掛著 SwapKit（接 THORChain 的兌換前端服務）身分標籤的工作人員，先回了金正恩的照片。jack 說自己「非常擔心」，弄丟資產會給生活帶來很多麻煩。工作人員再回：「金正恩會生氣嗎？」、「老兄，你選錯工作了。」
化名 Cc 的口氣更急：「我的資金安全嗎？」並說這是技術錯誤，自己只收到退回的 XRP，網頁上卻查不到任何 BTC 的資訊。他貼出的截圖寫著，一筆 431.08696 XRP 的兌換被退款，因為網路已完成這筆兌換，重複的嘗試被退回。
Cc 說自己送了 277,724 XRP，只退回 431 枚，網頁卻顯示兌換完成，接著標記客服人員：「拜託你幫我看看，求求你。」
化名 Melon 的用戶在 9/28 說，BTC 網路在出金時暫停，似乎讓兩筆 BTC 兌換被取消。工作人員則回應「兩筆兌換都已完成」，Melon 再追問：「這兩筆提領我在鏈上都找不到。」
化名 lolo 的用戶說兌換發起好幾個小時，錢還沒到，app 卻已顯示成功。工作人員當場問他是不是 Telegram 上的同一人，他貼出雜湊後回了一個「yes」，承認兩個帳號同屬一人。ZachXBT 指出，這個化名也洗過今年 4 月 Kelp DAO 被盜 2.92 億美元的贓款。
但要說清楚的是，這不是服務方把贓款吞掉。Cc 的截圖顯示系統標示兌換已完成，431 枚只是一筆重複送出的退款，這些人是查不到 BTC 入帳才求助。錢最後有沒有到，原文沒有交代。
贓款依序流過哪些地方
ZachXBT 附上 TRM 製作的資金流向圖。第一站是 XRP Ledger，也就是 XRP 自己的區塊鏈，贓款在這裡拆分：Bitget 熱錢包的約 1.03 億枚 XRP 先轉進駭客主錢包，9/24 拆成多筆送進至少 8 個中繼錢包，中繼錢包再互相對倒，最後分到五個化名名下。XRP Ledger 沒有凍結功能，Ripple 擋不了。
第二站是 THORChain，五個化名的錢包全部流向這裡。它不用註冊、不做 KYC，能把 XRP、ETH 直接換成原生 BTC。圖上標示的入金量是：Melon 20 萬枚 XRP（分 2 筆）、Cc 178,470 枚、HELP ME 6 萬枚加 3 萬枚、jack 55,555 枚、lolo 45,737 枚。六筆加起來約 57 萬枚，只是約 1.03 億枚裡被抓到公開求助的一小部分。
換成 BTC 後，ZachXBT 說資金會經跨鏈橋跳鏈。跨鏈橋把資產從一條鏈搬到另一條鏈。終點是 Wasabi，一款比特幣混幣錢包，把多人的 BTC 混在一起再分出，來源與去向就難以對上。
THORChain 回應封鎖要求
Bitget 曾要求 THORChain 封鎖駭客地址。執行長 Gracy Chen 表示：「去中心化是設計原則，不是被盜資金的擋箭牌。」THORChain 在 9/28 回應，網路暫停是保護協議的緊急安全機制，「不是針對特定資金或單一兌換的選擇性凍結」，並自稱是無需許可、不審查的中立公共工具。
📍相關報導📍
Bitget 分批恢復提領！BTC 率先開放，10/2 全網恢復，3.88 億鎂全額補償
