Chi è ZachXBT?

ZachXBT è un investigatore blockchain con uno pseudonimo noto su crypto X (precedentemente Twitter) per aver smascherato truffe, rug pull e furti. Attraverso un'analisi onchain dettagliata e ricerche open source, pubblica thread che rintracciano fondi rubati, smascherano i cattivi attori e collegano le frodi in tutto l'ecosistema.

Operando in modo indipendente, le sue indagini hanno contribuito a recuperare centinaia di milioni in criptovalute rubate e hanno portato a reali conseguenze legali, inclusi arresti e sequestri di beni. Wired lo ha descritto come il detective indipendente più prolifico al mondo focalizzato sulle criptovalute, e CoinDesk lo ha inserito nella sua lista dei più influenti del 2024.

Egli rimane anonimo, rappresentato da un ornitorinco dei cartoni animati con l'impermeabile da detective che è diventato il suo marchio di fabbrica. Tale anonimato funziona sia come misura di sicurezza personale sia come tratto distintivo del suo ruolo di investigatore ufficioso e autodidatta del settore crypto.

Le origini di ZachXBT

Il percorso di ZachXBT nel mondo crypto è iniziato come quello di molti altri: iniziale ottimismo seguito da dolorose lezioni. Durante il boom delle ICO del 2017, era un utente comune che acquistava token pompati e progetti NFT, assistendo al crollo di diversi di essi in classici rug pull che avrebbero poi orientato il suo focus.

Un hack di un wallet intorno al 2018 gli è costato circa 15.000 $, un momento di svolta personale che ha ridiretto la sua attenzione. Invece di abbandonare il settore, ha iniziato a studiare attentamente i dati della blockchain, imparando a tracciare i wallet, seguire i flussi di fondi e comprendere esattamente come vengono create ed eseguite le truffe crypto.

Stando alle sue stesse parole, non ha alcuna formazione formale in investigazioni o forze dell'ordine, descrivendo le sue competenze come interamente autodidatte attraverso anni di analisi onchain. I suoi primi thread su reti di phishing e frodi NFT hanno costruito la reputazione che lo avrebbe reso la voce forense di riferimento nel settore crypto.

Come indaga ZachXBT sulle truffe?

Per smascherare le frodi crypto, ZachXBT unisce la forensica della blockchain all'intelligence open source, tracciando fondi rubati, smascherando i responsabili e collegando le truffe nel tempo. La sua metodologia è diventata più raffinata man mano che i furti si sono spostati dagli exploit di smart contract verso l'ingegneria sociale.

Ecco come si articola tipicamente il suo processo:

• Analisi della blockchain: Traccia i flussi di token utilizzando strumenti come Etherscan, Arkham e Breadcrumbs, seguendo i trasferimenti tra wallet, exchange e mixer per mappare il movimento dei fondi.
• Monitoraggio degli smart contract: Ispeziona le distribuzioni di contract di truffa alla ricerca di bytecode riutilizzati, wallet di distribuzione riciclati e origini di finanziamento sospette che tradiscono i recidivi.
• Raggruppamento dei wallet: Collega gli indirizzi tramite finanziamenti di gas condivisi, tempistiche di transazione sincronizzate e punti di arrivo comuni come i conti di deposito degli exchange centralizzati.
• Intelligence sui social media: Correla l'attività onchain con nomi utente, messaggi e timestamp su X, Telegram e Discord per identificare i soggetti ricorrenti.
• Registrazioni trafugate: Si affida sempre più spesso a registrazioni dello schermo provenienti da chat di gruppo private, in cui i sospettati rivelano inavvertitamente wallet, nomi o saldi mentre si vantano.
• Collegamento delle identità: Effettua incroci tra registrazioni di domini, atti giudiziari e registri pubblici per collegare l'attività della blockchain a nomi reali, e-mail o altri identificatori.
• Presentazione del caso: Assembla i risultati in thread su X annotati con tracciati di token e ricevute, condividendo spesso le prove con le forze dell'ordine prima della pubblicazione.

Principali indagini e truffe smascherate da ZachXBT

Il curriculum di ZachXBT dal 2021 comprende miliardi di flussi illeciti e un aiuto diretto nel recupero di asset rubati. Il co-fondatore di Paradigm Matt Huang ha dichiarato che ZachXBT ha aiutato a recuperare più di 350 milioni di dollari per le vittime di hack e truffe, tra rug pull di NFT, reti di phishing, exploit DeFi e furti legati a stati.

1. Hack di Bybit (Feb 2025)

Il 21 febbraio 2025, Bybit ha perso circa 1,5 miliardi di dollari in asset basati su Ethereum, il più grande furto singolo nella storia delle criptovalute fino a quel momento. Nel giro di poche ore, ZachXBT ha presentato prove ad Arkham identificando il Lazarus Group della Corea del Nord come colpevole, confermato in seguito dall'FBI.

• Importo della truffa: Circa 1,5 miliardi di dollari, sottratti da un cold wallet multisig di Ethereum durante un trasferimento di routine.
• Fatti chiave: Ha collegato l'attacco al precedente hack di Phemex attraverso fondi mescolati e pattern di riciclaggio corrispondenti.
• Risultato: Si è guadagnato una taglia di 50.000 ARKM (~31.500 $); i successivi sequestri in Grecia e Germania hanno recuperato parte dei fondi.

2. Furto ai danni dei creditori di Genesis (2024-2025)

Nell'agosto 2024, ZachXBT ha tracciato 4.064 BTC (~243 milioni di dollari) rubati a un singolo creditore di Genesis tramite Gemini. Gli aggressori si sono spacciati per il supporto di Google e Gemini, hanno reimpostato l'autenticazione a due fattori (2FA) della vittima e hanno estratto le private key tramite software di accesso remoto.

• Importo della truffa: Circa 243 milioni di dollari in Bitcoin, parte dei quali inattivi dal 2012.
• Fatti chiave: Una registrazione audio di Discord trapelata ha rivelato il nome reale di un sospettato; i fondi sono stati suddivisi su oltre 15 exchange e diverse criptovalute.
• Risultato: I sospettati Malone Lam, Veer Chetal e Jeandiel Serrano hanno dovuto affrontare un procedimento penale negli Stati Uniti; un ulteriore sospettato è stato arrestato a Dubai alla fine del 2025.

3. Ondata di ingegneria sociale su Coinbase (2024-2025)

ZachXBT ha ripetutamente segnalato che gli utenti di Coinbase stavano perdendo una stima di 300 milioni di dollari all'anno a causa di truffe basate sull'imitazione del supporto. Il problema è riconducibile a una violazione interna guidata da tangenti che ha esposto i dati di quasi 70.000 utenti.

• Importo della truffa: Intorno ai 300 milioni di dollari all'anno tra gli utenti; Coinbase ha stimato tra i 180 e i 400 milioni di dollari in costi legati alla violazione.
• Fatti chiave: Ha identificato un attore canadese, "Haby", che avrebbe rubato oltre 2 milioni di dollari e ostentato i proventi sui social media.
• Risultato: Un agente del supporto in outsourcing è stato arrestato in India nel dicembre 2025; il Dipartimento di Giustizia degli Stati Uniti (DOJ) ha aperto un'indagine sulla violazione.

4. Indagine USMS "Lick" (gennaio-marzo 2026)

All'inizio del 2026, ZachXBT ha sostenuto che una figura nota come "Lick" avesse rubato più di 46 milioni di dollari dai wallet gestiti dallo United States Marshals Service (USMS). La pista è emersa da una disputa su Telegram trapelata, in cui un partecipante ha condiviso lo schermo del controllo di indirizzi collegati al governo.

• Importo della truffa: Oltre 46 milioni di dollari legati ad asset digitali sequestrati sotto custodia federale.
• Fatti chiave: Ha identificato il sospettato in John Daghita, la cui azienda di famiglia deteneva un contratto di custodia con l'USMS assegnato nel 2024.
• Risultato: L'FBI ha arrestato Daghita a Saint Martin nel marzo 2026; il caso ha sollevato allarme sulla custodia esternalizzata delle criptovalute sequestrate.

5. Altre indagini rilevanti

Al di là dei casi più eclatanti, ZachXBT ha scoperto decine di schemi più piccoli ma dannosi che coinvolgono influencer, exchange e gruppi di ingegneria sociale operanti in circoli noti online come "The Com".

• Insider trading su Axiom (febbraio 2026): Ha citato la piattaforma di trading Axiom, sostenendo che i dipendenti abbiano abusato degli strumenti di supporto interno per visualizzare i dati privati dei wallet dopo aver generato oltre 390 milioni di dollari di entrate.
• Dritan Kapllani Jr. (maggio 2026): Ha collegato un 18enne a circa 19 milioni di dollari in furti tramite ingegneria sociale, utilizzando registrazioni di "flex" su Discord e atti giudiziari desecretati come prove.
• Rete di lavoratori IT nordcoreani (aprile 2026): Ha smascherato un'operazione nordcoreana che genera circa 1 milione di dollari al mese attraverso false identità, documenti contraffatti e conversioni da criptovalute a fiat.
• Machi Big Brother (2022-2023): Ha sostenuto che Jeff Huang abbia prelevato 22.000 ETH da un wallet di tesoreria; Huang ha fatto causa per diffamazione ma in seguito ha ritirato il caso.
• Truffe pump-and-dump di influencer (2022): In un thread in 17 parti, ha documentato come figure del calibro di Lark Davis abbiano ricevuto assegnazioni di token, le abbiano pubblicizzate e abbiano venduto per profitti non dichiarati.
• Recupero di DeGods NFT (2023-2024): Ha tracciato un NFT da 99 ETH rubato, seguito il wallet dell'attaccante e aiutato a recuperare la maggior parte del valore per la vittima.

ZachXBT e il Lazarus Group

ZachXBT è diventato una figura centrale nel tracciamento dei fondi legati al Lazarus Group, l'unità nordcoreana responsabile di molti dei più grandi exploit nel settore delle criptovalute. Il suo coinvolgimento si è intensificato nel 2022 quando Lazarus ha preso di mira i bridge cross-chain, raggiungendo l'apice con l'attribuzione legata a Bybit nel 2025.

A metà del 2022 ha analizzato l'hack di Horizon Bridge da 100 milioni di dollari, mostrando come i fondi siano transitati attraverso Tornado Cash e dispersi in nuovi wallet. Le sue analisi visive hanno aiutato il pubblico a comprendere come attori legati a stati utilizzino gli strumenti DeFi per ripulire criptovalute ed eludere le sanzioni.

Tra il 2025 e il 2026, il suo lavoro si è esteso a minacce a livello statale. Oltre al caso Bybit, ha mappato come i gruppi della Repubblica Democratica Popolare di Corea abbiano rubato una stima di 2,02 miliardi di dollari solo nel 2025, secondo Chainalysis, pari a circa il 60% di tutti i furti di criptovalute di quell'anno, e ha smascherato i piani di identità fittizie per lavoratori IT che finanziano il regime.

Perché l'attribuzione è importante

Attribuire gli hack a Lazarus non è solo un esercizio tecnico; plasma la risposta nel mondo reale. Un'attribuzione rapida e credibile consente agli exchange di congelare i fondi, orienta le sanzioni governative e avvisa il mercato più ampio, motivo per cui la rapida segnalazione di ZachXBT su Bybit ha avuto un peso ben superiore a una semplice taglia.

La sua rapidità fa parte della storia. Il collega investigatore Nick Bax ha descritto ZachXBT mentre analizzava manualmente circa 500 transazioni in circa 12 ore, un ritmo di lavoro che gli consente di pubblicare attribuzioni credibili mentre i fondi rubati sono ancora in movimento e potenzialmente recuperabili.

A cosa sta lavorando ZachXBT nel 2026?

Nel 2026 l'attenzione di ZachXBT si è spostata da truffe isolate a problemi sistemici: cattiva condotta interna in aziende redditizie, riciclaggio su scala industriale e lacune nella gestione della custodia da parte di exchange e governi. La sua portata si estende ora all'infrastruttura formale del settore.

I filoni chiave che definiscono il suo lavoro recente includono:

• Responsabilità degli exchange: Ha fatto pressioni pubblicamente sulle piattaforme che accusa di ignorare i flussi illeciti, incluse critiche severe nei confronti di KuCoin e controversie sui fondi che, a suo dire, gli exchange avrebbero trattenuto.
• Partnership istituzionali: Nel febbraio 2025 è entrato a far parte di Paradigm come consulente per la risposta agli incidenti e nell'agosto 2025 è diventato partner di lancio per la Beacon Network in tempo reale di TRM Labs.
• Insider trading: La sua indagine su Axiom ha messo in luce come i dipendenti di aziende in rapida crescita possano sfruttare dati interni, un tema che, avverte, rappresenta ora il rischio più sottovalutato del settore.
• Ripercussioni sui mercati di previsione: Le sue indagini anticipate muovono sempre più le quote di Polymarket, con il solo teaser su Axiom che ha generato decine di milioni in volume speculativo.
• Resistenza delle giurisdizioni: A metà del 2026 ha dichiarato che avrebbe smesso di accettare casi di frode canadesi, citando deboli normative e definendo Toronto un importante hub per la cybercriminalità.
• Frode guidata dall'AI: Ha segnalato come deepfake e kit di phishing automatizzati stiano industrializzando le truffe, aumentando la posta in gioco sia per le vittime che per gli investigatori.

Patrimonio netto e finanziamenti di ZachXBT

ZachXBT non ha un patrimonio netto confermato e in precedenza ha smentito un'affermazione di 250 milioni di dollari basata su un wallet di un exchange erroneamente attribuito. Le sue entrate derivano da donazioni della community, crowdfunding legale superiore a 1 milione di dollari, taglie e occasionali incarichi retribuiti da parte delle principali vittime di furti.

Tra le ricompense documentate figurano una taglia Arkham di 150.000 dollari per aver smascherato Martin Shkreli come il creatore del token DJT, la taglia ARKM di circa 31.500 dollari per l'attribuzione su Bybit e 150.000 token OP dal RetroPGF di Optimism. Generalmente fornisce il proprio lavoro investigativo gratuitamente, riservando i compensi per i casi complessi di risposta agli incidenti.

Sfide e controversie di ZachXBT

Non è stato tutto un susseguirsi di vittorie e lodi. Essere l'investigatore più visibile delle criptovalute ha attirato cause legali, controlli da parte della community, provocazioni da parte di criminali e, più recentemente, interrogativi puntuali sulla sua indipendenza e sui suoi rapporti di finanziamento.

Ecco alcune delle sfide più importanti che ha dovuto affrontare:

• Causa per diffamazione: nel 2023, Jeff "Machi" Huang gli ha fatto causa per il report sui 22.000 ETH; il caso è stato archiviato in seguito a modifiche e a oltre 1 milione di dollari in donazioni legali.
• Esposizione dell'identità: gli atti giudiziari di quel caso lo hanno indicato come Zachary Wolk del Texas, e un thread virale di maggio 2026 ha sostenuto di aver confermato la sua identità attraverso ricerche open-source.
• Accuse di conflitto di interessi: lo stesso thread ha sostenuto che avrebbe interrotto la copertura critica su Hyperliquid dopo aver ricevuto 10.000 HYPE token, un'accusa che lui e i suoi sostenitori contestano in quanto non verificata.
• Controversia sui token: all'inizio del 2025 ha prelevato circa 3,9 milioni di dollari da una pool di memecoin in suo onore, attirando accuse di ipocrisia nonostante avesse affermato che i token non erano stati sollecitati.
• Asimmetria informativa: i critici hanno fatto notare che alcuni wallet hanno scommesso contro Axiom su Polymarket ore prima del suo report, sollevando dubbi su fughe di notizie durante la sua consueta comunicazione pre-pubblicazione.
• Minacce da parte di truffatori: nel 2024, un hacker responsabile di un furto da 243 milioni di dollari lo ha deriso con un messaggio onchain, dimostrando che i criminali che rintraccia a volte rispondono direttamente.

Considerazioni finali

L'ascesa di ZachXBT da anonima vittima di truffa a tracker di frodi più affidabile del settore è una rara forma di folklore crypto. Senza una formazione formale, ha contribuito a svelare casi dal valore di miliardi usando poco più della curiosità, dei dati della blockchain e di un inflessibile rifiuto di lasciare che i fondi rubati svaniscano nel silenzio.

Ciò che risalta per noi nel 2026 è come la sua storia sia maturata in qualcosa di più complesso. La stessa visibilità che gli permette di congelare i fondi dei Lazarus e di scatenare arresti ora punta i riflettori su di lui, costringendo a una scomoda ma salutare riflessione su chi sorveglia il sorvegliante.

Questa tensione è forse il segno più autentico del suo impatto. Finché le truffe si muoveranno onchain, ZachXBT sarà lì a seguire le tracce, e finché manterrà una vera influenza, il settore continuerà a chiedergli di soddisfare lo stesso standard di trasparenza che lui pretende da chiunque altro.