Chi è ZachXBT?

ZachXBT è un investigatore blockchain pseudonimo noto su crypto X (ex Twitter) per aver smascherato truffe, rug pull e furti. Attraverso analisi onchain dettagliate e ricerche open source, pubblica thread che tracciano i fondi rubati, smascherano i malintenzionati e collegano le frodi in tutto l'ecosistema.

Operando in modo indipendente, le sue indagini hanno contribuito a recuperare centinaia di milioni in crypto rubate e hanno portato a conseguenze legali concrete, tra cui arresti e sequestri di beni. Wired lo ha descritto come il detective indipendente specializzato in crypto più prolifico al mondo, e CoinDesk lo ha inserito nella sua lista dei più influenti del 2024.

Rimane anonimo, rappresentato da un ornitorinco dei cartoni animati con l'impermeabile da detective che è diventato il suo segno distintivo. Questo anonimato funziona sia come misura di sicurezza personale sia come tratto distintivo del suo ruolo di investigatore autodidatta e non ufficiale del mondo crypto.

La storia delle origini di ZachXBT

Il percorso di ZachXBT nel mondo crypto è iniziato come quello di molti altri: ottimismo iniziale seguito da lezioni dolorose. Durante il boom delle ICO del 2017 era un utente comune che acquistava token molto pubblicizzati e progetti NFT, e ne vide diversi crollare in classici rug pull che avrebbero poi orientato il suo lavoro.

Un attacco hacker a un wallet intorno al 2018 gli è costato circa 15.000 $, un punto basso personale che ha spostato la sua attenzione. Invece di abbandonare il settore, ha iniziato a studiare a fondo i dati blockchain, imparando a tracciare i wallet, seguire i flussi di fondi e capire esattamente come vengono costruite ed eseguite le truffe crypto.

Per sua stessa ammissione, non ha alcuna formazione formale in indagini o attività di polizia e descrive le proprie competenze come interamente autodidatte, maturate in anni di analisi onchain. I suoi primi thread sulle reti di phishing e sulle frodi con gli NFT hanno costruito la reputazione che lo avrebbe reso la voce forense di riferimento del settore crypto.

Come indaga ZachXBT sulle truffe?

Per smascherare le frodi crypto, ZachXBT combina l'analisi forense della blockchain con l'intelligence open source, tracciando i fondi rubati, smascherando i responsabili e collegando le truffe nel tempo. Il suo metodo è diventato più raffinato man mano che i furti sono passati dagli exploit degli smart contract all'ingegneria sociale.

Ecco come si articola di solito il suo processo:

• Analisi della blockchain: traccia i flussi di token con strumenti come Etherscan, Arkham e Breadcrumbs, seguendo i trasferimenti tra wallet, exchange e mixer per mappare come si muovono i fondi.
• Monitoraggio degli smart contract: Analizza i deployment di contratti truffa alla ricerca di bytecode riutilizzato, wallet di deployer riciclati e origini sospette dei fondi che tradiscono i recidivi.
• Clustering dei wallet: collega gli indirizzi tramite finanziamenti di gas condivisi, tempistiche sincronizzate delle transazioni e endpoint comuni, come i conti di deposito degli exchange centralizzati.
• Intelligence sui social media: mette in correlazione l'attività onchain con nomi utente, messaggi e orari su X, Telegram e Discord per individuare gli attori ricorrenti.
• Registrazioni trapelate: Si affida sempre più a registrazioni dello schermo di chat di gruppo private, in cui i sospettati rivelano inavvertitamente wallet, nomi o saldi mentre si vantano.
• Collegamento all'identità: incrocia registrazioni di domini, atti giudiziari e registri pubblici per collegare l'attività sulla blockchain a nomi reali, email o altri identificativi.
• Presentazione dei casi: riunisce i risultati in thread annotati su X con tracce dei token e ricevute, spesso condividendo le prove con le forze dell'ordine prima della pubblicazione.

Principali indagini e truffe svelate da ZachXBT

I risultati di ZachXBT dal 2021 comprendono miliardi di flussi illeciti e un aiuto diretto nel recupero di fondi rubati. Matt Huang, cofondatore di Paradigm, ha dichiarato che ZachXBT ha contribuito a recuperare oltre 350 milioni di dollari per le vittime di hack e truffe, tra rug di NFT, reti di phishing, exploit DeFi e furti legati a stati.

1. Attacco hacker a Bybit (febbraio 2025)

Il 21 febbraio 2025 Bybit ha perso circa 1,5 miliardi di dollari in asset Ethereum, il più grande furto singolo nella storia delle crypto fino a quel momento. In poche ore ZachXBT ha inviato a Arkham le prove che identificavano il Lazarus Group nordcoreano come responsabile, poi confermate dall'FBI.

• Importo della truffa: circa 1,5 miliardi di dollari, sottratti da un wallet multisig cold di Ethereum durante un trasferimento di routine.
• Fatti principali: Ha collegato l'attacco al precedente attacco hacker a Phemex tramite fondi mescolati e schemi di riciclaggio coincidenti.
• Risultato: ha ottenuto una ricompensa di 50.000 ARKM (circa 31.500 $); sequestri successivi in Grecia e in Germania hanno permesso di recuperare parte dei fondi.

2. Furto ai creditori di Genesis (2024-2025)

Ad agosto 2024 ZachXBT ha tracciato 4.064 BTC (~243 milioni di dollari) rubati a un singolo creditore di Genesis tramite Gemini. Gli attaccanti si sono finti il supporto di Google e Gemini, hanno reimpostato la 2FA della vittima ed estratto le chiavi private tramite software di accesso remoto.

• Importo della truffa: circa 243 milioni di dollari in Bitcoin, in parte inattivi dal 2012.
• Fatti principali: una registrazione trapelata su Discord ha rivelato il vero nome di un sospettato; i fondi sono stati suddivisi su oltre 15 exchange e su più monete.
• Esito: i sospettati Malone Lam, Veer Chetal e Jeandiel Serrano sono stati perseguiti negli Stati Uniti; un altro sospettato è stato arrestato a Dubai, secondo quanto riportato, alla fine del 2025.

3. L'ondata di ingegneria sociale contro Coinbase (2024-2025)

ZachXBT ha segnalato più volte che gli utenti di Coinbase perdevano circa 300 milioni di dollari all'anno a causa di truffe basate sull'impersonificazione del supporto. Il problema risaliva a una violazione della sicurezza interna, alimentata da corruzione, che aveva esposto i dati di quasi 70.000 utenti.

• Importo delle truffe: circa 300 milioni di dollari all'anno tra gli utenti; Coinbase ha stimato 180–400 milioni di dollari di costi legati alla violazione della sicurezza.
• Fatti principali: ha identificato un attore canadese, "Haby", che avrebbe rubato oltre 2 milioni di dollari e ostentato i proventi sui social media.
• Esito: un addetto al supporto esternalizzato è stato arrestato in India a dicembre 2025; il DOJ ha aperto un'indagine sulla violazione della sicurezza.

4. Indagine USMS "Lick" (gen-mar 2026)

All'inizio del 2026, ZachXBT ha sostenuto che una figura nota come "Lick" avrebbe rubato più di 46 milioni di dollari da wallet gestiti dallo US Marshals Service. La pista è emersa da una disputa trapelata su Telegram in cui un partecipante ha condiviso lo schermo mostrando il controllo di indirizzi collegati al governo.

• Importo della truffa: oltre 46 milioni di dollari legati ad asset digitali sequestrati sotto custodia federale.
• Fatti principali: Ha identificato il sospettato in John Daghita, la cui società del padre deteneva un contratto di custodia con l'USMS assegnato nel 2024.
• Esito: l'FBI ha arrestato Daghita a Saint Martin nel marzo 2026; il caso ha destato allarme sulla custodia esternalizzata delle criptovalute sequestrate.

5. Altre indagini rilevanti

Oltre ai casi più noti, ZachXBT ha scoperto decine di schemi più piccoli ma dannosi che coinvolgono influencer, exchange e gruppi di ingegneria sociale attivi in cerchie note online come "The Com".

• Insider trading su Axiom (feb 2026): Ha indicato la piattaforma di trading Axiom, sostenendo che dei dipendenti avrebbero abusato degli strumenti di supporto interni per visualizzare dati privati dei wallet dopo aver generato ricavi per oltre 390 Mln $.
• Dritan Kapllani Jr. (maggio 2026): ha collegato un diciottenne 18 a circa 19 milioni di dollari di furti basati sull'ingegneria sociale, usando come prove registrazioni "flex" su Discord e atti giudiziari resi pubblici.
• Rete di lavoratori IT della RPDC (apr 2026): ha scoperto un'operazione nordcoreana che genera circa 1 milione di dollari al mese tramite identità false, documenti falsificati e conversioni da crypto a valuta fiat.
• Machi Big Brother (2022-2023): ha accusato Jeff Huang di aver prelevato 22.000 ETH da un wallet di tesoreria; Huang ha fatto causa per diffamazione ma in seguito ha ritirato il caso.
• Pump-and-dump degli influencer (2022): in un thread di 17 parti ha documentato come personaggi come Lark Davis abbiano ricevuto allocazioni di token, li abbiano pubblicizzati e li abbiano venduti per profitti non dichiarati.
• Recupero dell'NFT di DeGods (2023-2024): ha rintracciato un NFT rubato da 99 ETH, seguito il wallet dell'attaccante e contribuito a recuperare gran parte del valore per la vittima.

ZachXBT e il Lazarus Group

ZachXBT è diventato centrale nel tracciare i fondi legati a Lazarus Group, l'unità nordcoreana dietro molti dei più grandi exploit del settore crypto. Il suo coinvolgimento si è intensificato nel 2022, quando Lazarus ha preso di mira i bridge cross-chain, e ha raggiunto il picco con l'attribuzione dell'attacco a Bybit nel 2025.

A metà 2022 ha analizzato l'attacco hacker a Horizon Bridge da 100 milioni di dollari, mostrando come i fondi siano passati attraverso Tornado Cash e si siano dispersi su nuovi wallet. Le sue analisi visive hanno aiutato il pubblico a capire come attori legati a Stati usino gli strumenti DeFi per riciclare crypto ed eludere le sanzioni.

Tra il 2025 e il 2026 il suo lavoro si è esteso a minacce di livello statale. Oltre al caso Bybit, ha ricostruito come i gruppi della RPDC abbiano rubato circa 2,02 miliardi di dollari solo nel 2025, secondo Chainalysis, pari a circa il 60% di tutti i furti di crypto di quell'anno, e ha svelato gli schemi di falsi lavoratori IT che finanziano il regime.

Perché l'attribuzione è importante

Attribuire gli hack a Lazarus non è solo un esercizio tecnico: influenza la risposta nel mondo reale. Un'attribuzione rapida e credibile permette agli exchange di congelare i fondi, orienta le sanzioni dei governi e mette in guardia il mercato più ampio, ed è per questo che la rapida segnalazione di ZachXBT su Bybit ha avuto un peso ben superiore a quello di una taglia.

La sua rapidità fa parte della storia. Il collega investigatore Nick Bax ha descritto ZachXBT mentre analizza manualmente circa 500 transazioni in circa 12 ore, un ritmo che gli permette di pubblicare attribuzioni credibili mentre i fondi rubati sono ancora in movimento e potenzialmente recuperabili.

A cosa sta lavorando ZachXBT nel 2026?

Nel 2026 l'attenzione di ZachXBT si è spostata dalle truffe isolate verso problemi sistemici: condotte scorrette di insider in aziende redditizie, riciclaggio su scala industriale e lacune nel modo in cui exchange e governi gestiscono la custodia. La sua influenza si estende ormai all'infrastruttura formale del settore.

I principali filoni che definiscono il suo lavoro recente includono:

• Responsabilità degli exchange: Ha messo pubblicamente sotto pressione le piattaforme che accusa di ignorare i flussi illeciti, con critiche severe a KuCoin e dispute sui fondi che a suo dire gli exchange avrebbero trattenuto.
• Partnership istituzionali: A febbraio 2025 è entrato in Paradigm come consulente per la risposta agli incidenti e ad agosto 2025 è diventato partner di lancio della Beacon Network in tempo reale di TRM Labs.
• Insider trading: la sua indagine su Axiom ha messo in luce come i dipendenti di aziende in rapida crescita possano sfruttare dati interni, un tema che, avverte, è ora il rischio meno coperto e più grande del settore.
• Effetto sui mercati di previsione: le sue indagini anticipate muovono sempre più le quote di Polymarket, e il solo teaser su Axiom ha generato decine di milioni di volumi speculativi.
• Reazione sulla giurisdizione: a metà del 2026 ha dichiarato che avrebbe smesso di occuparsi di casi di frode canadesi, citando la debole applicazione della legge e definendo Toronto un importante centro del crimine informatico.
• Frodi basate sull'IA: Ha segnalato come i deepfake e i kit di phishing automatizzati stiano industrializzando le truffe, aumentando la posta in gioco sia per le vittime sia per gli investigatori.

Patrimonio netto e finanziamenti di ZachXBT

ZachXBT non ha un patrimonio netto confermato e in passato ha smentito una stima di 250 milioni di dollari basata su un wallet di un exchange attribuito erroneamente. Le sue entrate derivano da donazioni della community, crowdfunding legale superiore a 1 milione di dollari, bounty e occasionali incarichi retribuiti da parte di vittime di grandi furti.

Tra le ricompense documentate figurano una taglia Arkham da 150.000 $ per aver smascherato Martin Shkreli come creatore del token DJT, la taglia ARKM da circa 31.500 $ per l'attribuzione dell'attacco a Bybit e 150.000 token OP dal RetroPGF di Optimism. In genere svolge il lavoro investigativo gratuitamente, riservando le tariffe ai casi di risposta a incidenti di grande entità.

Sfide e controversie di ZachXBT

Non sono stati solo successi e elogi. Essere l'investigatore più visibile del mondo crypto gli ha attirato cause legali, controlli da parte della community, scherno da parte dei criminali e, più di recente, domande puntuali sulla sua indipendenza e sui suoi rapporti di finanziamento.

Ecco alcune delle sfide più rilevanti che ha affrontato:

• Causa per diffamazione: nel 2023 Jeff "Machi" Huang lo ha citato in giudizio per il report su 22.000 ETH; la causa è stata ritirata dopo alcune modifiche e oltre 1 milione di dollari in donazioni per spese legali.
• Esposizione dell'identità: i documenti giudiziari di quel caso lo indicavano come Zachary Wolk del Texas, e a maggio 2026 un thread virale ha affermato di confermarne l'identità tramite ricerche open source.
• Accuse di conflitto di interessi: lo stesso thread sosteneva che avesse smesso di pubblicare contenuti critici su Hyperliquid dopo aver ricevuto 10.000 token HYPE, un'accusa che lui e i suoi sostenitori contestano come non verificata.
• Controversia sul token: all'inizio del 2025 ha prelevato circa 3,9 milioni di dollari da un pool di una memecoin tributo, attirando accuse di ipocrisia nonostante avesse dichiarato che i token non erano stati richiesti.
• Asimmetria informativa: i critici hanno notato che alcuni wallet hanno scommesso contro Axiom su Polymarket poche ore prima del suo report, sollevando dubbi su fughe di notizie durante il consueto contatto pre-pubblicazione.
• Minacce dai truffatori: nel 2024 un hacker autore di un furto da 243 milioni di dollari lo ha deriso con un messaggio onchain, a dimostrazione del fatto che i criminali che traccia a volte rispondono direttamente.

Considerazioni finali

L'ascesa di ZachXBT da anonima vittima di una truffa a tracciatore di frodi più affidabile del settore è un raro esempio di folklore crypto. Senza alcuna formazione formale, ha contribuito a risolvere casi per miliardi usando poco più che curiosità, dati blockchain e un rifiuto ostinato di lasciare che i fondi rubati scompaiano in silenzio.

Ciò che ci colpisce nel 2026 è come la sua storia sia maturata in qualcosa di più complicato. La stessa visibilità che gli permette di congelare i fondi di Lazarus e di far scattare arresti ora rivolge i riflettori su di lui, imponendo una domanda scomoda ma salutare: chi controlla il controllore?

Questa tensione potrebbe essere il segno più autentico del suo impatto. Finché le truffe si sposteranno on-chain, ZachXBT sarà lì a seguirne le tracce, e finché avrà una reale influenza, il settore continuerà a chiedergli di rispettare lo stesso standard di trasparenza che lui pretende da tutti gli altri.