Nhà điều tra on-chain ZachXBT đã lần ra một nghi phạm trộm crypto sau khi người này khoe số dư 23 triệu USD, từ đó lộ các ví được cho là liên quan hơn 90 triệu USD tiền bị đánh cắp, gồm cả dòng tiền từng đi từ ví của chính phủ Mỹ.
Điểm đáng chú ý là chuỗi bằng chứng nằm hoàn toàn trên blockchain và bắt đầu từ một cuộc “khoe của” trong Telegram. Từ video ghi lại màn chia sẻ màn hình, ZachXBT lần theo các địa chỉ ví, giao dịch WETH/ETH và các luồng tiền đi qua sàn, qua đó dựng lại liên kết giữa nhiều nguồn tiền đáng ngờ.
- Một cuộc tranh cãi “band for band” trên Telegram đã làm lộ các ví mà John (Lick) được cho là kiểm soát, với tổng số tiền khoe lên tới 23 triệu USD.
- Các giao dịch on-chain cho thấy ví liên quan nhận dòng tiền từng xuất phát từ ví chính phủ Mỹ, gắn với tài sản bị thu giữ trong vụ Bitfinex hack.
- Ví 0xd8bc bị liên kết với nhiều nguồn tiền đáng ngờ trong Q4/2025 và có luồng 4.170 ETH đi từ MEXC qua một ví trung gian.
Màn khoe tiền trên Telegram đã tự “dox” các ví liên quan 23 triệu USD
Video ghi lại cuộc chat Telegram cho thấy John chia sẻ màn hình ví và tập hợp tổng cộng khoảng 23 triệu USD vào một địa chỉ, tạo điểm bám để truy vết on-chain.
Trong cuộc cãi vã với một đối tượng khác tên Dritan Kapplani Jr., John tham gia kiểu “band for band” (b4b), so ai nhiều crypto hơn. Dritan liên tục chế giễu, khiến John mở ví Exodus để khoe tài sản.
John hiển thị một địa chỉ ví Tron có 2,3 triệu USD: TMrWCLMS3ibDbKLcnNYhLggohRuLUSoHJg. Theo nội dung cuộc gọi, John được cho là kiểm soát ví này.
Ở phần sau của cuộc gọi, khi Dritan tiếp tục châm chọc, một ví khác nhận thêm 6,7 triệu USD bằng ETH: 0xd8bc7ea538c2e9f178a18cc148892ae914a55d08. Tới khi kết thúc màn khoe, tổng giá trị John gom về địa chỉ này được mô tả là khoảng 23 triệu USD, và video đã ghi lại toàn bộ.
Chuỗi giao dịch WETH nối ví của John với dòng tiền từng đến từ ví chính phủ Mỹ
ZachXBT lần theo luồng tiền cho thấy ví 0xd8bc nhận từ 0x8924, và 0x8924 lại nhận 1.066 WETH từ 0xc7a2—địa chỉ từng nhận 24,9 triệu USD từ một ví chính phủ Mỹ vào 03/2024.
Theo quá trình truy vết, địa chỉ 0xd8bc nhận crypto từ một ví khác được rút gọn là 0x8924. Trong bản ghi cuộc gọi, John nói trực tiếp rằng anh ta sở hữu ví 0x8924.
Ngày 20/11/2025, 0x8924 nhận 1.066 WETH từ ví thứ ba 0xc7a2, với transaction ID: 0x76c6e92c4cefda209263a214241f1b47b9cff0123e9d292d613aea3447466dd0.
Ví 0xc7a2 được mô tả trước đó từng nhận 24,9 triệu USD từ một ví của chính phủ Mỹ vào tháng 03/2024. Giao dịch này được gắn với khoản tiền chính phủ thu giữ liên quan vụ Bitfinex hack. Hiện còn 18,5 triệu USD trong địa chỉ: 0xc7A253fD3C61CF69d043e6184c107dF4E29475B5.
Ví 0xd8bc bị gắn với 63 triệu USD từ các ví “đáng ngờ” trong Q4/2025
Một thống kê on-chain do ZachXBT công bố cho rằng 0xd8bc có liên kết với tổng 63 triệu USD từ các nguồn ví bị đánh giá rủi ro trong Q4/2025, gồm nhiều giao dịch lớn từ các địa chỉ cụ thể.
Theo ZachXBT, dưới đây là một phần phân rã dòng tiền về 0xd8bc trong Q4/2025, được nêu trong bài đăng tại liên kết này:
- 13,5 triệu USD từ
0x77a722bf33787c3512d0f4fc36412140057f4223 - 15,4 triệu USD từ
0xf51b044f998277b17467cd713d72b403e16fad48 - 3 triệu USD từ
TACZPnbg2Fi2ppC3cGxQxZb95SqwAZVAw9 - 1 triệu USD từ
6tMdWb3w3UaVq4JRSm1qa2s8mVwj2MYFAveJEL6S93Ua
Dòng 4.170 ETH từ MEXC đi qua ví trung gian vào 0xd8bc
Một giao dịch trong ngày cho thấy 4.170 ETH (khoảng 12,4 triệu USD) được chuyển từ MEXC vào ví 0xd8bc và ETH đã đi qua ví trung gian 0xe0f7 trước khi đến đích.
Theo mô tả, khoản 4.170 ETH, trị giá khoảng 12,4 triệu USD, được chuyển từ MEXC vào 0xd8bc. Luồng ETH được ghi nhận đã đi qua địa chỉ trung gian: 0xe0f7a45a491d53f9361d35b4ef9908986d3b37b7.
Với các vụ điều tra on-chain, các điểm “chạm sàn” (exchange touchpoint) thường được xem là dữ kiện quan trọng để khoanh vùng thời điểm nạp/rút và mối liên hệ giữa các cụm ví. Tuy nhiên, bản thân việc có dòng tiền đi qua sàn không tự động kết luận danh tính nếu thiếu xác nhận từ dữ liệu pháp lý hoặc sàn.
Dấu vết danh tính: Telegram, TG ID và nghi vấn liên quan một người từng bị bắt
ZachXBT cho biết tài khoản Telegram của John có lịch sử khoe khoang giàu có, gắn với TG ID 8269661864, và còn có tin đồn John có thể trùng với một người từng bị bắt vào 09/2025 nhưng cần thêm xác minh.
Theo nội dung, John bị mô tả là không che giấu thói quen khoe tiền và thường công kích người khác “nghèo”. Username được liên hệ với TG ID 8269661864. Sau khi bài đăng của ZachXBT xuất hiện, John nhanh chóng xóa thông tin liên quan tên NFT và đổi tên hiển thị.
“Tin đồn lan truyền từ các kênh Telegram về cybercrime cho thấy John có thể là John Daghitia, người từng bị bắt vào tháng 09/2025. Dù vậy cần thêm nghiên cứu để xác nhận đầy đủ.”
– ZachXBT, nhà điều tra on-chain
Sau cùng, một địa chỉ được cho là thuộc nhóm ví liên quan trộm cắp đã gửi “dust” tới zachxbt.eth để đáp lại chuỗi bài. Transaction hash được nêu là: 0x25d3b02b17ccf5f0867bfbaa86c4cb918766d2b79e30cdcb7847298febfa2d15.
Những câu hỏi thường gặp
ZachXBT đã phát hiện John (Lick) bằng cách nào?
Manh mối đến từ video ghi lại cuộc “b4b” trên Telegram, nơi John chia sẻ màn hình ví và tự nói về các ví mình sở hữu. Từ đó, ZachXBT lần theo giao dịch on-chain giữa các địa chỉ và đối chiếu luồng tiền để xác định các liên kết đáng ngờ.
Địa chỉ ví nào được nhắc đến trong vụ việc?
Các địa chỉ nổi bật gồm ví Tron TMrWCLMS3ibDbKLcnNYhLggohRuLUSoHJg, ví Ethereum 0xd8bc7ea538c2e9f178a18cc148892ae914a55d08, cùng các ví liên quan như 0x8924, 0xc7a2 và ví trung gian 0xe0f7a45a491d53f9361d35b4ef9908986d3b37b7.
Vì sao vụ việc được nói là có liên quan ví chính phủ Mỹ?
Theo truy vết được nêu, ví 0xc7a2 từng nhận 24,9 triệu USD từ một ví chính phủ Mỹ vào 03/2024, và giao dịch này được gắn với tiền thu giữ liên quan Bitfinex hack. Sau đó, có luồng WETH từ 0xc7a2 tới 0x8924 rồi tới ví 0xd8bc.
“Dust” gửi tới zachxbt.eth nghĩa là gì?
“Dust” thường là một lượng token rất nhỏ được gửi tới một địa chỉ để khiêu khích, đánh dấu, hoặc tạo tín hiệu on-chain. Trong câu chuyện này, một giao dịch “dust” được nói là phản hồi trực tiếp với chuỗi bài điều tra, kèm transaction hash cụ thể.
