Der Blockchain-Ermittler ZachXBT gibt an, monatelang als Kunde in einem chinesischen organisierten Verbrechersyndikat tätig gewesen zu sein, das seinem Bericht zufolge mehr als eine Milliarde US-Dollar im Zusammenhang mit mehreren Exploits der Lazarus Group gewaschen hat – der von Nordkorea unterstützten Hackergruppe, die seit 2019 unter Sanktionen des US-Finanzministeriums steht.

Laut ZachXBT halfen die Informationen, die er undercover sammelte, dabei, Einfrierungen im Zusammenhang mit dem Exploit auf Bybit vom Februar 2025 in die Wege zu leiten und illegale Aktivitäten on-chain zuzuordnen. Die Infiltration beschrieb er detailliert in einem Thread auf X vom 5. Oktober 2026.

Der Vorfall bei Bybit, bei dem Angreifer im Februar 2025 rund 1,5 Milliarden US-Dollar von der Börse abzweigten, zählt zu den größten Krypto-Räubern der Geschichte; in dessen Gefolge wurden Verfolgungs- und Einfrierungsmaßnahmen über mehrere Blockchains und Emittenten hinweg durchgeführt.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

Die Operation begann kurz nach dem Exploit auf Bybit im Februar 2025. ZachXBT berichtete, dass er viele Personen in öffentlichen Telegram- und Discord-Gruppen bemerkt hatte, die bei Transaktionen im Zusammenhang mit den gestohlenen Geldern Hilfe suchten, woraufhin er verschiedene Konten zu Transaktionen rund um den Hack kontaktierte. Diese Kontaktaufnahme führte ihn zu einem Telegram-Nutzer mit dem Spitznamen „Jimmy Green“, mit dem er schließlich kommunizierte, während er sich als Kunde ausgab, der Waschdienstleistungen suchte.

ZachXBT setzte 349.700 USDC aufs Spiel, um ins Netzwerk zu gelangen

Um Zugang zum Netzwerk zu erhalten, finanzierte ZachXBT eine neue Adresse und begann am 6. März 2025 mit dem Betreiber zu handeln, wobei er 349.700 USDC in den Plan einbrachte. Er gab an, dass die Trades den Umtausch von USD in ETH sowie von USDT über Tron umfassten. Der Ermittler führte absichtlich mehrere Transaktionen mit einem Verlust von nahezu 5 % pro Trade durch, um als echter Kunde Glaubwürdigkeit aufzubauen, und beschrieb das Geld als Wetteinsatz, um die Operation voranzutreiben.

Dieser Ansatz ermöglichte ihm, von der mutmaßlichen Waschaktivität des Netzwerks in Hongkong und Festlandchina zu erfahren. ZachXBT berichtete, dass Jimmy später über beabsichtigte Transfers von Vermögenswerten im Zusammenhang mit dem Bybit-Exploit sprach, was zu identifizierbaren On-Chain-Transaktionen führte.

Cluster über 12 Mio. USD quer durch Bitcoin, Ethereum, Solana und Tron verfolgt

Der große Durchbruch kam, als Jimmy einen Screenshot einer angeblichen Cross-Chain-Transaktion verbreitete. ZachXBT sagte, der Screenshot passe hinsichtlich Betrag und Zeitpunkt zu einer Transaktion auf THORChain, einem Cross-Chain-Protokoll zum Tausch von Assets zwischen Blockchains, die innerhalb weniger Minuten nach der Nachricht erstellt worden war. Der Betreiber lieferte außerdem eine Reihe von Solana-Adressen. Über diese Adressen identifizierte ZachXBT eine starke Konzentration von mehr als 12 Millionen US-Dollar an Bybit-Geldern, die zwischen Bitcoin, Ethereum, Solana und Tron bewegt worden waren.

Später berichtete er, dass die 442.000 USDT, die mit dem Cluster in Verbindung standen, letztlich von Tether eingefroren wurden – dem Emittenten von USDT, dessen Verträge das Blockieren von Transfers an bestimmten Adressen ermöglichen. Er fügte hinzu, dass er auch einen neueren Waschansatz bei Uniswap-Liquiditätspools und illiquiden Token beobachtet habe – eine Verschiebung, die das Spektrum der Muster erweitert, nach denen Analysten beim Verfolgen gestohlener Gelder suchen.

Die Bybit-Gelder waren nicht die einzige Krypto-Spur

Die Untersuchung brachte auch weitere Verbindungen zu illegalem Krypto-Verkehr ans Licht. ZachXBT berichtete, dass Jimmy zuvor über 300.000 US-Dollar gesprochen hatte, die eingefroren worden waren; laut On-Chain-Analyse stand dieses Geld im Zusammenhang mit 332.000 USDC, die dem Bericht zufolge noch aus dem Poloniex-Exploit – dem Hack der Börse Poloniex im Jahr 202 – stammten. Ein zweites Gespräch betraf rund 3 Millionen US-Dollar an Betrugsgeldern, die einer Hot Wallet von Huione Guarantee zugeordnet wurden, einem Online-Marktplatz, der zuvor in Forschungen zu illegalen Finanzgeschäften aufgefallen war. Beide Summen fielen laut ZachXBT während seiner Gespräche mit dem Betreiber.

ZachXBT erklärte, seine Erkenntnisse seien mit „privaten Ermittlern und Mitarbeitern der Strafverfolgungsbehörden“ geteilt worden. Er sagt, seine Arbeit habe seit 2022 zu Einfrierungen von mehr als 75 Millionen US-Dollar beigetragen – eine Zahl, die widerspiegelt, wie private On-Chain-Forscher, Stablecoin-Emittenten und Strafverfolgungsbehörden zunehmend bei Einfrierungen zusammenwirken, sobald gestohlene Gelder an identifizierbaren Adressen auftauchen. Aufbauend auf den bei der jüngsten Operation aufgedeckten gestohlenen Kryptowerten stellte er fest, dass der Fall zeigt, wie illegale Gelder noch lange nach dem ursprünglichen Exploit über Zwischenhändler wandern können.