Der Blockchain-Ermittler Zachary Wolk, weithin bekannt als ZachXBT und derzeit als Incident Response Advisor bei der Krypto-Investmentfirma Paradigm tätig, hat offengelegt, wie er sich als Kunde ausgab, um in ein chinesisches Organisiertkriminalität-Syndikat einzudringen, das mehr als 1 Milliarde US-Dollar im Zusammenhang mit mehreren Blockchain-Exploits gewaschen hat.

In einer Offenlegung vom 5. Oktober beschrieb ZachXBT die Undercoveroperation, die zur Störung eines hochentwickelten Waschnetzwerks beitrug, das mit der Lazarus Group verbunden ist, der Cyberkriminalitätsorganisation, die im Auftrag der nordkoreanischen Regierung agiert. Gruppen mit Verbindungen zu Nordkorea wurden wiederholt mit einigen der größten Diebstähle in der Kryptobranche in Verbindung gebracht, weshalb die Bewegung ihrer Erlöse von Börsen, Emittenten und unabhängigen Ermittlern gleichermaßen genau beobachtet wird.

Um das Vertrauen des Syndikats zu gewinnen, setzte der Ermittler 349.700 US-Dollar seines eigenen Kapitals auf 15 identifizierte verdächtige Konten ein. Konkret initiierte er Testtransaktionen, zahlte die üblichen 5 % Gebühren der Gruppe und verfolgte illegale Geldflüsse über große Blockchains. Waschnetzwerke erfüllen diese Funktion, weil Aktivitäten auf öffentlichen Blockchains dauerhaft sichtbar sind, sodass gestohlene Gelder in der Regel über Zwischenstationen geleitet werden müssen, bevor Angreifer sie ausgeben können, ohne dass eine direkte On-Chain-Verbindung zum ursprünglichen Exploit besteht.

Ein Mitglied der kriminellen Gruppe, das unter dem Pseudonym Jimmy Green agierte, versicherte ZachXBT, dass die gewaschenen Gelder vor dem Einfrieren sicher seien. Laut dem On-Chain-Ermittler wickelte die Organisation den Großteil der 1,5 Milliarden US-Dollar aus dem Bybit-Exploit von Februar 2025 sowie 387 Millionen US-Dollar im Zusammenhang mit dem Bitget-Vorfall von September 2026 ab. Der Bybit-Angriff gilt weithin als der größte einzel Diebstahl in der Geschichte der Kryptowährungen, was die Spur seiner Erlöse zu einem der am genauesten verfolgten Fälle der Branche macht.

Mit wachsendem Vertrauen begann Jimmy, Details über die Operation preiszugeben. Er sprach darüber, Bybit-Gelder vorab zu bewegen, erwähnte Aktivitäten in Hongkong und Festlandchina und sandte Screenshots von Bridges, die ZachXBT schnell mit Block-Explorern wie THORChain (RUNE) abgleichen konnte. Jimmy lieferte zudem Solana-Adressen (SOL), die mit einem Cluster verbunden waren, der mehr als 12 Millionen US-Dollar der gestohlenen Bybit-Gelder über Bitcoin (BTC), Ethereum (ETH) und Tron (TRX) bewegte. Jeder Sprung zwischen Chains und Bridges fügt eine weitere Trennungsebene vom ursprünglichen Exploit hinzu – genau das Muster, das ZachXBT über öffentliche Block-Explorer zuordnen konnte.

ZachXBTs Verfolgung half anschließend Tether, 442.000 US-Dollar der gestohlenen Gelder einzufrieren. Insgesamt hat der Ermittler zum Einfrieren von mehr als 75 Millionen US-Dollar im Zusammenhang mit nordkoreanischen Hacks seit 2022 beigetragen. Stablecoin-Emittenten wie Tether haben die technische Möglichkeit, Token an bestimmten Adressen zu sperren, sodass die genaue Lokalisierung gestohlener Gelder auf der Blockchain Verfolgungsarbeit direkt in eingefrorene Guthaben umwandeln kann.

Nun fordert er finanzielle Unterstützung für seine Ermittlungen, die, so sagt er, die Bekämpfung von On-Chain-Kriminalität weiter vorantreiben könnten. Die Forderung folgt auf eine Operation, bei der er persönlich 349.700 US-Dollar riskierte – eine Zahl, die die Kostenseite unabhängiger On-Chain-Erzwingung veranschaulicht.