Der pseudonyme On-Chain-Ermittler ZachXBT gibt an, sich als Kunde eines chinesischen Geldwäsche-Syndikats ausgegeben zu haben, das mehr als 1 Milliarde US-Dollar in gestohlener Kryptowährung für Nordkoreas Lazarus Group bewegt hat. Dafür setzte er 349,7K USDC – rund 349.700 US-Dollar – seines eigenen Geldes ein und akzeptierte bei jeder Bestellung einen Verlust von 5%, um die Operation am Laufen zu halten.

In einem am 5. Oktober 2026 auf X veröffentlichten Thread sagte ZachXBT, die verdeckte Arbeit habe Erkenntnisse geliefert, die Beschlagnahmungen im Zusammenhang mit dem Bybit-Exploit vom Februar 2025 ermöglichten und die On-Chain-Zuschreibung illegaler Aktivitäten unterstützten. Die Operation habe einen Cluster von mehr als 12 Millionen US-Dollar an aus Bybit gestohlenen Geldern aufgedeckt, und Tether sperrte später 442.000 USDT daraus. Er fügte hinzu, dass er seit 2022 an Beschlagnahmungen von mehr als 75 Millionen US-Dollar im Zusammenhang mit nordkoreanischen Vorfällen mitgewirkt habe.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) 5. Oktober 2026

Ein Ziel von 1,5 Milliarden US-Dollar

Der Exploit im Zentrum des Falls traf die Krypto-Börse Bybit im Februar 2025 und verursachte Verluste von 1,5 Milliarden US-Dollar – der größte Krypto-Diebstahl der Geschichte. Das FBI schrieb den Vorfall TraderTraitor zu, die Bezeichnung für nordkoreanische Hacker. Laut ZachXBT handelte es sich bei den Wäschern, an die er herantrat, um eine chinesische Bande, die für Nordkorea arbeitete. Ermittler der Vereinten Nationen haben nordkoreanische Hacking-Eheiten seit Jahren mit Milliardenbeträgen an gestohlener Kryptowährung in Verbindung gebracht, die das Waffenprogramm des Regimes mitfinanziert.

ZachXBT ist vermutlich der bekannteste und produktivste On-Chain-Ermittler im Krypto-Bereich. Der weitgehend pseudonyme Zwanzigjährigen-spürt seit Jahren gestohlene Gelder auf und nennt die Verantwortlichen hinter Hacks und Scams, wobei er Threads auf Basis öffentlicher Blockchain-Daten veröffentlicht, die jeder überprüfen kann. Er setzte seine Ermittlungen fort, selbst nachdem ein ehemaliges Ziel ihn 2023 verklagt und gedoxxed hatte.

"Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain", schrieb er.

Ein Muster erkennen

Der Einstieg kam kurz nach dem Hack. "In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor,' I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord", schrieb er auf X.

Dasselbe Muster sah er letzte Woche erneut nach dem Bitget-Hack von 387 Millionen US-Dollar, den Bitgets CEO sowie die Blockchain-Analysefirmen Ellipic und Chainalysis mit Nordkorea in Verbindung bringen.

Seine Erfolgsbilanz bei Nordkorea machte ihn gut gerüstet. Am Tag des Bybit-Hacks verknüpfte er ihn anhand von On-Chain-Daten mit der Lazarus Group, und das FBI bestätigte diese Zuschreibung Tage später. Er zeigte außerdem, dass Wallets, die zum Waschen der Bybit-Gelder genutzt wurden, mit früheren Lazarus-Angriffen in Verbindung standen, darunter die Hacks auf Phemex und BingX. Im Jahr 2024 trug seine Aufspürung des Diebstahls von rund 4.100 BTC von einem Genesis-Gläubiger zu Verhaftungen bei. Paradigm stellte ihn im Februar 2025 als Berater für Incident Response ein; Co-Founder Matt Huang sagte, er habe Opern von Hacks und Scams mehr als 350 Millionen US-Dollar zurückgegeben.

ZachXBT sagt, Stiftungen und private Spenden finanzieren seine Arbeit und ermöglichen ihm riskantere Fälle wie diesen. Die meisten On-Chain-Spürarbeiten sind passiv – das Lesen öffentlicher Ledgers, ohne das Geld zu berühren. Als falscher Kunde wechselte er vom Beobachter zum Teilnehmer und erhielt Details wie Vorabinformationen über Geldbewegungen, die öffentliche Daten allein nicht liefern konnten.

"Jimmy Green"

Im Jahr 2025 begann ZachXBT, den Konten zu schreiben, die nach Hilfe bei Bestellungen im Zusammenhang mit Bybit gefragt hatten. Eines davon nannte sich auf Telegram "Jimmy Green".

"On Mar 6, 2025, I funded a new address with 349.7K USDC on Ethereum in preparation to conduct several transactions with Jimmy Green", sagte er. Jimmy lieferte eine Adresse für den USDC-Empfang im Austausch gegen USDT auf Tron. Diese Adresse, so ZachXBT, sei mit Gas von einer Wallet finanziert worden, die "is directly traceable to Bybit exploit funds and is labeled on the public Bybit exploit blacklist site."

"I completed several additional transactions with him in order to build up trust", sagte er. "After that, Jimmy began to talk about moving Bybit funds for DPRK in advance of it happening, along with details about their operation in [Hong Kong] and mainland China."

Für ZachXBT war der Beweis für Jimmys Vorwissen einfach: "one day prior he stated funds would be moved to Solana and the next day they were."

Am Ball zu bleiben hatte seinen Preis. "At this point, I realized I needed to continue losing 5% per order and gamble on capturing as much actionable intel as quickly as possible", schrieb er. "For this case, I fronted $349.7K and lost 5% on each order, with no guarantee Jimmy wouldn't disappear with the funds, and an unknown amount of personal risk from dealing with the syndicate", sagte er.

Jimmy war begierig nach mehr Geschäften. Am 10. März kontaktierte er die falsche Identität wiederholt, bis ZachXBT in seiner Rolle sagte, das Nerven lasse ihn "lose trust in your business". Jimmy antwortete: "the team has prepared $1 million and is ready to start work at any time!"

In einem weiteren Chat beschrieb Jimmy den Aufbau des Teams: "We have different divisions of labor. We take the u and distribute it to different acceptors." Das "u", so ZachXBT, sei offenbar eine Abkürzung für USDT, den von Tether ausgegebenen Stablecoin.

Der Ertrag On-Chain

Die Gespräche führten zu überprüfbaren Beweisen. ZachXBT schrieb, er habe am 12. März 2025 einen Screenshot, den Jimmy von sich beim Bridgen von Geldern geschickt hatte, einer Bestellung zuordnen können, die Minuten nach der Nachricht erstellt worden war – anhand von Beträgen und Zeitpunkten im Thorchain-Explorer, einem öffentlichen Protokoll der Swaps auf dem dezentralen Protokoll, das Coins direkt über Blockchains hinweg bewegt.

Jimmy teilte anschließend drei Solana-Adressen. Sie deckten einen Cluster von mehr als 12 Millionen US-Dollar an Bybit-Beute auf, die in Echtzeit getauscht wurde – von Bitcoin zu Ether zu Solana und schließlich zu Tron. Tether sperrte später 442.000 USDT, die mit dem Cluster in Verbindung standen. Die Sperre veranschaulicht einen der wenigen harten Hebel im Krypto-Bereich: Sobald gestohlener Wert in Token wie USDT umgewandelt wird, kann der Herausgeber die Assets an einer markierten Adresse einfrieren.

Jimmy lieferte auch Details, die ZachXBT unabhängig überprüfen konnte. Er sagte, ein ihm bekanntes Team habe 2024 rund 300K eingefroren; ZachXBT fand die Sperre On-Chain. Der tatsächliche Betrag betrug 332.000 USDC, gestohlen beim Poloniex-Exploit – dem Hack vom November 2023, bei dem mehr als 100 Millionen US-Dollar von der Börse abgeflossen waren und den Forscher mit Nordkoreas Lazarus Group in Verbindung bringen.

Die Kambodscha-Verbindung

Jimmy sagte auch, er habe 3 Millionen US-Dollar an Betrugserlösen für einen anderen Kunden gewaschen. ZachXBT verfolgte diese Gelder zu einer Hot Wallet, die von Huione Guarantee genutzt wurde – einem Telegram-Marktplatz, auf dem Kriminelle Wäschedienste und gestohlene Daten verkauften.

Huione Guarantee ist Teil der Huione Group, des kambodschanischen Konglomerats, das die FinCEN des US-Finanzministeriums wegen der angeblichen Wäsche von mindestens 4 Milliarden US-Dollar ins Visier nahm. Telegram spte den Marktplatz im Mai 2025, und chinesische Behörden verhafteten den ehemaligen Huione-Group-Vorsitzenden Li Xiong, nachdem Kambodscha ihn abgeschoben hatte.

Nicht alle Gespräche drehten sich um Verbrechen. "Throughout our conversations, Jimmy and I had a lot of small talk in between discussing laundering for DPRK", sagte ZachXBT. "He talked about playing mahjong, hunting wild rabbits, food, his fat reducing meal, family life, and vacations at Disney."

Dokumentierte Ergebnisse

Die Sting-Operation war kein Einzelfall. "Since 2022, I have helped action $75M+ in freezes related to DPRK incidents", schrieb ZachXBT.

Er sagte, seine Erkenntnisse seien umgehend an vertrauenswürdige Privatsektor-Ermittler und die mit dem Fall betrauten Strafverfolgungsbehörden gegangen; die Sensibilität der Ermittlung habe ihn daran gehindert, früher zu veröffentlichen. Der Thread nennt keine der Personen hinter dem Syndikat und beschreibt keine Verhaftungen im Zusammenhang mit der Operation – weitere Beschlagnahmungen oder Strafverfolgungsmaßnahmen auf Basis der übergebenen Erkenntnisse bleiben die nächste Entwicklung, auf die zu achten ist.