El investigador de blockchain ZachXBT afirma que pasó meses haciéndose pasar por un cliente dentro de un sindicato criminal chino que, según alega, ha lavado más de $1,000 millones a través de múltiples exploits vinculados al grupo Lazarus, el colectivo de hackers respaldado por Corea del Norte que está bajo sanciones del Tesoro de EE. UU. desde 2019.

Según ZachXBT, la información que recopiló mientras estaba encubierto ayudó a activar congelamientos vinculados al exploit de febrero de 2025 contra Bybit y contribuyó a atribuir actividad ilícita en la cadena. Detalló la infiltración en un hilo publicado en X el 5 de octubre de 2026.

El incidente de Bybit, en el que los atacantes drenaron unos $1,500 millones del exchange en febrero de 2025, figura entre los mayores robos de criptomonedas registrados, y sus secuelas han involucrado esfuerzos de rastreo y congelamiento que abarcan múltiples blockchains y emisores.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

La operación comenzó poco después del exploit contra Bybit en febrero de 2025. ZachXBT reportó que notó a muchas personas en grupos públicos de Telegram y Discord pidiendo ayuda con transacciones vinculadas a los fondos robados, lo que lo llevó a contactar varias cuentas sobre transacciones asociadas al hackeo. Ese acercamiento lo llevó a un usuario de Telegram que usaba el apodo "Jimmy Green", con quien finalmente comenzó a comunicarse haciéndose pasar por un cliente que buscaba servicios de lavado.

ZachXBT Puso en Riesgo $349,700 para Entrar en la Red

Para entrar en la red, ZachXBT financió una nueva dirección y comenzó a transaccionar con el operador el 6 de marzo de 2025, comprometiendo 349,700 USDC al esquema. Indicó que las operaciones incluían intercambiar USD por ETH y USDT por Tron. El investigador llevó a cabo intencionalmente varias transacciones con una pérdida cercana al 5% en cada una para establecer credibilidad como un cliente genuino, describiendo el dinero como una apuesta para avanzar en la operación.

Ese enfoque le permitió conocer la presunta actividad de "lavado" de la red en Hong Kong y China continental. ZachXBT reportó que Jimmy luego habló de transferencias previstas de activos vinculados al exploit de Bybit, lo que llevó a transacciones identificables en la cadena.

Grupo de $12 Millones Rastreado entre Bitcoin, Ethereum, Solana y Tron

El gran avance llegó cuando Jimmy difundió una captura de pantalla de una supuesta transferencia cross-chain. ZachXBT dijo que la captura coincidía en monto y tiempo con una transacción en THORChain, un protocolo cross-chain utilizado para intercambiar activos entre blockchains, creada minutos después del mensaje. El operador también proporcionó varias direcciones de Solana. A partir de esas direcciones, ZachXBT detectó una concentración de más de $12 millones en fondos de Bybit que habían sido movidos entre Bitcoin, Ethereum, Solana y Tron.

Más tarde reportó que los $442,000 en USDT vinculados al grupo fueron finalmente congelados por Tether, el emisor de USDT cuyos contratos le permiten bloquear transferencias en direccionesicas. Añadió que también observó un enfoque de lavado más nuevo entre pools de liquidez de Uniswap y tokens ilíquidos, un cambio que amplía el rango de patrones que los analistas buscan al seguir fondos robados.

Los Fondos de Bybit No Fueron el Único Rastro Cripto

La investigación también reveló otras conexiones de tráfico cripto ilícito. ZachXBT reportó que Jimmy había hablado anteriormente de $300,000 que habían sido congelados; según el análisis en cadena, ese dinero estaba vinculado a 332,000 USDC supuestamente aún robados en el exploit de Poloniex, el hackeo de 2023 al exchange Poloniex. Una segunda conversación involucró aproximadamente $3 millones en fondos de fraude identificados como pertenecientes a una hot wallet de Huione Guarantee, un mercado en línea señalado previamente en investigaciones de finanzas ilícitas. Ambos montos fueron mencionados durante sus intercambios con el operador, según ZachXBT.

ZachXBT declaró que sus hallazgos fueron compartidos con " investigadores privados y miembros de las fuerzas del orden". Dice que su trabajo ha ayudado a asegurar más de $75 millones en congelamientos desde 2022, una cifra que refleja cómo los investigadores privados en cadena, los emisores de stablecoins y las fuerzas del orden convergen cada vez más en congelamientos una vez que los fondos robados aparecen en direcciones identificables. Basándose en la criptomoneda robada descubierta en la operación reciente, señaló que el caso demuestra cómo los fondos ilícitos pueden seguir atravesando intermediarios mucho después de que ocurre el exploit original.