El investigador on-chain seudónimo ZachXBT dice que se hizo pasar por un cliente de un sindicato chino de lavado de dinero que ha movido más de 1.000 millones de dólares en criptomonedas robadas para Lazarus Group, de Corea del Norte, aportando 349,7K USDC —unos 349.700 dólares— de su propio dinero y aceptando una pérdida del 5% en cada orden para mantener viva la operación.

En un hilo publicado en X el 5 de octubre de 2026, ZachXBT dijo que el trabajo encubierto recopiló información que ayudó a ejecutar congelamientos vinculados al exploit de Bybit de febrero de 2025 y respaldó la atribución on-chain de actividad ilícita. La operación, dijo, expuso un grupo de más de 12 millones de dólares en fondos robados de Bybit, y Tether posteriormente congeló 442.000 USDT vinculados a él. Agregó que desde 2022 ha ayudado a ejecutar más de 75 millones de dólares en congelamientos relacionados con incidentes norcoreanos.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) 5 de octubre de 2026

Un objetivo de 1.500 millones de dólares

El exploit en el centro del caso golpeó al exchange de criptomonedas Bybit en febrero de 2025 y causó pérdidas de 1.500 millones de dólares, el mayor robo de criptomonedas registrado. El FBI atribuyó el incidente a TraderTraitor, el nombre que usa para los hackers norcoreanos. Según ZachXBT, los lavadores a los que se acercó eran una banda china que trabajaba para Corea del Norte. Investigadores de las Naciones Unidas han vinculado durante años a las unidades de hackers norcoreanas con miles de millones de dólares en criptomonedas robadas que ayudan a financiar los programas de armas del régimen.

ZachXBT es probablemente el investigador on-chain más conocido y prolífico del ecosistema cripto. El veinteañero mayormente seudónimo ha pasado años rastreando fondos robados y señalando a las personas detrás de hackeos y estafas, publicando hilos basados en datos públicos de blockchain que cualquiera puede verificar. Continuó investigando incluso después de que un ex objetivo lo demandara y revelara su identidad en 2023.

"Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain", escribió.

Detectar un patrón

El punto de llegó poco después del hackeo. "In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor,' I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord", escribió en X.

Volvió a ver el mismo patrón la semana pasada tras el hackeo de 387 millones de dólares a Bitget, que el CEO de Bitget y las firmas de rastreo blockchain Ellipic y Chainalysis han vinculado a Corea del Norte.

Su historial con Corea del Norte lo colocaba en una buena posición para actuar. El día del hackeo a Bybit, lo conectó con Lazarus Group usando datos on-chain, y el FBI respaldó esa atribución días después. También demostró que las billeteras usadas para lavar los fondos de Bybit estaban vinculadas a ataques anteriores de Lazarus, incluidos los hackeos a Phemex y BingX. En 2024, su rastreo del robo de aproximadamente 4.100 BTC de un acreedor de Genesis ayudó a llevar a arrestos. Paradigm lo contrató como asesor de respuesta a incidentes en febrero de 2025, y el cofundador de la firma, Matt Huang, dijo que había devuelto más de 350 millones de dólares a víctimas de hackeos y estafas.

ZachXBT dice que las subvenciones de fundaciones y las donaciones de individuos financian su trabajo y le permiten asumir casos más riesgosos como este. La mayoría del rastreo on-chain es pasivo: leer ledgers públicos en lugar de tocar el dinero. Al hacerse pasar por un cliente, pasó de observador a participante, capturando detalles como el aviso previo de movimientos de fondos que los datos públicos por sí solos no podían revelar.

"Jimmy Green"

A principios de 2025, ZachXBT comenzó a enviar mensajes a las cuentas que habían pedido ayuda con órdenes vinculadas a Bybit. Una de ellas usaba el nombre de "Jimmy Green" en Telegram.

"On Mar 6, 2025, I funded a new address with 349.7K USDC on Ethereum in preparation to conduct several transactions with Jimmy Green", dijo. Jimmy le proporcionó una dirección para recibir el USDC a cambio de USDT en Tron. Esa dirección, escribió ZachXBT, había sido financiada con gas por una billetera que "is directly traceable to Bybit exploit funds and is labeled on the public Bybit exploit blacklist site".

"I completed several additional transactions with him in order to build up trust", dijo. "After that, Jimmy began to talk about moving Bybit funds for DPRK in advance of it happening, along with basic details about their operation in [Hong Kong] and mainland China".

Para ZachXBT, la prueba del conocimiento previo de Jimmy fue simple: "one day prior he stated funds would be moved to Solana and the next day they were".

Mantenerse en la caza tenía un costo. "At this point, I realized I needed to continue losing 5% per order and gamble on capturing as much actionable intel as quickly as possible", escribió. "For this case, I fronted $349.7K and lost 5% on each order, with no guarantee Jimmy wouldn't disappear with the funds, and an unknown amount of personal risk from dealing with the syndicate", dijo.

Jimmy estaba ansioso por más negocios. El 10 de marzo, insistió repetidamente en el personaje falso hasta que ZachXBT, manteniendo su papel, dijo que la insistencia lo hacía "lose trust in your business". Jimmy respondió que "the team has prepared $1 million and is ready to start work at any time!"

En otro chat, Jimmy describió la estructura del equipo: "We have different divisions of labor. We take the u and distribute it to different acceptors". La "u", señaló ZachXBT, es aparentemente una abreviatura de USDT, la moneda estable emitida por Tether.

El resultado on-chain

Las conversaciones se tradujeron en evidencia verificable. ZachXBT escribió que el 12 de marzo de 2025 cruzó una captura de pantalla que Jimmy envió de sí mismo haciendo bridge de fondos con una orden creada minutos del mensaje, usando montos y tiempos visibles en el explorador de Thorchain, un registro público de los swaps en el protocolo descentralizado que mueve monedas directamente entre blockchains.

Jimmy luego compartió tres direcciones de Solana. Expusieron un grupo de más de 12 millones de dólares en botín de Bybit siendo intercambiado en tiempo real, saltando de Bitcoin a Ether, luego a Solana y finalmente a Tron. Tether posteriormente congeló 442.000 USDT vinculados al grupo. El congelamiento ilustra uno de los pocos mecanismos duros en cripto: una vez que el valor robado se convierte en tokens como USDT, el emisor puede bloquear activos en una dirección señalada.

Jimmy también ofreció detalles que ZachXBT podía verificar de forma independiente. Dijo que un equipo que conocía tenía alrededor de 300K dólares congelados en 2024; ZachXBT encontró el congelamiento on-chain. La cifra real era de 332.000 USDC, robados en el exploit de Poloniex, el hackeo de noviembre de 2023 que drenó más de 100 millones de dólares del exchange y que investigadores han vinculado a Lazarus Group, de Corea del Norte.

La conexión con Camboya

Jimmy también dijo que había lavado 3 millones de dólares en productos de fraude para otro cliente. ZachXBT rastreó esos fondos hasta una hot wallet usada por Huione Guarantee, un marketplace de Telegram donde criminales vendían servicios de lavado y datos robados.

Huione Guarantee es parte de Huione Group, el conglomerado camboyano que el FinCEN del Tesoro de EE.UU. tomó como objetivo por el presunto lavado de al menos 4.000 millones de dólares. Telegram prohibió el marketplace en mayo de 2025, y las autoridades chinas arrestaron al expresidente de Huione Group, Li Xiong, después de que Camboya lo deportara.

No todo fueron conversaciones sobre crimen. "Throughout our conversations, Jimmy and I had a lot of small talk in between discussing laundering for DPRK", dijo ZachXBT. "He talked about playing mahjong, hunting wild rabbits, food, his fat reducing meal, family life, and vacations at Disney".

Resultados documentados

La operación encubierta no fue un caso aislado. "Since 2022, I have helped action $75M+ in freezes related to DPRK incidents", escribió ZachXBT.

Dijo que sus hallazgos se enviaron de inmediato a investigadores confiables del sector privado y a las autoridades encargadas del caso, y que la sensibilidad en torno a la investigación le impidió publicar antes. El hilo no nombra a ninguno de los individuos detrás del sindicato ni describe arrestos derivados de la operación, dejando cualquier congelamiento adicional o acción de cumplimiento construida sobre la inteligencia que entregó como el próximo desarrollo a seguir.