L'enquêteur blockchain ZachXBT affirme avoir passé plusieurs mois à se faire passer pour un client au sein d'un syndicat criminel organisé chinois qui aurait blanchi plus d'un milliard de dollars dans le cadre de multiples exploits liés au Lazarus Group, le collectif de pirates soutenu par la Corée du Nord visé par des sanctions du Trésor américain depuis 2019.

Selon ZachXBT, les renseignements qu'il a recueillis sous couverture ont contribué à déclencher des gels de fonds liés à l'exploit de février 2025 contre Bybit et ont aidé à attribuer des activités illicites on-chain. Il a détaillé cette infiltration dans un thread publié sur X le 5 octobre 2026.

L'incident de Bybit, durant lequel des attaquants ont drainé environ 1,5 milliard de dollars de la plateforme en février 2025, figure parmi les plus grands braquages de cryptomonnaies jamais enregistrés, et ses suites ont impliqué des efforts de traçage et de gel s'étendant sur plusieurs blockchains et émetteurs.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

L'opération a débuté peu après l'exploit contre Bybit en février 2025. ZachXBT a rapporté avoir remarqué que de nombreuses personnes demandaient de l'aide dans des groupes publics Telegram et Discord pour des transactions liées aux fonds dérobés, ce qui l'a incité à contacter divers comptes au sujet de transactions associées au piratage. Cette démarche l'a mené à un utilisateur de Telegram connu sous le pseudonyme « Jimmy Green », avec lequel il a fini par communiquer en se faisant passer pour un client cherchant des services de blanchiment.

ZachXBT a mis 349 700 $ en jeu pour intégrer le réseau

Pour intégrer le réseau, ZachBT a alimenté une nouvelle adresse et commencé à transiger avec l'opérateur le 6 mars 2025, engageant 349 700 USDC dans le dispositif. Il a indiqué que les transactions comprenaient des échanges de USD contre ETH et de USDT contre du Tron. L'enquêteur a volontairement effectué plusieurs transactions avec une perte d'environ 5 % à chaque opération afin d'établir sa crédibilité en tant que client authentique, décrivant cet argent comme un pari pour faire avancer l'opération.

Cette approche lui a permis d'en apprendre davantage sur les prétendues activités de « blanchiment » du réseau à Hong Kong et en Chine continentale. ZachXBT a rapporté que Jimmy avait ensuite parlé de transferts prévus d'actifs liés à l'exploit de Bybit, ce qui a conduit à des transactions on-chain identifiables.

Un cluster de 12 M $ tracé sur Bitcoin, Ethereum, Solana et Tron

La percée majeure est survenue lorsque Jimmy a diffusé une capture d'écran d'un prétendu transfert inter-chaînes. ZachXBT a déclaré que la capture d'écran correspondait à une transaction sur THORChain, un protocole inter-chaînes utilisé pour échanger des actifs entre blockchains, tant en montant qu'en chronologie — une transaction créée quelques minutes après le message. L'opérateur a également fourni plusieurs adresses Solana. À partir de ces adresses, ZachXBT a détecté une vaste concentration de plus de 12 millions de dollars de fonds Bybit qui avaient été déplacés entre Bitcoin, Ethereum, Solana et Tron.

Il a ensuite rapporté que les 442 000 USDT liés à ce cluster avaient finalement été gelés par Tether, l'émetteur de l'USDT dont les contrats permettent de bloquer les transferts à des adresses spécifiques. Il a ajouté avoir également observé une approche de blanchiment plus récente au sein des pools de liquidité d'Uniswap et des jetons illiquides, une évolution qui élargit l'éventail de schémas que les analystes passent au crible lors du suivi de fonds dérobés.

Les fonds de Bybit n'étaient pas la seule piste crypto

L'enquête a également mis au jour d'autres connexions de flux cryptos illicites. ZachXBT a rapporté que Jimmy avait précédemment évoqué 300 000 $ qui avaient été gelés ; selon l'analyse on-chain, cet argent était lié à 332 000 USDC signalés comme toujours dérobés lors de l'exploit de Poloniex, le piratage de 2023 de la plateforme Poloniex. Une seconde conversation portait sur environ 3 millions de dollars de fonds frauduleux identifiés comme appartenant à un hot wallet de Huione Guarantee, une place de marché en ligne précédemment signalée dans des recherches sur la finance illicite. Les deux sommes ont été mentionnées lors de ses échanges avec l'opérateur, selon ZachXBT.

ZachXBT a déclaré que ses conclusions avaient été partagées avec « des enquêteurs privés et des membres des forces de l'ordre de confiance ». Il indique que son travail a contribué à bloquer plus de 75 millions de dollars de fonds gelés depuis 2022, un chiffre qui illustre la convergence croissante des chercheurs on-chain privés, des émetteurs de stablecoins et des forces de l'ordre autour des gels dès que des fonds dérobés apparaissent à des adresses identifiables. S'appuyant sur les cryptomonnaies dérobées découvertes lors de cette récente opération, il a noté que cette affaire démontre comment des fonds illicites peuvent continuer à circuler par des intermédiaires longtemps après l'exploit initial.