L'investigatore blockchain ZachXBT dichiara di aver passato mesi facendosi passare per un cliente all'interno di una consorteria criminale organizzata cinese che, secondo le sue accuse, ha riciclato più di 1 miliardo di dollari attraverso molteplici exploit collegati alla Lazarus Group, il collettivo hacker sostenuto dalla Corea del Nord sottoposto a sanzioni del Dipartimento del Tesoro USA dal 2019.

Secondo ZachXBT, le informazioni raccolte sotto copertura hanno contribuito a rendere operativi i congelamenti collegati all'exploit di febbraio 2025 ai danni di Bybit e hanno aiutato ad attribuire attività illecite on-chain. Ha dettagliato l'infiltrazione in un thread pubblicato su X il 5 ottobre 2026.

L'incidente di Bybit, in cui gli attaccanti prosciugarono circa 1,5 miliardi di dollari dall'exchange nel febbraio 2025, figura tra i furti di criptovalute più grandi mai registrati, e le sue conseguenze hanno comportato operazioni di tracciamento e congelamento su molteplici blockchain ed emittenti.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

L'operazione è iniziata poco dopo l'exploit su Bybit di febbraio 2025. ZachXBT ha riferito di aver notato molte persone nei gruppi pubblici Telegram e Discord che chiedevano assistenza per transazioni collegate ai fondi rubati, il che lo ha spinto a contattare vari account in merito alle transazioni associate all'hack. Quell'attività lo ha portato a un utente Telegram noto con lo pseudonimo "Jimmy Green", con cui ha iniziato a comunicare fingendosi un cliente in cerca di servizi di riciclaggio.

ZachXBT ha messo a rischio 349.700 dollari per entrare nella rete

Per entrare nella rete, ZachXBT ha finanziato un nuovo indirizzo e ha iniziato a transare con l'operatore il 6 marzo 2025, impiegando 349.700 USDC nello schema. Ha dichiarato che le transazioni includevano scambi tra USD ed ETH e tra USDT e Tron. L'investigatore ha effettuato intenzionalmente diverse transazioni con una perdita di circa il 5% per operazione per costruire credibilità come cliente autentico, descrivendo il denaro come unacommessa per far avanzare l'operazione.

Questo approccio gli ha permesso di venire a conoscenza della presunta attività di "riciclaggio" della rete a Hong Kong e nella Cina continentale. ZachXBT ha riferito che Jimmy ha poi parlato di trasferimenti previsti di asset collegati all'exploit di Bybit, che hanno portato a transazioni on-chain identificabili.

Cluster da 12 milioni di dollari tracciato su Bitcoin, Ethereum, Solana e Tron

La svolta decisiva è arrivata quando Jimmy ha diffuso uno screenshot di un presunto trasferimento cross-chain. ZachXBT ha dichiarato che lo screenshot corrispondeva, sia per importo che per tempistica, a una transazione su THORChain, un protocollo cross-chain usato per scambiare asset tra blockchain, creata pochi minuti dopo il messaggio. L'operatore ha inoltre fornito una serie di indirizzi Solana. Da quegli indirizzi, ZachXBT ha rilevato una vasta concentrazione di oltre 12 milioni di dollari in fondi Bybit che erano stati spostati tra Bitcoin, Ethereum, Solana e Tron.

Ha poi riferito che i 442.000 USDT collegati al cluster, pari a 442.000 dollari, sono stati infine congelati da Tether, l'emittente di USDT i cui contratti le consentono di bloccare i trasferimenti su indirizzi specifici. Ha aggiunto di aver osservato anche un approccio di riciclaggio più recente tra i pool di liquidità di Uniswap e i token illiquidi, un cambiamento che amplia la gamma di pattern che gli analisti esaminano quando seguono fondi rubati.

I fondi Bybit non erano l'unica traccia cripto

L'indagine ha anche fatto emergere altri collegamenti a traffico illecito di criptovalute. ZachXBT ha riferito che Jimmy aveva in precedenza parlato di 300.000 dollari congelati; secondo l'analisi on-chain, quel denaro era collegato a 332.000 USDC, secondo le informazioni ancora rubati nell'exploit di Poloniex, l'hack del 2023 ai danni dell'exchange Poloniex. Una seconda conversazione riguardava circa 3 milioni di dollari in fondi fraudolenti identificati come appartenenti a un hot wallet di Huione Guarantee, un marketplace online già segnalato in ricerche sulla finanza illecita. Entrambe le somme sono state menzionate durante gli scambi con l'operatore, secondo ZachXBT.

ZachXBT ha dichiarato che i suoi risultati sono stati condivisi con "investigatori privati e membri delle forze dell'ordine." Afferma che il suo lavoro ha contributo a congelare oltre 75 milioni di dollari dal 2022, una cifra che riflette come ricercatori on-chain privati, emittenti di stablecoin e forze dell'ordine convergano sempre più sui congelamenti una volta che i fondi rubati emergono su indirizzi identificabili. Sulla base della cripto rubata scoperta nell'operazione recente, ha osservato che il caso dimostra come i fondi illeciti possano continuare a transitare per intermediari molto tempo dopo l'exploit originale.