L'investigatore blockchain Zachary Wolk, noto come ZachXBT e attualmente Incident Response Advisor presso la società di investimenti crypto Paradigm, ha rivelato come si sia spacciato per un cliente per infiltrarsi in un sindacato criminale organizzato cinese che ha riciclato oltre 1 miliardo di dollari legati a molteplici exploit blockchain.

In una divulgazione del 5 ottobre, ZachXBT ha dettagliato l'operazione sotto copertura che ha contribuito a smantellare una sofisticata rete di riciclaggio collegata al Lazarus Group, l'organizzazione di criminalità informatica che opera per conto del governo nordcoreano. I gruppi legati alla Corea del Nord sono stati ripetutamente associati ad alcuni dei più grandi furti nella storia delle criptovalute, ed è per questo che i movimenti dei loro proventi sono seguiti da vicino da exchange, emittenti e investigatori indipendenti.

Per guadagnarsi la fiducia del sindacato, l'investigatore ha rischiato 349.700 dollari del proprio capitale su 15 account sospetti identificati. In particolare, ha avviato transazioni di prova, pagato le consuete commissioni del 5% del gruppo e tracciato i flussi illeciti sulle principali blockchain. Le reti di riciclaggio svolgono questo ruolo perché l'attività sulle blockchain pubbliche è visibile in modo permanente, quindi i fondi rubati devono in genere passare per intermediari prima che gli aggressori possano spenderli senza un collegamento diretto on-chain con l'exploit originale.

Un membro del gruppo criminale, operante sotto lo pseudonimo di Jimmy Green, ha assicurato a ZachXBT che i fondi riciclati erano al sicuro dal congelamento. Secondo l'investigatore on-chain, l'organizzazione ha gestito gran parte dei 1,5 miliardi di dollari rubati nell'exploit di Bybit del febbraio 2025, oltre a 387 milioni di dollari legati all'incidente di Bitget di settembre 2026. La violazione di Bybit è ampiamente riportata come il più grande furto singolo nella storia delle criptovalute, il che rende la scia dei suoi proventi uno dei casi più seguiti del settore.

Man mano che la fiducia cresceva, Jimmy ha iniziato a condividere dettagli sull'operazione. Ha parlato di trasferire in anticipo i fondi di Bybit, ha menzionato attività a Hong Kong e nella Cina continentale e ha inviato di bridge che ZachXBT ha rapidamente abbinato su block explorer come THORChain (RUNE). Jimmy ha anche fornito indirizzi Solana (SOL) legati a un cluster che ha spostato oltre 12 milioni di dollari dei fondi rubati da Bybit tra Bitcoin (BTC), Ethereum (ETH) e Tron (TRX). Ogni passaggio tra catene e bridge aggiunge un ulteriore livello di separazione dall'exploit originale — esattamente lo schema che ZachXBT è stato in grado di abbinare sui block explorer pubblici.

Il tracciamento di ZachXBT ha successivamente aiutato Tether a congelare 442.000 dollari dai fondi rubati. Nel complesso, l'investigatore ha contribuito a congelare oltre 75 milioni di dollari legati ad attacchi nordcoreani dal 2022. Gli emittenti di stablecoin come Tether hanno la capacità tecnica di bloccare i token su indirizzi specifici, quindi individuare con precisione dove si trovano i fondi rubati on-chain può trasformare il lavoro di tracciamento direttamente in saldi congelati.

Ora sta chiedendo assistenza finanziaria per finanziare le sue indagini, che, secondo lui, potrebbero contrastare ulteriormente la criminalità on-chain. La richiesta segue un'operazione in cui ha personalmente messo a rischio 349.700 dollari, una cifra che illustra il costo dell'applicazione della legge on-chain indipendente.