L'investigatore on-chain pseudonimo ZachXBT afferma di essersi finto cliente di una syndicate di riciclaggio cinese che ha mosso oltre 1 miliardo di dollari in criptovalute rubate per conto del Lazarus Group nordcoreano, anticipando 349,7K USDC — circa 349.700 dollari — dei propri soldi e accettando una perdita del 5% su ogni ordine per mantenere viva l'operazione.

In un thread pubblicato su X il 5 ottobre 2026, ZachXBT ha dichiarato che il lavoro sottocopertura ha permesso di raccogliere informazioni utili ad attivare congelamenti legati all'exploit di Bybit di febbraio 2025 e a supportare l'attribuzione on-chain delle attività illecite. L'operazione, ha detto, ha esposto un cluster di oltre 12 milioni di dollari in fondi rubati a Bybit, e Tether ha successivamente congelato 442.000 USDT ad esso collegati. Ha aggiunto di aver contribuito ad attivare oltre 75 milioni di dollari in congelamenti legati ad incidenti nordcoreani dal 2022.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) October 5, 2026

Un bersaglio da 15 miliardi di dollari

L'exploit al centro del caso ha colpito l'exchange di criptovalute Bybit a febbraio 2025 causando perdite per 1,5 miliardi di dollari, il più grande furto di criptovalute mai registrato. L'FBI ha attribuito l'incidente a TraderTraitor, il nome con cui identifica gli hacker nordcoreani. Secondo ZachXBT, i riciclatori con cui è venuto in contatto erano una gang cinese che lavorava per la Corea del Nord. Gli investigatori delle Nazioni Unite collegano da anni le unità di hacker nordcoreane a miliardi di dollari in criptovalute rubate che contribuiscono a finanziare i programmi di armamento del regime.

ZachXBT è probabilmente l'investigatore on-chain più noto e prolifico del mondo crypto. Il ventenne, per lo più pseudonimo, ha trascorso anni a tracciare fondi rubati e a smascherare i responsabili di hack e truffe, pubblicando thread basati su dati blockchain pubblici che chiunque può verificare. Ha continuato a indagare anche dopo che un ex bersaglio lo ha querelato e doxxato nel 2023.

"Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain", ha scritto.

Individuare uno schema

Il punto d'ingresso è arrivato poco dopo l'hack. "In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor,' I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord", ha scritto su X.

Ha visto lo stesso schema anche la scorsa settimana dopo l'hack da 387 milioni di dollari ai danni di Bitget, che il CEO di Bitget e le società di tracciamento blockchain Ellipic e Chainalysis hanno collegato alla Corea del Nord.

Il suo track record sulla Corea del Nord lo rendeva ben posizionato per agire. Il giorno dell'hack di Bybit lo ha collegato al Lazarus Group usando dati on-chain, e l'FBI ha confermato quell'attribuzione pochi giorni dopo. Ha anche dimostrato che i wallet usati per riciclare i fondi di Bybit erano legati a precedenti attacchi di Lazarus, inclus gli hack di Phemex e BingX. Nel 2024, il suo tracciamento del furto di circa 4.100 BTC da un creditore di Genesis ha contribuito ad arresti. Paradigm lo ha assunto come consulente per la risposta agli incidenti a febbraio 2025, con il co-fondatore Matt Huang che ha dichiarato che aveva restituito oltre 350 milioni di dollari alle vittime di hack e truffe.

ZachXBT afferma che sovvenzioni di fondazioni e donazioni di privati finanziano il suo lavoro e gli permettono di affrontare casi più rischiosi come questo. La maggior parte del tracciamento on-chain è passiva — leggere registri pubblici senza toccare il denaro. Pòstandosi finte cliente, è passato da osservatore a partecipante, catturando dettagli come l'anticipo sui movimenti di fondi che i soli dati pubblici non potevano rivelare.

"Jimmy Green"

Nel 2025, ZachXBT ha iniziato a scambiare messaggi con gli account che chiedevano aiuto per ordini legati a Bybit. Uno di questi si faceva chiamare "Jimmy Green" su Telegram.

"On Mar 6, 2025, I funded a new address with 349.7K USDC on Ethereum in preparation to conduct several transactions with Jimmy Green", ha detto. Jimmy ha fornito un indirizzo per ricevere gli USDC in cambio di USDT su Tron. Quell'indirizzo, ha scritto ZachXBT, era stato alimentato con gas da un wallet che "is directly traceable to Bybit exploit funds and is labeled on the public Bybit exploit blacklist site."

"I completed several additional transactions with him in order to build up trust", ha detto. "After that, Jimmy began to talk about moving Bybit funds for DPRK in advance of it happening, along with basic details about their operation in [Hong Kong] and mainland China."

Per ZachXBT, la prova della previsione di Jimmy era semplice: "one day prior he stated funds would be moved to Solana and the next day they were."

Restare nella partita aveva un costo. "At this point, I realized I needed to continue losing 5% per order and gamble on capturing as much actionable intel as quickly as possible", ha scritto. "For this case, I fronted $349.7K and lost 5% on each order, with no guarantee Jimmy wouldn't disappear with the funds, and an unknown amount of personal risk from dealing with the syndicate", ha detto.

Jimmy era desideroso di fare più affari. Il 10 marzo ha continuato a sollecitare la finta persona fino a quando ZachXBT, restando in carattere, ha detto che le insistenze gli facevano "lose trust in your business". Jimmy ha risposto che "the team has prepared $1 million and is ready to start work at any time!"

In un'altra chat, Jimmy ha descritto l'organizzazione del team: "We have different divisions of labor. We take the u and distribute it to different acceptors." La "u", ha notato ZachXBT, è evidentemente una scorciatoia per USDT, la stablecoinessa da Tether.

Il risultato on-chain

Le conversazioni si sono tradotte in prove verificabili. ZachXBT ha scritto che il 12 marzo 2025 ha abbinato uno screenshot inviato da Jimmy di un proprio bridge di fondi a un ordine creato pochi minuti dopo il messaggio, usando importi e tempistiche visibili sull'esploratore Thorchain, un registro pubblico degli swap sul protocollo decentralizzato che sposta monete direttamente tra blockchain.

Jimmy ha poi condiviso tre indirizzi Solana. Hanno esposto un cluster di oltre 12 milioni di dollari in bottino di Bybit scambiato in tempo reale, passando da Bitcoin a Ether a Solana e infine a Tron. Tether ha successivamente congelato 442.000 USDT collegati al cluster. Il congelamento illustra una delle poche leve concrete in crypto: una volta che il valore rubato si converte in token come USDT, l'emittente può bloccare gli asset su un indirizzo segnalato.

Jimmy ha anche fornito dettagli che ZachXBT poteva verificare in modo indipendente. Ha detto che un team che conosceva aveva circa 300K dollari congelati nel 2024; ZachXBT ha trovato il congelamento on-chain. La cifra reale era 332.000 USDC, rubati nell'exploit di Poloniex — l'hack di novembre 2023 che ha prosciugato oltre 100 milioni di dollari dall'exchange e che i ricercatori hanno collegato al Lazarus Group nordcoreano.

Il collegamento con la Cambogia

Jimmy ha anche detto di aver riciclato 3 milioni di dollari in proventi di frodi per un altro cliente. ZachXBT ha tracciato quei fondi fino a un hot wallet usato da Huione Guarantee, un marketplace su Telegram dove i criminali vendevano servizi di riciclaggio e dati rubati.

Huione Guarantee fa parte di Huione Group, il conglomerato cambogiano che la FinCEN del Tesoro statunitense ha preso di mira per il presunto riciclaggio di almeno 4 miliardi di dollari. Telegram ha bannato il marketplace a maggio 2025, e le autorità cinesi hanno arrestato l'ex presidente di Huione Group Li Xiong dopo che la Cambogia lo ha espulso.

Non tutti gli scambi riguardavano la criminalità. "Throughout our conversations, Jimmy and I had a lot of small talk in between discussing laundering for DPRK", ha detto ZachXBT. "He talked about playing mahjong, hunting wild rabbits, food, his fat reducing meal, family life, vacations at Disney."

Risultati documentati

Il Sea lizard non è stato un episodio isolato. "Since 2022, I have helped action $75M+ in freezes related to DPRK incidents", ha scritto ZachXBT.

Ha detto che i suoi risultati sono andati immediatamente a investigatori privati fidati e alle forze dell'ordine assegnate al caso, e che la sensibilità dell'indagine lo ha costretto a non pubblicare prima. Il thread non nomina nessuno degli individui dietro la syndicate e non descrive arresti derivanti dall'operazione, lasciando eventuali ulteriori congelamenti o azioni di contrasto costruite sulle informazioni che ha consegnato come prossimo sviluppo da monitorare.