Blockchainonderzoeker ZachXBT zegt dat hij maandenlang deed alsof hij een klant was binnen een Chinese georganiseerde misdaadsyndicaat die volgens hem meer dan $1 miljard heeft witgewassen via meerdere hacks die gekoppeld zijn aan de Lazarus Group, de door Noord-Korea gesteunde hackersgroep die sinds 2019 onder sancties van het Amerikaanse ministerie van Financiën staat.

Volgens ZachXBT hebben de inlichtingen die hij undercover verzamelde geholpen bij het bevriezen van fondsen die verband hielden met de hack op Bybit in februari 2025 en bij het toeschrijven van illegale activiteiten on-chain. Hij beschreef de infiltratie in een thread die hij op 5 oktober 2026 op X plaatste.

Het Bybit-incident, waarbij aanvallers in februari 2025 ongeveer $1,5 miljard van de beurs wegsluisden, behoort tot de grootste cryptodiefstallen ooit, en de nasleep omvatte tracerings- en bevriezingsacties over meerdere blockchains en uitgevers heen.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

De operatie begon kort na de hack op Bybit in februari 2025. ZachXBT meldde dat hij veel mensen in openbare Telegram- en Discord-groepen zag vragen om hulp bij transacties die verband hielden met de gestolen fondsen, wat hem ertoe aanzette contact op te nemen met verschillende accounts over transacties die met de hack te maken hadden. Dat contact leidde hem naar een Telegram-gebruiker met de bijnaam "Jimmy Green", met wie hij uiteindelijk begon te communiceren terwijl hij zich voordeed als een klant die op zoek was naarwasdiensten.

ZachXBT zette $349.700 op het spel om het netwerk binnen te komen

Om het netwerk binnen te komen, financierde ZachXBT een nieuw adres en begon op 6 maart 2025 te transacteren met de exploitant, waarbij hij 349.700 USDC in het plan inbracht. Hij verklaarde dat de transacties onder meer het omwisselen van USD tegen ETH en USDT tegen Tron omvatten. De onderzoeker voerde opzettelijk verschillende transacties uit met een verlies van bijna 5% per transactie om geloofwaardigheid als echte klant op te bouwen, en omschreef het geld als een gok om de operatie te bevorderen.

Die aanpak stelde hem in staat om meer te weten te komen over de vermeende witwasactiviteiten van het netwerk in Hongkong en op het Chinese vasteland. ZachXBT meldde dat Jimmy later sprak over geplande overboekingen van activa die verband hielden met de Bybit-hack, wat leidde tot identificeerbare on-chain transacties.

Cluster van $12 miljoen gevolgd via Bitcoin, Ethereum, Solana en Tron

De grote doorbraak kwam toen Jimmy een screenshot van een vermeende cross-chain transfer verspreidde. ZachXBT zei dat de screenshot qua bedrag en timing overeenkwam met een transactie op THORChain, een cross-chain protocol dat wordt gebruikt om activa tussen blockchains te wisselen — een transactie die binnen enkele minuten na het bericht was aangemaakt. De exploitant verstrekte ook een aantal Solana-adressen. Vanuit die adressen detecteerde ZachXBT een grote concentratie van meer dan $12 miljoen aan Bybit-fondsen die waren verplaatst tussen Bitcoin, Ethereum, Solana en Tron.

Later meldde hij dat de $442.000 aan USDT die aan het cluster was gekoppeld, uiteindelijk werd bevroren door Tether, de uitgever van USDT wiens contracten het mogelijk maken overboekingen op specifieke adressen te blokkeren. Hij voegde eraan toe dat hij ook een nieuwere witwasmethode opmerkte binnen Uniswap-liquiditeitspools en illiquide tokens, een verschuiving die het scala aan patronen vergroot waar analisten op screenen bij het volgen van gestolen fondsen.

Bybit-fondsen waren niet het enige cryptospoor

Het onderzoek bracht ook andere connecties met illegaal cryptoverkeer aan het licht. ZachXBT meldde dat Jimmy eerder had gesproken over $300.000 die was bevroren; volgens on-chain analyse was dat geld gekoppeld aan 332.000 USDC die naar verluidt nog steeds gestolen was bij de Poloniex-hack, de hack van de beurs Poloniex in 2023. Een tweede gesprek betrof ongeveer $3 miljoen aan fraudegeld dat werd geïdentificeerd als behorend tot een Huione Guarantee hot wallet, een online marktplaats die eerder was gemarkeerd in onderzoek naar illegale financiën. Beide bedragen werden genoemd tijdens zijn uitwisselingen met de exploitant, volgens ZachXBT.

ZachXBT verklaarde dat zijn bevindingen werden gedeeld met " privéonderzoekers en leden van de wetshandhaving." Hij zegt dat zijn werk sinds 2022 heeft geholpen meer dan $75 miljoen te bevrie, een cijfer dat laat zien hoe private on-chain onderzoekers, stablecoin-uitgevers en wetshandhavers steeds vaker samenwerken aan bevriezingen zodra gestolen fondsen op identificeerbare adressen opduiken. Voortbouwend op de gestolen crypto die in de recente operatie werd ontdekt, merkte hij op dat de zaak aantoont hoe illegale fondsen nog lang na de oorspronkelijke hack via tussenpersonen kunnen blijven circuleren.