Blockchainonderzoeker Zachary Wolk, beter bekend als ZachXBT en momenteel werkzaam als Incident Response Advisor bij crypto-investeeringsfirma Paradigm, heeft onthuld hoe hij zich als klant voordeed om een Chinees georganiseerd misdaadsyndicaat te infiltreren dat meer dan $1 miljard heeft witgewassen dat verbonden is aan meerdere blockchain-exploits.

In een openbaring van 5 oktober zette ZachXBT de undercoveroperatie uiteen die hielp een geavanceerd witwasnetwerk te verstoren dat verbonden is met de Lazarus Group, de cybercrime-organisatie die namens de Noord-Koreaanse regering opereert. Groepen die met Noord-Korea worden verbonden, zijn herhaaldelijk gekoppeld aan enkele van de grootste diefstallen in crypto, waardoor de beweging van hun opbrengsten nauwlettend wordt gevolgd door beurzen, uitgevers en onafhankelijke onderzoekers.

Om het vertrouwen van het syndicaat te winnen, riskeerde de onderzoeker $349.700 van zijn eigen kapitaal via 15 geïdentificeerde verdachte accounts. Concreet startte hij testtransacties, betaalde hij de standaardfee van 5% van de groep en volgde hij illegale geldstromen over grote blockchains. Witwasnetwerken vervullen deze rol omdat activiteit op publieke blockchains permanent zichtbaar is, waardoor gestolen fondsen doorgaans via tussenpersonen moeten worden geleid voordat aanvallers ze uitgeven zonder directe on-chain link naar de oorspronkelijke exploit.

Eén lid van de criminele groep, opererend onder het pseudoniem Jimmy Green, verzekerde ZachXBT dat de witgewassen fondsen vrij waren van bevriezing. Volgens de on-chain speurder verwerkte de organisatie het grootste deel van de $1,5 miljard die in februari 2025 bij de Bybit-exploit werd gestolen, evenals $387 miljoen verbonden aan het Bitget-incident van september 2026. De Bybit-inbreuk wordt breed gerapporteerd als de grootste enkele diefstal in de geschiedenis van crypto, wat het spoor van de opbrengsten tot een van de meest gevolgde zaken in de sector maakt.

Naarmate het vertrouwen groeide, begon Jimmy details over de operatie te delen. Hij sprak over het vooraf verplaatsen van Bybit-fondsen, verwees naar activiteiten in Hongkong en vasteland-China, en stuurde screenshots van bridges die ZachXBT snel matchte op block explorers zoals THORChain (RUNE). Jimmy leverde ook Solana (SOL)-adressen die verbonden waren aan een cluster dat meer dan $12 miljoen van de gestolen Bybit-fondsen verplaatste via Bitcoin (BTC), Ethereum (ETH) en Tron (TRX). Elke sprong tussen chains en bridges voegt een extra laag scheiding toe van de oorspronkelijke exploit — precies het patroon dat ZachXBT kon matchen via publieke block explorers.

De tracking van ZachXBT hielp Tether vervolgens $442.000 van de gestolen fondsen te bevriezen. In totaal heeft de onderzoeker bijgedragen aan het bevriezen van meer dan $75 miljoen dat verbonden is aan Noord-Koreaanse hacks sinds 2022. Stablecoin-uitgevers zoals Tether hebben de technische mogelijkheid om tokens op specifieke adressen te vergrendelen, waardoor het lokaliseren van gestolen fondsen on-chain trackingwerk direct kan omzetten in bevroren saldi.

Nu roept hij op tot financiële steun om zijn onderzoeken te financieren, wat volgens hem on-chain criminaliteit verder kan tegenwerken. Het verzoek volgt op een operatie waarin hij persoonlijk $349.700 op het spel zette, een bedrag dat de kostenkant van onafhankelijke on-chain handhaving illustreert.