De pseudonieme on-chain onderzoeker ZachXBT zegt dat hij zich heeft voorgedaan als klant van een Chinees witwassyndicaat dat meer dan $1 miljard in gestolen crypto heeft verplaatst voor Noord-Korea's Lazarus Group, waarbij hij 349,7K USDC — ongeveer $349.700 — van zijn eigen geld voorschoot en 5% verlies op elke order accepteerde om de operatie gaande te houden.

In een thread gepubliceerd op X op 5 oktober 2026 zei ZachXBT dat het undercoverwerk inlichtingen opleverde die hielpen bij bevriezingen rond de Bybit-exploit van februari 2025 en de on-chain toerekening van illegale activiteit ondersteunden. De operatie, zei hij, legde een cluster van meer dan $12 miljoen aan gestolen Bybit-middelen bloot, en Tether bevroor later 442.000 USDT die eraan gelinkt waren. Hij voegde eraan toe dat hij sinds 2022 heeft geholpen bij bevriezingen van meer dan $75 miljoen in verband met Noord-Koreaanse incidenten.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) October 5, 2026

Een doelwit van $1,5 miljard

De exploit die centraal staat in de zaak trof crypto-beurs Bybit in februari 2025 en veroorzaakte $1,5 miljard aan verliezen, de grootste crypto-diefstal ooit geregistreerd. De FBI schreef het incident toe aan TraderTraitor, de naam die zij gebruikt voor Noord-Koreaanse hackers. Volgens ZachXBT waren de witwassers met wie hij contact zocht een Chinese bende die voor Noord-Korea werkt. Onderzoekers van de Verenigde Naties hebben Noord-Koreaanse hackeenheden al jaren gekoppeld aan miljarden aan gestolen cryptovaluta die helpen bij het financieren van de wapenprogramma's van het regime.

ZachXBT is waarschijnlijk de bekendste en productiefste on-chain onderzoeker in crypto. De grotendeels anonieme twintiger spoorde al jarenlang gestolen fondsen op en noemt de mensen achter hacks en oplichting, met threads gebaseerd op publieke blockchaingegevens die iedereen kan verifiëren. Hij ging door met onderzoeken, zelfs nadat een voormalig doelwit hem in 2023 aanklaagde en doxxte.

"Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain", schreef hij.

Een patroon ontdekken

Het startpunt kwam kort na de hack. "In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor,' I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord", schreef hij op X.

Hij zag hetzelfde patroon vorige week opnieuw na de Bitget-hack van $387 miljoen, die de CEO van Bitget en de blockchain-traceringsbedrijven Ellipic en Chainalysis aan Noord-Korea hebben gekoppeld.

Zijn staat van dienst rond Noord-Korea maakte hem bij uitstek geschikt om op te treden. Op de dag van de Bybit-hack koppelde hij deze met on-chain gegevens aan de Lazarus Group, en dagenlater bevestigde de FBI die toerekening. Hij toonde ook aan dat wallets die werden gebruikt om de Bybit-middelen te witwassen, verbonden waren aan eerdere Lazarus-aanvallen, waaronder de hacks van Phemex en BingX. In 2024 leidde zijn opsporing van de diefstal van ruim 4.100 BTC van een Genesis-schuldeiser mede tot arrestaties. Paradigm huurde hem in februari 2025 in als adviseur incidentrespons, waarbij medeoprichter Matt Huang zei dat hij meer dan $350 miljoen had teruggegeven aan slachtoffers van hacks en oplichting.

ZachXBT zegt dat subsidies van stichtingen en donaties van individuen zijn werk financieren en hem in staat stellen riskantere zaken als deze aan te pakken. De meeste on-chain tracing is passief — het lezen van openbare ledgers in plaats van het geld zelf aan te raken. Door zich als klant voor te doen, ging hij van waarnemer naar deelnemer en legde hij details vast, zoals voorafgaande kennis van geldstromen, die publieke gegevens alleen niet konden onthullen.

"Jimmy Green"

In 2025 begon ZachXBT berichten te sturen naar de accounts die hadden gevraagd om hulp bij aan Bybit gelinkte orders. Eén daarvan stond op Telegram bekend als "Jimmy Green".

"On Mar 6, 2025, I funded a new address with 349.7K USDC on Ethereum in preparation to conduct several transactions with Jimmy Green", zei hij. Jimmy leverde een adres om de USDC te ontvangen, in ruil voor USDT op Tron. Dat adres, schreef ZachXBT, was van gas voorzien door een wallet die "is directly traceable to Bybit exploit funds and is labeled on the public Bybit exploit blacklist site."

"I completed several additional with him in order to build up trust", zei hij. "After that, Jimmy began to talk about moving Bybit funds for DPRK in advance of it happening, along with basic details about their operation in [Hong Kong] and mainland China."

Voor ZachXBT was het bewijs van Jimmy's voorkennis eenvoudig: "one day prior he stated funds would be moved to Solana and the next day they were."

In het spel blijven blijven had een prijs. "At this point, I realized I needed to continue losing 5% per order and gamble on capturing as much actionable intel as quickly as possible", schreef hij. "For this case, I fronted $349.7K and lost 5% on each order, with no guarantee Jimmy wouldn't disappear with the funds, and an unknown amount of personal risk from dealing with the syndicate", zei hij.

Jimmy wilde graag zaken doen. Op 10 maart bleef hij het nep-persoonlijkheid aanschieten totdat ZachXBT, in zijn rol, zei dat het gedrang hem deed "lose trust in your business." Jimmy antwoordde dat "the team has prepared $1 million and is ready to start work at any time!"

In een ander gesprek beschreef Jimmy de opzet van het team: "We have different divisions of labor. We take the u and distribute it to different acceptors." De "u" is, aldus ZachXBT, blijkbaar een afkorting voor USDT, de stablecoin uitgegeven door Tether.

De oogst op de blockchain

De gesprekken leverden verifieerbaar bewijs op. ZachXBT schreef dat hij op 12 maart 2025 een screenshot die Jimmy stuurde van het overbruggen van fondsen kon matchen met een order die binnen enkele minuten na het bericht was aangemaakt, op basis van bedragen en timing op de Thorchain-verkenner, een openbaar logboek van swaps op het gedecentraliseerde protocol dat munten rechtstreeks tussen blockchains verplaatst.

Jimmy deelde vervolgens drie Solana-adressen. Die legden een cluster van meer dan $12 miljoen aan Bybit-buit bloot dat in realtime werd geruild, van Bitcoin naar Ether naar Solana en uiteindelijk naar Tron. Tether bevroor later 442.000 USDT die aan het cluster gelinkt waren. De bevriezing illustreert een van de weinige harde middelen in crypto: zodra gestolen waarde wordt omgezet in tokens zoals USDT, kan de uitgever activiteiten op een gemarkeerd adres blokkeren.

Jimmy gaf ook details prijs die ZachXBT onafhankelijk kon controleren. Hij zei dat een team dat hij kende in 2024 ongeveer $300K bevroren zag; ZachXBT vond de bevriezing on-chain. Het werkelijke bedrag was 332.000 USDC, gestolen in de Poloniex-exploit — de hack van november 2023 die meer dan $100 miljoen van de beurs wegnam en die onderzoekers hebben gekoppeld aan Noord-Korea's Lazarus Group.

De Cambodjaanse connectie

Jimmy zei ook dat hij $3 miljoen aan fraudegeld had witgewassen voor een andere klant. ZachXBT spoorde die fondsen aan tot een wallet die werd gebruikt door Huione Guarantee, een Telegram-marktplaats waar criminelen witwasdiensten en gestolen gegevens verkochten.

Huione Guarantee maakt deel uit van Huione Group, het Cambodjaanse conglomeraat dat FinCEN van het Amerikaanse ministerie van Financiën aanviel vanwege de vermeende witwaspraktijken van ten minste $4 miljard. Telegram verbood de marktplaats in mei 2025, en Chinese autoriteiten arresteerden voormalig Huione Group-voorzitter Li Xiong nadat Cambodja hem had uitgezet.

Niet alle gesprekken gingen over misdaad. "Throughout our conversations, Jimmy and I had a lot of small talk in between discussing laundering for DPRK", zei ZachXBT. "He talked about playing mahjong, hunting wild rabbits, food, his fat reducing meal, family life, and vacations at Disney."

Gedocumenteerde resultaten

De undercoveroperatie was geen eenmalige actie. "Since 2022, I have helped action $75M+ in freezes related to DPRK incidents", schreef ZachXBT.

Hij zei dat zijn bevindingen onmiddellijk werden gedeeld met vertrouwde onderzoekers uit de privésector en met de aan de zaak toegewezen wetshandhavers, en dat de gevoeligheid rond het onderzoek hem ervan weerhield eerder te publiceren. De thread noemt geen van de personen achter het syndicaat en beschrijft geen arrestaties als gevolg van de operatie, waardoor eventuele verdere bevriezingen of handhavingsacties op basis van de inlichtingen die hij overhandigde de volgende ontwikkeling zijn om in de gaten te houden.