Śledczy blockchainowy ZachXBT twierdzi, że przez kilka miesięcy podszywał się pod klienta wewnątrz chińskiego zorganizowanego syndykatu przestępczego, który jego zdaniem wyprał ponad 1 miliard dolarów w ramach wielu eksploitów powiązanych z grupą Lazarus — kolektywem hakerskim wspieranym przez Koreę Północną, objętym sankcjami amerykańskiego Departamentu Skarbu od 2019 roku.

Według ZachXBT zebrane w trakcie działalności pod przykrywkiem informacje pomogły uruchomić zamrożenia związane z eksploitem na Bybit z lutego 2025 roku oraz przyczyniły się do przypisania nielegalnej aktywności on-chain. Infiltrację opisał w wątku opublikowanym na X 5 października 2026 roku.

Incydent na Bybit, w którym atakujący w lutym 2025 roku wyprowadzili z giełdy około 1,5 miliarda dolarów, zalicza się do największych kradzieży kryptowalut w historii, a jego następstwa obejmowały działania trackingu i zamrażania w wielu blockchainach i u wielu emitentów.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and illicit activity onchain.
— ZachXBT (@zachxbt) October 5, 2026

Operacja rozpoczęła się krótko po eksploicie na Bybit w lutym 2025 roku. ZachXBT poinformował, że zauważył wiele osób w publicznych grupach na Telegramie izie proszących o pomoc w transakcjach powiązanych ze skradzionymi środkami, co skłoniło go do kontaktu z różnymi kontami w sprawie transakcji związanych z hackiem. Poszukiwania doprowadziły go do użytkownika Telegrama posługującego się pseudonimem „Jimmy Green”, z którym ostatecznie rozpoczął komunikację, podszywając się pod klienta poszukującego usług prania pieniędzy.

ZachXBT zaryzykował 349 700 dolarów, aby dostać się do sieci

Aby dostać się do sieci, ZachXBT zasilił nowy adres i rozpoczął transakcje z operatorem 6 marca 2025 roku, angażując w przedsięwzięcie 349 700 USDC. Stwierdził, że transakcje obejmowały wymianę USD na ETH oraz USDT na Tron. Śledczy celowo przeprowadził kilka transakcji ze stratą około 5% na każdej z nich, aby uwiarygodnić się jako prawdziwy klient, określając te pieniądze jako zakład służący rozpędzeniu operacji.

To podejście pozwoliło mu poznać rzekomą działalność sieci w zakresie „prania” pieniędzy w Hongkongu i Chinach kontynentalnych. ZachXBT poinformował, że Jimmy później mówił o planowanych transferach aktywów powiązanych z eksploitem na Bybit, co prowadziło do możliwych do zidentyfikowania transakcji on-chain.

Klaster o wartości 12 mln dolarów prześledzony w sieciach Bitcoin, Ethereum, Solana i Tron

Przełom nastąpił, gdy Jimmy rozpowszechnił zrzut ekranu rzekomego transferu międzyłańcuchowego. ZachXBT stwierdził, że zrzut trafiał co do kwoty i czasu w transakcję na THORChain — protokole międzyłańcuchowym służącym do wymiany aktywów między blockchainami — utworzoną w ciągu kilku minut od wiadomości. Operator przekazał także szereg adresów w sieci Solana. Na podstawie tych adresów ZachXBT wykrył ogromną koncentrację ponad 12 milionów dolarów w środkach z Bybit, które były przenoszone między Bitcoinem, Ethereum, Solaną i Tronem.

Później poinformował, że 442 000 USDT powiązanych z klastrem zostało ostatecznie zamrożonych przez Tether — emitenta USDT, którego kontrakty pozwalają blokować transfery na konkretnych adresach. Dodał również, że zaobserwował nowszą metodę prania pieniędzy w pulach płynności Uniswap i tokenach o niskiej płynności — zmianę, która poszerza zakres wzorców wyszukiwanych przez analityków przy śledzeniu skradzionych środków.

Środki z Bybit to nie jedyny ślad kryptowalutowy

Śledztwo ujawniło również inne powiązania z nielegalnym ruchem kryptowalutowym. ZachXBT poinformował, że Jimmy wcześniej wspominał o 300 000 dolarach, które zostały zamrożone; według analizy on-chain pieniądze te były powiązane z 332 000 USDC, rzekomo nadal skradzionymi w eksploicie na Poloniex — hacku giełdy Poloniex z 2023 roku. Druga rozmowa dotyczyła około 3 milionów dolarów w środkach z oszustw, zidentyfikowanych jako należące do hot walleta Huione Guarantee — internetowego marketplace'u wcześniej sygnalizowanego w badaniach nad nielegalnymi finansami.ie kwoty zostały wymienione podczas jego rozmów z operatorem, według ZachXBT.

ZachXBT stwierdził, że swoje wyniki przekazał „zaufanym prywatnym detektywom i członkom organów ścigania”. Twierdzi, że jego praca pomogła zamrozić ponad 75 milionów dolarów od 2022 roku — kwota ta odzwierciedla, jak prywatni badacze on-chain, emitenci stablecoinów i organy ścigania coraz częściej łączą siły przy zamrożeniach, gdy skradzione środki pojawiają się na możliwych do zidentyfikowania adresach. Odnosząc się do odkrytych w niedawnej operacji skradzionych kryptowalut, zauważył, że ta sprawa pokazuje, jak środki nielegalnego pochodzenia mogą jeszcze długo po pierwotnym eksploicie przemieszczać się przez pośredników.