Śledczy blockchainowy Zachary Wolk, powszechnie znany jako ZachXBT, obecnie pełniący funkcję doradcy ds. reagowania na incydenty w firmie inwestycyjnej Paradigm, ujawnił, jak podszył się pod klienta, aby infiltrować chiński zorganizowany syndikat przestępczy, który wyprał ponad 1 miliard dolarów związanego z wieloma exploitami blockchainowymi.

W ujawnieniu z 5 października ZachXBT opisał operację pod przykrywką, która pomogła rozbić wyrafinowaną sieć prania pieniędzy powiązaną z grupą Lazarus, organizacją cyberprzestępczą działającą w imieniu rządu Korei Północnej. Grupy powiązane z Koreą Północną były wielokrotnie łączono z największymi kradzieżami w kryptowalutach, dlatego przepływ ich łupów jest uważnie obserwowany zarówno przez giełdy, emitentów, jak i niezależnych śledczych.

Aby zdobyć zaufanie syndykatu, śledczy zaryzykował 349 700 dolarów własnego kapitału na 15 zidentyfikowanych podejanych kontach. Konkretnie inicjował transakcje testowe, płacił standardową prowizję grupy w wysokości 5% i śledził nielegalne przepływy w głównych sieciach blockchain. Sieci prania pieniędzy odgrywają tę rolę, ponieważ aktywność na publicznych blockchainach jest trwale widoczna, więc skradzione środki zazwyczaj muszą być kierowane przez pośredników, zanim atakujący będą mogli je wydać bez bezpośredniego powiązania on-chain z pierwotnym exploitem.

Jeden z członków grupy przestępczej, działający pod pseudonimem Jimmy Green, zapewnił ZachXBT, że prane środki są wolne od ryzyka zamrożenia. Według śledczego on-chain organizacja obsłużyła większość z 1,5 miliarda dolarów ukradzionych w eksploicie Bybit z lutego 2025 roku, a także 387 milionów dolarów związanych z incydentem Bitget z września 2026 roku. Włamanie do Bybit jest powszechnie opisywane jako największa pojedyncza kradzież w historii kryptowalut, co czyni ślad jej łupów jedną z najuważniej obserwowanych spraw w branży.

W miarę rozwoju zaufania Jimmy zaczął dzielić się szczegółami działania operacji. Mówił o wcześniejszym przenoszeniu środków z Bybit, wspominał o działalności w Hongkongu i Chinach kontynentalnych oraz przesyłał zrzuty ekranu mostów, które ZachXBT szybko dopasował w eksploratorach bloków, takich jak THORChain (RUNE). Jimmy przekazał także adresy Solana (SOL) powiązane z klastrem, który przeniósł ponad 12 milionów dolarów skradzionych środków z Bybit przez Bitcoin (BTC), Ethereum (ETH) i Tron (TRX). Każdy przeskok między sieciami i mostami dodaje kolejną warstwę oddzielenia od pierwotnego exploita — dokładnie taki schemat ZachXBT był w stanie dopasować w publicznych eksploratorach bloków.

Śledztwo ZachXBT pomogło następnie Tetherowi zamrozić 442 000 dolarów ze skradzionych środków. Łącznie śledczy przyczynił się do zamrożenia ponad 75 milionów dolarów powiązanych z hakerami z Korei Północnej od 2022 roku. Emitenci stablecoinów, tacy jak Tether, mają techniczną możliwość blokowania tokenów na określonych adresach, więc precyzyjne ustalenie, gdzie znajdują się skradzione środki on-chain, może bezpośrednio przekształcić pracę śledczą w zamrożone salda.

Obecnie zwraca się o pomoc finansową na finansowanie swoich dochazań, które — jak twierdzi — mogą dodatkowo zwalczać przestępczość on-chain Prośba ta nastąpiła po operacji, w której osobiście zaryzykował 349 700 dolarów — kwota ta ilustruje koszty niezależnego egzekwowania prawa on-chain.