Anonimowy śledczy on-chain ZachXBT twierdzi, że podając się za klienta chińskiego syndykatu prania pieniędzy, który przepłukał ponad 1 miliard dolarów skradzionych kryptowalut dla północnokoreańskiej grupy Lazarus, wyłożył 349,7 tys. USDC — około 349 700 dolarów — własnych pieniędzy i akceptował stratę 5% na każdym zleceniu, aby utrzymać operację przy życiu.

W wątku opublikowanym na X 5 października 2026 r. ZachXBT powiedział, że praca w konspiracji pozwoliła zebrać informacje wywiadowcze, które pomogły przeprowadzić zamrożenia związane z lutym atakiem na Bybit w 2025 r. oraz wspierały atrybucję nielegalnej działalności on-chain. Operacja, jak stwierdził, ujawniła klaster ponad 12 mln dolarów środków skradzionych z Bybit, a Tether później zamroził powiązane z nim 442 000 USDT. Dodał, że od 2022 r. pomógł przeprowadzić zamrożenia na ponad 75 mln dolarów związanych z incydentami północnokoreańskimi.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) October 5, 2026

Cel wart 1,5 miliarda dolarów

Atak będący osią sprawy uderzył w giełdęryptowalut Bybit w lutym 2025 r. i spowodował straty w wysokości 1,5 mld dolarów — największą kradzież kryptowalut w historii. FBI przypisało incydent grupie TraderTraitor, pod taką nazwą określa północnokoreańskich hakerów. Według ZachXBT praczami, do których się zbliżył, był chiński gang pracujący dla Korei Północnej. Śledczy ONZ od lat łączą północnokoreańskie jednostki hakerskie z miliardami dolarów skradzionych kryptowalut, które pomagają finansować programy zbrojeniowe reżimu.

ZachXBT jest prawdopodobnie najbardziej znanym i najaktywniejszym śledczym on-chain w kryptowalutach. Prawie w pełni anonimowy dwudziestokilkulatek spędził lata na śledzeniu skradzionych środków i ujawnianiu osób stojących za hackami i oszustwami, publikując wątki oparte na publicznych danych blockchain, które każdy może zweryfikować. Kontynuował śledztwa nawet po tym, jak były cel pozwał go i ujawnił jego tożsamość w 2023 r.

"Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain" — napisał.

Wychwycenie schematu

Punkt wejścia pojawił się wkrótce po haku. "In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor,' I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord" — napisał na X.

Ten sam schemat zaobserwował ponownie w ubiegłym tygodniu po haku na Bitget o wartości 387 mln dolarów, który CEO Bitgeta oraz firmy śledzące blockchain Ellipic i Chainalysis powiązały z Koreą Północną.

Jego doświadczenie w sprawach północnokoreańskich dobrze go predestynowało do działania. W dniu haku na Bybit powiązał go z grupą Lazarus na podstawie danych on-chain, a kilka dni później FBI potwierdziło tę atrybucję. Wykazał też, że portfele używane do prania środków z Bybit były powiązane z wcześniejszymi atakami Lazarusa, w tym hackami na Phemex i BingX. W 2024 r. jego śledzenie kradzieży około 4 100 BTC od wierzyciela Genesis pomogło doprowadzić do aresztowań. Paradigm zatrudniła go w lutym 2025 r. jako doradcę ds. reagowania na incydenty, a współzałożyciel firmy Matt Huang powiedział, że zwrócił on ponad 350 mln dolarów ofiarom hacków i oszustw.

ZachXBT mówi, że jego pracę finansują granty od fundacji i darowizny od osób prywatnych, co pozwala mu podejmować bardziej ryzykowne sprawy, jak ta. Większość śledztw on-chain ma charakter pasywny — czytania publicznych rejestrów bez dotykan pieniędzy. Podając się za klienta, przeszedł z roli obserwatora do uczestnika, zdobywając informacje takie jak wcześniejsze uprzedzenie o ruchach środków, których same publiczne dane nie mogły ujawnić.

"Jimmy Green"

W 2025 r. ZachXBT zaczął pisać do kont, które prosiły o pomoc przy zleceniach powiązanych z Bybit. Jedno z nich działało na Telegramie jako "Jimmy Green".

"On Mar 6, 2025, I funded a new address with 349.7K USDC on Ethereum in preparation to conduct several transactions with Jimmy Green" — powiedział. Jimmy podał adres, na który miał wysłać USDC w zamian za USDT na Tron. Ten adres, jak napisał ZachXBT, został zasilany gazem z portfela, który "is directly traceable to Bybit exploit funds and is labeled on the public Bybit exploit blacklist site".

"I completed several additional transactions with him in order to build up trust" — powiedział. "After that, Jimmy began to talk about moving Bybit funds for DPRK in advance of it happening, along with basic details about their operation in [Hong Kong] and mainland China".

Dowodem na wcześniejszą wiedzę Jimmy'ego było dla ZachXBT proste: "one day prior he stated funds would be moved to Solana and the next day they were".

Pozostanie w grze miało swoją cenę. "At this point, I realized I needed to continue losing 5% per order and gamble on capturing as much actionable intel as quickly as possible" — napisał. "For this case, I fronted $349.7K and lost 5% on each order, with no guarantee Jimmy wouldn't disappear with the funds, and an unknown amount of personal risk from dealing with the syndicate" — powiedział.

Jimmy domagał się kolejnych zleceń. 10 marca wielokrotnie zasypywał wiadomościami fałszywą tożsamość, aż ZachXBT, pozostając w roli, powiedział, że natręctwo sprawia, że "lose trust in your business". Jimmy odparł, że "the team has prepared $1 million and is ready to start work at any time!"

W innej rozmowie Jimmy opisał organizację zespołu: "We have different divisions of labor. We take the u and distribute it to different acceptors". "u" to, jak zauważył ZachXBT, najwyraźniej skrót od USDT, stablecoina emitowanego przez Tether.

Efekty widoczne on-chain

Rozmowy przełożyły się na weryfikowalne dowody. ZachXBT napisał, że 12 marca 2025 r. dopasował screenshot przesłany przez Jimmy'ego, na którym sam przebridge'owuje środki, do zlecenia utworzonego w ciągu kilku minut od wiadomości, korzystając z kwot i chronometrażu widocznych w eksploratorze Thorchain — publicznym rejestrze swapów w zdecentralizowanym protokole, który przenosi monety bezpośrednio między blockchainami.

Następnie Jimmy udostępnił trzy adresy na Solanie. Ujawniły one klaster ponad 12 mln dolarów łupu z Bybit wymienianego w czasie rzeczywistym, przeskakującego z Bitcoina na Ether, potem na Solanę i wreszcie na Tron. Tether później zamroził 442 000 USDT powiązane z klastrem. To zamroż ilustruje jeden z niewielu twardych mechanizmów w krypto: gdy skradziona wartość zamienia się w tokeny takie jak USDT, emitent może zablokować aktywa na oznaczonym adresie.

Jimmy przekazał też szczegóły, które ZachXBT mógł samodzielnie zweryfikować. Powiedział, że znany mu zespół miał około 300 tys. dolarów zamrożonych w 2024 r.; ZachXBT znalazł to zamrożenie on-chain. Rzeczywista kwota wynosiła 332 000 USDC, skradzionych w ataku na Poloniex — hacku z listopada 2023 r., który opróżnił giełdę o ponad 100 mln dolarów i który badacze powiązali z północnokoreańską grupą Lazarus.

Kambodżański wątek

Jimmy powiedział również, że wyprał 3 mln dolarów z zysków z oszustw dla innego klienta. ZachXBT prześledził te środki do hot walleta używanego przez Huione Guarantee — marketplace na Telegramie, na którym przestępcy sprzedawali usługi prania pieniędzy i skradzione dane.

Huione Guarantee jest częścią Huione Group, kambodżańskiego konglomeratu, który amerykański Departament Skarbu przez FinCEN objął działaniami z powodu rzekomego prania co najmniej 4 mld dolarów. Telegram zablokował marketplace w maju 2025 r., a chińskie władze aresztowały byłego przewodniczącego Huione Group Li Xionga po tym, jak Kambodża go deportowała.

Nie wszystkie rozmowy dotyczyły przestępczości. "Throughout our conversations, Jimmy and I had a lot of small talk in between discussing laundering for DPRK" — powiedział ZachXBT. "He talked about playing mahjong, hunting wild rabbits, food, his fat reducing meal, family life, and vacations at Disney".

Udokumentowane rezultaty

Ta akcja nie była jednorazowa. "Since 2022, I have helped action $75M+ in freezes related to DPRK incidents" — napisał ZachXBT.

Powiedział, że swoje ustalenia przekazywał natychmiast zaufanym prywatnym śledczym oraz organom ścigania przypisanym do sprawy, a wrażliwość wokół śledztwa sprawiła, że nie mógł opublikować informacji wcześniej. Wątek nie wymienia żadnych osób stojących za syndykatem ani nie opisuje aresztowań wynikających z operacji — kolejnym punktem do obserwacji pozostają ewentualne dalsze zamrożenia lub działania egzekucyjne oparte na przekazanych informacjach wywiadowczych.