Блокчейн-исследователь ZachXBT заявляет, что несколько месяцев выдавал себя за клиента в китайской организованной преступной группировке, которая, по его утверждению, отмыла более $1 млрд в ходе множества взломов, связанных с Lazarus Group — поддерживаемой Северной Кореей хакерской организацией, находящейся под санкциями министерства финансов США с 2019 года.

По словам ZachXBT, собранная под прикрытием информация помогла инициировать блокировки, связанные со взломом Bybit в феврале 2025 года, и содействовала атрибуции незаконной активности в блокчейне. Он подробно описал операцию в треде, опубликованном в X 5 октября 2026 года.

Инцидент с Bybit, в ходе которого злоумышленники вывели с биржи около $1,5 млрд в феврале 2025 года, входит в число крупнейших краж криптовалюты в истории, а его последствия включали отслеживание и блокировку средств в нескольких блокчейнах и у разных эмитентов.

1/ Как я внедрился в китайский организованный преступный синдикат, отмывший более $1 млрд в ходе множества взломов для Lazarus Group. Выдавая себя за клиента, я собрал разведданные, которые помогли инициировать блокировки после взлома Bybit в феврале 2025 года и атрибутировать незаконную активность в блокчейне.
— ZachXBT (@zachxbt) October 5, 2026

Операция началась вскоре после взлома Bybit в феврале 2025 года. ZachXBT сообщил, что заметил в публичных группах Telegram и Discord множество людей, просивших помощи с транзакциями, связанными с похищенными средствами, что побудило его обратиться к различным аккаунтам по поводу транзакций, связанных со взломом. Так он вышел на пользователя Telegram под ником «Jimmy Green», с которым в итоге начал общение, выдавая себя за клиента, ищущего услуги по отмыванию средств.

ZachXBT рискнул $349 700 ради проникновения в сеть

Чтобы попасть в сеть, ZachXBT пополнил новый адрес и 6 марта 2025 года начал транзакции с оператором, задействовав в схеме 349 700 USDC. Он заявил, что сделки включали обмен USD на ETH и USDT на Tron. Исследователь намеренно провел несколько транзакций с убытком около 5% по каждой, чтобы завоевать доверие как настоящий клиент, назвав эти деньги gamble ради продвижения операции.

Этот подход позволил ему узнать о предполагаемой активности группировки по «отмыванию» средств в Гонконге и материковом Китае. ZachXBT сообщил, что Jimmy позже говорил о планируемых переводах активов, связанных со взломом Bybit, что привело к идентифицируемым транзакциям в блокчейне.

Кластер на $12 млн отслежен в сетях Bitcoin, Ethereum, Solana и Tron

Прорыв произошел, когда Jimmy распространил скринот предполагаемого кроссчейн-перевода. ZachXBT заявил, что скриншот совпал с транзакцией на THORChain — протоколе кроссчейн-обмена активами — как по сумме, так и по времени; транзакция была создана в течение нескольких минут после сообщения. Оператор также предоставил ряд адресов Solana. С этих адресов ZachXBT обнаружил значительную концентрацию более $12 млн средств Bybit, перемещавшихся между Bitcoin, Ethereum, Solana и Tron.

Позднее он сообщил, что $442 000 в USDT, связанные с кластером, в итоге были заморожены Tether — эмитентом USDT, чьи контракты позволяют блокировать переводы на определенных адресах. Он добавил, что также заметил новый метод отмывания среди пулов ликвидности Uniswap и неликвидных токенов — сдвиг, расширяющий круг паттернов, которые аналитики проверяют при отслеживании похищенных средств.

Средства Bybit — не единственный криптографический след

Расследование также выявило другие связи с незаконными криптовалютными операциями. ZachXBT сообщил, что Jimmy ранее говорил о $300 000, которые были заморожены; согласно анализу в блокчейне, эти деньги были связаны с 332 000 USDC, предположительно все еще похищенными при взломе Poloniex — атаке на биржу Poloniex в 2023 году. Второй разговор касался примерно $3 млн мошеннических средств, идентифицированных как принадлежащие горячему кошельку Huione Guarantee — онлайн-маркетплейсу, ранее отмеченному в исследованиях незаконных финансов. По словам ZachXBT, обе суммы упоминались в его общении с оператором.

ZachXBT заявил, что его выводы были переданы «частным investigators и сотрудникам правоохранительных органов». По его словам, его работа помогла заблокировать более $75 млн с 2022 года — цифра, отражающая то, как частные блокчейн-исследователи, эмитенты стейблкоинов и правоохранительные органы все чаще объединяют усилия по блокировке, как только похищенные средства появляются на идентифицируемых адресах. Основываясь на обнаруженной в ходе недавней операции криптовалюте, он отметил, что этот случай демонстрирует, как незаконные средства могут продолжать перемещаться через посредников долгое время после совершения взлома.