Блокчейн-исследователь Захари Волк, широко известный как ZachXBT и занимающий должность советника по реагированию на инциденты в криптоинвестиционной фирме Paradigm, рассказал, как он под видом клиента внедрился в китайский организованный преступный синдикат, отмывший более $1 млрд, связанных с множеством взломов блокчейн-проектов.

В обнародованном 5 октября отчете ZachXBT описал операцию под прикрытием, которая помогла разрушить сложную сеть по отмыванию средств, связанную с группировкой Lazarus Group — киберпреступной организацией, действующей от имени правительства Северной Кореи. Группировки, связанные с Северной Кореей, неоднократно фигурировали в крупнейших кражах в криптоиндустрии, поэтому движение их доходов пристально отслеживается биржами, эмитентами и независимыми исследователями.

Чтобы завоевать доверие синдиката, исследователь рискнул собственными $349,700 на 15 выявленных подозрительных счетах. В частности, он инициировал тестовые транзакции, платил стандартную комиссию группы в 5% и отслеживал незаконные потоки средств через крупные блокчейны. Сети по отмыванию средств выполняют эту роль, поскольку активность в публичных блокчейнах видна навсегда: украденные средства обычно приходится проводить через посредников, прежде чем злоумышленники смогут их потратить без прямой ончейн-связи с исходным взломом.

Один из участников преступной группы, действовавший под псевдонимом Jimmy Green, заверил ZachXBT, что отмытые средства не будут заморожены. По данным ончейн-следопыта, организация обработала большую часть $1.5 млрд, украденных при взломе Bybit в феврале 2025 года, а также $387 млн, связанных с инцидентом Bitget в сентябре 2026 года. Взлом Bybit широко описывается как крупнейшая единичная кража в истории криптовалют, что делает след ее доходов одним из самых внимательно отслеживаемых дел в отрасли.

По мере роста доверия Jimmy начал делиться деталями работы. Он говорил о переводе средств Bybit заранее, упоминал деятельность в Гонконге и материковом Китае и отправлял скриншоты мостов, которые ZachXBT быстро сопоставил в обозревателях блоков, таких как THORChain (RUNE). Jimmy также предоставил адреса в сети Solana (S), связанные с кластером, который перевел более $12 млн украденных средств Bybit через Bitcoin (BTC), Ethereum (ETH) и Tron (TRX). Каждый переход между сетями и мостами добавляет еще один уровень отделения от исходного взлома — именно эту схему ZachXBT смог проследить через публичные обозреватели блоков.

Впоследствии отслеживание ZachXBT помогло Tether заморозить $442,000 из украденных средств. В целом исследователь способствовал заморозке более $75 млн, связанных с северокорейскими хакерскими атаками, с 2022 года. Эмитенты стейблкоинов, такие как Tether, обладают технической возможностью блокировать токены по конкретным адресам, поэтому точное определение того, где лежат украденные средства в блокчейне, может напрямую превращать работу по отслеживанию в замороженные балансы.

Сейчас он обращается за финансовой помощью для финансирования своих расследований, которые, по его словам, могли бы дополнительно противостоять ончейн-преступности. Эта просьба следует за операцией, в которой он лично рискнул $349,700 — суммой, иллюстрирующей затратную сторону независимого ончейн-надзора.