Псевдонимный блокчейн-детектив ZachXBT заявляет, что, выдавая себя за клиента китайского синдиката по отмыванию средств, который переместил более 1 млрд долларов в украденной криптовалюте для северокорейской группы Lazarus, он вложил 349,7 тыс. USDC — около 349 700 долларов — собственных денег и принял 5% убытка с каждого заказа, чтобы поддерживать операцию.

В треде, опубликованном в X 5 октября 2026 года, ZachXBT сообщил, что работа под прикрытием позволила собрать разведданные, которые помогли инициировать заморозку средств, связанных со взломом Bybit в феврале 2025 года, и поддержать атрибуцию противоправной активности на блокчейне. По его словам, операция раскрыла кластер средств, украденных у Bybit, на сумму более 12 млн долларов, а Tether впоследствии заморозила 442 000 USDT, связанных с ним. Он добавил, что с 2022 года помог инициировать заморозку более 75 млн долларов по инцидентам, связанным с Северной Кореей.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) 5 октября 2026 г.

Цель на 1,5 млрд долларов

Взлом, лежащий в основе этого дела, произошел в феврале 2025 года на криптобирже Bybit и привел к убыткам в 1,5 млрд долларов — крупнейшей краже криптовалюты в истории. ФБР приписало инцидент группировке TraderTraitor — так оно называет северокорейских хакеров. По словам ZachXBT, отмыватели, к которым обратился, были китайской бандой, работающей на Северную Корею. Следователи ООН уже много лет связывают северокорейские хакерские подразделения с миллиардами долларов в украденной криптовалюте, которые помогают финансировать программы вооружений режима.

ZachXBT — вероятно, самый известный и самый плодовитый блокчейн-детектив в криптоиндустрии. Псевдонимный двадцатилетний исследователь много лет отслеживает украденные средства и называет имена организаторов взломов и мошенничеств, публикуя треды на основе публичных данных блокчейна, которые каждый может проверить. Он продолжал расследования даже после того, как бывшая цель подала на него в суд и раскрыла его личность в 2023 году.

«Выдавая себя за клиента, я собрал разведданные, которые помогли инициировать заморозку средств по взлому Bybit в феврале 2025 года и атрибуцию противоправной активности на блокчейне», — написал он.

Выявление закономерности

Точкой входа стали события сразу после взлома. «В феврале 2025 года, вскоре после взлома Bybit на 1,5 млрд долларов, приписанного связанной с КНДР группировкой TraderTraitor, я заметил закономерность: 15+ аккаунтов в публичных группах Telegram и Discord просили помощи с заказами, напрямую связанными с украденными средствами», — написал он в X.

Ту же закономерность он увидел на прошлой неделе после взлома Bitget на 387 млн долларов, который генеральный директор Bitget и компании по трейсингу блокчейна Ellipic и Chainalysis связали с Северной Кореей.

Его послужной список по Северной Корее позволял ему действовать уверенно. В день взлома Bybit он связал его с Lazarus Group с помощью данных блокчейна, а через несколько дней ФБР подтвердило эту атрибуцию. Он также показал, что кошельки, использовавшиеся для отмывания средств Bybit, были связаны с более ранними атаками Lazarus, включая взломы Phemex и BingX. В 2024 году его отслеживание кражи около 4 100 BTC у кредитора Genesis помогло привести к арестам. В феврале 2025 года Paradigm наняла его советником по реагированию на инциденты, а сооснователь фирмы Мэтт Хуан заявил, что ZachXBT вернул жертвам взломов и мошенничеств более 350 млн долларов.

ZachXBT говорит, что его работу финансируют гранты фондов и пожертвования частных лиц, что позволяет ему браться за более рискованные дела, подобные этому. Большинство блокчейн-расследований пассивны — чтение публичных реестров вместо прямого контакта с деньгами. Выдавая себя за клиента, он перешел от наблюдателя к участнику, получив такие детали, как заблаговременное уведомление о перемещении средств, которые одни лишь публичные данные раскрыть не могли.

«Jimmy Green»

В 2025 году ZachXBT начал переписываться с аккаунтами, которые просили помощи с заказами, связанными со средствами Bybit. Один из них в Telegram именовался «Jimmy Green».

«6 марта 2025 года я пополнил новый адрес на 349,7 тыс. USDC в Ethereum в рамках подготовки к проведению нескольких транзакций с Jimmy Green», — рассказал он. Джимми предоставил адрес для получения USDC в обмен на USDT в сети Tron. Этот адрес, написал ZachXBT, был пополнен комиссионными средствами с кошелька, который «напрямую прослеживается до средств взлома Bybit помечен на публичном сайте черного списка взлома Bybit».

«Я провел с ним несколько дополнительных транзакций, чтобы завоевать доверие», — сказал он. «После этого Джимми начал говорить о перемещении средств Bybit для КНДР еще до того, как это происходило, а также о базовых деталях своей деятельности в [Гонконге] и материковом Китае».

Для ZachXBT доказательством осведомленности Джимми было просто: «за день до этого он заявил, что средства будут переведены в Solana, и на следующий день они были переведены».

Сохранение позиции стоило денег. «В этот момент я осознал, что мне нужно продолжать терять 5% с каждого заказа и рискнуть, чтобы как можно быстрее собрать как можно больше полезной развединформации», — написал он. «В этом деле я вложил 349,7 тыс. долларов и терял 5% с каждого заказа, без каких-либо гарантий, что Джимми не исчезнет с деньгами, а также с неизвестным объемом личного риска при работе с синдикатом», — сказал он.

Джимми хотел продолжения бизнеса. 10 марта он неоднократно писал фальшивой персоне, пока ZachXBT, оставаясь в образе, не сказал, что назойливость заставляет его «терять доверие к вашему бизнесу». Джимми ответил, что «команда подготовила 1 млн долларов и готова начать работу в любой момент!»

В другом чате Джимми описал устройство команды: «У нас разное разделение труда. Мы берем u и распределяем его между разными акцепторами». «u», как отметил ZachXBT, — по-видимому, сокращение от USDT, стейблкоина, выпущенного Tether.

Результат на блокчейне

Разговоры превратились в проверяемые доказательства. ZachXBT написал, что 12 марта 2025 года он сопоставил скриншот, отправленный Джимми, где тот сам переводит средства через мост, с заказом, созданным в течение нескольких минут после сообщения, используя суммы и время, видимые в обозревателе Thorchain — публичном журнале обменов в децентрализованном протоколе, который перемещает монеты напрямую между блокчейнами.

Затем Джимми поделился тремя адресами Solana. Они раскрыли кластер трофеев Bybit на сумму более 12 млн долларов, обменивавшихся в реальном времени и перемещавшихся из Bitcoin в Ether, затем в Solana и наконец в Tron. Tether впоследствии заморозила 442 000 USDT, связанных с кластером. Заморозка иллюстрирует один из немногих действенных рычагов в криптовалютах: когда украденная стоимость конвертируется в токены вроде USDT, эмитент может заблокировать активы по помеченному адресу.

Джимми также называл детали, которые ZachXBT мог проверить независимо. Он сказал, что знакомая ему команда имела около 300 тыс. долларов замороженных средств в 2024 году; ZachXBT нашел заморозку на блокчейне. Реальная цифра — 332 000 USDC, украденных взломе Poloniex — хакерской атаке в ноябре 2023 года, унесшей с биржи более 100 млн долларов, которую исследователи связали с северокорейской Lazarus Group.

Камбоджийский след

Джимми также сказал, что отмыл 3 млн долларов от мошеннических доходов для другого клиента. ZachXBT проследил эти средства до горячего кошелька, использовавшегося Huione Guarantee — торговой площадкой в Telegram, где преступники продавали услуги по отмыванию и украденные данные.

Huione Guarantee входит в Huione Group — камбоджийский конгломерат, против которого выступило FinCEN Министерства финансов США из-за предполагаемого отмывания не менее 4 млрд долларов. Telegram заблокировал площадку в мае 2025 года, а китайские власти арестовали бывшего председателя Huione Group Ли Сюна после его депортации из Камбоджи.

Не все разговоры касались преступлений. «На протяжении наших разговоров между обсуждением отмывания средств для КНДР у нас с Джимми было много светской беседы», — сказал ZachXBT. «Он говорил о игре в маджонг, охоте на диких кроликов, еде, своей диете для снижения веса, семейной жизни и отпусках в Диснейленде».

Задокументированные результаты

Эта операция не была единичной. «С 2022 года я помог инициировать заморозку более 75 млн долларов по инцидентам, связанным с КНДР», — написал ZachXBT.

По его словам, результаты расследования немедленно передавались проверенным частным исследователям и правоохранительным органам, ответственным за дело, а чувствительность расследования не позволяла опубликовать информацию раньше. В треде не назван ни один из участников синдиката и не описано ни одного ареста в рамках этой операции, так что дальнейшие заморозки или правоприменительные действия на основе переданной им развединформации остаются следующим событием, за которым стоит следить.