ZachXBT spune că a riscat 349.700 de dolari ca fals client al unui grup care ar fi spălat bani pentru Coreea de Nord

ZachXBT a dezvăluit operațiunea pe X la 5 octombrie 2026, potrivit Decrypt. Activitatea sa de investigator presupune urmărirea tranzacțiilor în blockchain, registrul public în care sunt înscrise transferurile de criptomonede.

„Prezentându-mă drept client, am strâns informații care au ajutat la blocarea unor fonduri din atacul asupra Bybit din februarie 2025 și la atribuirea unor activități ilicite pe blockchain”, a scris investigatorul blockchain ZachXBT pe X.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group.

Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) October 5, 2026

Un contact de pe Telegram i-a oferit schimburi între două rețele

Pe 6 martie 2025, ZachXBT spune că a alimentat o adresă din rețeaua Ethereum cu 349.700 USDC pentru a face tranzacții cu un contact de pe Telegram numit Jimmy Green. Acesta i-a indicat unde să trimită criptomonedele, urmând să primească în schimb USDT pe rețeaua Tron.

USDT este moneda digitală emisă de Tether din categoria stablecoin, concepută pentru a păstra o valoare stabilă. Schimburile propuse de Jimmy presupuneau astfel atât trecerea de la o criptomonedă la alta, cât și mutarea banilor între rețele.

Investigatorul a continuat tranzacțiile pentru a câștiga încrederea interlocutorului. Costul și riscul asumate au fost descrise de el astfel: „Pentru acest caz, am avansat $349.7K și am pierdut 5% la fiecare ordin, fără nicio garanție că Jimmy nu va dispărea cu fondurile și asumându-mi un risc personal de amploare necunoscută în relația cu grupul”, a explicat ZachXBT.

Pe 10 martie 2025, contactul a insistat cu mesaje până când ZachXBT, păstrându-și identitatea de client, i-a transmis că insistențele îi subminau încrederea în afacere. „Echipa a pregătit $1 million și este gata să înceapă lucrul oricând!”, i-a răspuns Jimmy Green, contactul său de pe Telegram, într-o conversație relatată de investigator pe X.

Jimmy a descris și organizarea echipei: „Avem o împărțire a muncii pe departamente. Luăm u și îl distribuim către diferiți destinatari”, a precizat el. Litera „u” pare să fi fost folosită ca prescurtare pentru USDT.

Sumele și orele transferurilor au permis verificarea conversațiilor

ZachXBT spune că a confruntat informațiile primite de la Jimmy cu tranzacțiile publice. Trei indicii au legat discuțiile de mișcările efective ale fondurilor:

• Adresa indicată pentru plata în USDC primise bani pentru taxele de tranzacție de la un portofel pe care investigatorul îl putea urmări direct până la fondurile furate de la Bybit. Portofelul figura și pe lista publică de adrese asociate atacului.
• Jimmy ar fi anunțat că anumite fonduri urmau să fie mutate pe Solana. Potrivit lui ZachXBT, transferul a avut loc a doua zi.
• Pe 12 martie 2025, investigatorul a corelat o captură de ecran trimisă de Jimmy cu un ordin înregistrat la câteva minute distanță. A comparat sumele și orele din registrul public Thorchain, un protocol descentralizat care permite schimburi de criptomonede între blockchainuri.

Ulterior, Jimmy i-a trimis trei adrese Solana. ZachXBT afirmă că acestea l-au condus la un grup de tranzacții cu peste 12 milioane de dolari provenite din atacul Bybit. Fondurile erau schimbate în timp real, trecând succesiv prin Bitcoin, Ether, Solana și Tron.

Tether a blocat ulterior 442.000 USDT asociate acestui grup de tranzacții.

Alte informații au dus la Poloniex și Huione Guarantee

Jimmy i-a mai spus că o echipă pe care o cunoștea avusese aproximativ 300.000 de dolari blocați în 2024. ZachXBT spune că a găsit blocarea în blockchain: suma reală era de 332.000 USDC, proveniți din atacul asupra Poloniex din noiembrie 2023.

Acel atac a provocat platformei pierderi de peste 100 de milioane de dolari și a fost asociat de cercetători cu gruparea nord-coreeană Lazarus.

Într-o altă discuție, Jimmy ar fi susținut că spălase 3 milioane de dolari provenite din fraudă pentru un alt client. ZachXBT afirmă că a urmărit banii până la un portofel operațional conectat la internet, folosit de Huione Guarantee.

Huione Guarantee era o piață pe Telegram unde se vindeau servicii de spălare a banilor și date furate. Făcea parte din conglomeratul cambodgian Huione Group, vizat de autoritățile Trezoreriei americane pentru presupusa spălare a cel puțin 4 miliarde de dolari.

Telegram a interzis piața în mai 2025. Autoritățile chineze l-au arestat pe fostul președinte al Huione Group, Li Xiong, după ce Cambodgia l-a deportat.

Conversațiile dintre investigator și Jimmy au inclus și subiecte personale. ZachXBT spune că interlocutorul povestea despre mahjong, vânătoarea de iepuri sălbatici, mâncare, mesele pentru slăbit, familie și vacanțele la Disney.

Atacul Bybit a produs pierderi de 1,5 miliarde de dolari

Punctul de plecare al operațiunii a fost atacul din februarie 2025 asupra Bybit, care a provocat platformei pierderi de 1,5 miliarde de dolari. Autoritățile federale americane de investigații l-au atribuit hackerilor nord-coreeni urmăriți sub numele TraderTraitor.

Imediat după atac, ZachXBT observase peste 15 conturi care cereau ajutor în grupuri publice de Telegram și Discord pentru ordine legate direct de fondurile furate. A început să contacteze aceste conturi, printre care se afla și cel folosit de Jimmy.

În ziua atacului Bybit, investigatorul îl asociase cu Lazarus pe baza tranzacțiilor publice, atribuire susținută câteva zile mai târziu de autoritățile americane. El a legat și portofelele folosite pentru mutarea banilor de atacurile anterioare asupra Phemex și BingX.

ZachXBT spune că a observat același tipar de solicitări publice și în săptămâna dinaintea dezvăluirii sale, după atacul de 387 de milioane de dolari asupra Bitget. Directorul general al platformei și firmele de urmărire a tranzacțiilor Elliptic și Chainalysis au asociat acel incident cu Coreea de Nord.

Investigațiile sunt finanțate prin granturi și donații

ZachXBT urmărește de mai mulți ani criptomonede furate și identifică persoane despre care susține că se află în spatele fraudelor și atacurilor. Folosește date publice, verificabile, și și-a continuat activitatea după ce, în 2023, o persoană vizată de investigațiile sale l-a dat în judecată și i-a publicat date personale.

În 2024, urmărirea furtului a aproximativ 4.100 de bitcoin de la un creditor Genesis a contribuit la efectuarea unor arestări. În februarie 2025, Paradigm l-a angajat drept consilier pentru răspunsul la incidente. Cofondatorul Matt Huang afirma atunci că investigatorul ajutase la returnarea a peste 350 de milioane de dolari către victime ale atacurilor și fraudelor.

Granturile acordate de fundații și donațiile individuale îi finanțează activitatea și îi permit să accepte cazuri mai riscante, spune ZachXBT. Despre investigațiile legate de Coreea de Nord, acesta a adăugat: „Din 2022, am contribuit la blocarea a peste $75M în cazuri legate de Coreea de Nord”.

Investigatorul afirmă că a transmis imediat constatările sale unor investigatori de încredere din sectorul privat și organelor de anchetă repartizate cazului. Caracterul sensibil al investigației l-a împiedicat să publice mai devreme detaliile operațiunii.