Блокчейн изследователят ZachXBT съобщава, че е проникнал в китайска мрежа за пране на криптовалута, свързана със севернокорейската киберпрестъпна група Lazarus Group, след хакерската атака срещу Bybit за 1,5 милиарда долара.

Неговото разследване свързва лични чатове с публични блокчейн записи и според думите му е помогнало за замразяването на откраднати средства, като същевременно е разкрило оператори, твърдящи, че обработват пари от няколко големи кражби.

В публикация от 5 октомври в X независимият изследовател посочва, че синдикатът е изпрал над 1 милиард долара от множество пробиви. Тази цифра остава негова лична оценка, а не потвърдена обща сума от правоприлагащите органи. Разкритията дават по-подробен поглед върху лицата, които прехвърлят откраднати активи, след като хакери компрометират крипто платформи.

След кражбата през февруари 2025 г. ZachXBT споделя, че е открил над 15 профила в публични групи в Telegram и Discord, търсещи помощ за трансакции, свързани с откраднатите от Bybit средства. Той се свързва с оператор на име „Jimmy Green“ и се представя за клиент.

На 6 март 2025 г. той захранва нов Ethereum портфейл с 349 700 USDC и започва да обменя USDC за USDT в мрежата на Tron. Той заявява, че е приел загуби от около 5% на поръчка, за да изгради доверие и да запази достъпа си до мрежата.

По-късно операторът споделя адреси на портфейли, екранни снимки и предварителна информация за планирани преводи. Според ZachXBT Jimmy е твърдял, че екипът му е обработил по-голямата част от откраднатите активи на Bybit и е действал от Хонконг и континентален Китай. Тези твърдения са данни от чатовете, а не официално доказателство за самоличността или местоположението на оператора.

Съпоставяне на чатове с блокчейн преводи

Ключовата техническа стъпка е била проверката на казаното от оператора спрямо записаните трансакции. ZachXBT докладва, че получаващият портфейл на Jimmy е получил gas — криптовалутата, използвана за плащане на такси за трансакции — от адрес, свързан с кражбата от Bybit.

Екранна снимка, споделена на 12 март, съвпада с трансфер в THORChain както по време, така и по сума. Предоставените доказателства също така показват идентификатор на профил в Telegram, който се появява в отделни екранни снимки, помагайки за свързването на личния профил на оператора с активност в публична THORChain група.

Три Solana адреса са помогнали на ZachXBT да идентифицира клъстер от портфейли, включващ над 12 милиона долара от средствата на Bybit. Той описва движението на парите през Bitcoin, Ethereum, Solana и Tron. Превключването на мрежи добавя стъпки към следата, но съпоставянето на сумите и времето на трансферите помага на разследващите да свържат тези стъпки.

ZachXBT посочва, че по-късно Tether е замразила 442 000 USDT, свързани с този клъстер. Той също така е споделил разузнавателни данни с разследващи и правоприлагащи органи в подкрепа на последващи замразявания. Наличната информация не включва отделно изявление от Tether, потвърждаващо неговата роля в това конкретно действие.

ФБР приписа кражбата от Bybit от 21 февруари 2025 г. на Северна Корея в своя бюлетин от 26 февруари, наричайки активността TraderTraitor. Службата предупреди, че откраднатите активи се разпространяват в хиляди адреси в множество блокчейни.

Cybersecurity News по-рано съобщи за севернокорейски хакери, прехвърлящи 300 милиона долара от кражбата от Bybit, предоставяйки полезна предистория за предизвикателствата при прането на пари.

ZachXBT споделя, че работата му е помогнала за замразяването на над 75 милиона долара, свързани със севернокорейски инциденти от 2022 г. насам. Последният му доклад предизвика и призиви за подкрепа на независими изследователи, изправени пред финансови загуби и лични рискове. Твърденията все още се нуждаят от допълнително независимо потвърждение.

Замразяването на активи не е равносилно на връщането им на жертвите. Въпреки това случаят показва как търпеливата работа под прикритие, проследяването на блокчейн и навременното докладване могат да създадат възможности за блокиране на откраднати средства, преди те да бъдат преместени отново.