ZachXBT soluttautui kiinalaiseen rahanpesuverkostoon jäljittääkseen Lazarus-ryhmän varoja
- ZachXBT maksoi 349 700 dollaria omasta pussistaan soluttautuakseen rahanpesuverkostoon ja saadakseen tietoa kontaktiltaan Jimmy Greeniltä.
- Tiedot johtivat yli 12 miljoonan dollarin Bybit-klusterin jäljittämiseen ja Tetherin 442 000 USDT:n jäädytykseen.
- ZachXBT arvioi saman verkoston pesseen yli miljardin dollarin edestä varoja Lazarus-ryhmälle useista hakkeroinneista.
- Kolmen miljoonan dollarin pesutoimeksianto johti myös Huione Guaranteehen, joka on liitetty DMM Bitcoin -hakkerointiin.
Tutkija maksoi omasta pussistaan lähes 350 000 dollaria päästäkseen sisään epäiltyyn rahanpesuverkostoon ja keräsi todisteita viranomaisille.
Kryptorikosten jäljittämiseen erikoistunut tutkija ZachXBT maksoi omasta pussistaan lähes 350 000 dollaria soluttautuakseen verkostoon, jonka hän epäili pesevän pohjoiskorealaisen Lazarus-ryhmän varastamia varoja.
ZachXBT julkaisi X:ssä 5. lokakuuta 12-osaisen ketjun, jossa hän avasi operaation taustat. Se alkoi 6. maaliskuuta 2025, pian sen jälkeen, kun hakkerit veivät Bybit-pörssistä noin 1,5 miljardin dollarin arvosta varoja helmikuussa 2025.
1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain.
– ZachXBT (@zachxbt) October 5, 2026
Ketjun avausviestissä ZachXBT kertoi soluttautuneensa kiinalaiseen rikollisverkostoon, joka on pessyt yli miljardi dollaria Lazarus-ryhmälle useista hakkeroinneista.
Hän esiintyi rahanpesuasiakkaana ja otti yhteyttä kontaktiin, joka tunnetaan vain nimellä Jimmy Green. Jokaisesta pesutoimeksiannosta veloitettiin viiden prosentin palkkio, eikä mikään taannut, ettei hän katoaisi rahoineen.
– Jimmyn kanssa toimimiseen liittyi henkilökohtaisia riskejä, joiden suuruutta en pystynyt arvioimaan, ZachXBT kirjoitti ketjussaan.
Jimmyn toimittamat Solana-osoitteet paljastivat yli 12 miljoonan dollarin osoiteklusterin (toisiinsa kytkeytyvän joukon lompakoita), joka koostui Bybit-iskusta peräisin olevista varoista. Rahat kulkivat bitcoinista etheriin, sitten solaan ja lopulta Tron-verkkoon THORChain-siltojen kautta. ZachXBT:n mukaan varojen kierrättäminen useiden lohkoketjujen kautta on tyypillistä pohjoiskorealaiselle Lazarus-ryhmälle.
Osana todistusaineistoaan ZachXBT julkaisi kuvakaappauksen 12. maaliskuuta 2025 tehdystä siirrosta, jonka tapahtumatunnus alkaa merkeillä 81a85130b3 ja on tarkistettavissa suoraan lohkoketjusta.
Tiedot johtivat toimiin, ja Tether jäädytti klusteriin yhdistetyt noin 440 000 USDT:tä.
ZachXBT arvioi saman kiinalaistaustaisen verkoston pesseen Lazarus-ryhmälle yhteensä yli miljardin dollarin edestä varoja useista hakkeroinneista.
Jimmy kertoi myös pesseensä kolmen miljoonan dollarin edestä varoja toiselle asiakkaalle. ZachXBT jäljitti summan Huione Guaranteehen – pakotteiden kohteena olevaan, Kambodžaan kytkeytyvään markkinapaikkaan, jonka entinen puheenjohtaja on jo pidätetty. Samaan alustaan hän liitti heinäkuussa 2024 35 miljoonan dollarin osuuden 305 miljoonan dollarin DMM Bitcoin -hakkeroinnista, jonka takana hän katsoi olevan niin ikään Lazarus-ryhmän.
Tavallisesti ZachXBT tunnetaan pelkkään lohkoketjudataan perustuvista selvityksistään, mutta tällä kertaa keskeinen osa työstä tehtiin ihmiskontaktin kautta. Hän kertoo rahoittavansa tällaiset operaatiot säätiöiden apurahoilla ja yksityishenkilöiden lahjoituksilla, joiden ansiosta hän voi ottaa suurempia riskejä tapauksissa, joita muut eivät pidä kannattavina.
ZachXBT ei kerro julkisesti, minkä viranomaisen kanssa hän on tehnyt yhteistyötä. Hän sanoo jättävänsä osan löydöksistään julkaisematta, koska niihin liittyvät tutkinnat ovat yhä kesken.
