ZachXBT внедрился в сеть отмывания денег Lazarus Group в Китае

Lazarus Group - северокорейская группировка, которую принято связывать практически с любым крупным взломом в криптоиндустрии - в очередной раз оказалась в центре расследования. Блокчейн-исследователь под псевдонимом ZachXBT заявил, что отследил сеть, через которую за последние годы прошло более $1 млрд похищенных у криптопроектов средств. Причём сделал он это не из кабинета аналитика, а притворившись реальным клиентом отмывочной конторы.

Как ZachXBT проник в китайскую сеть отмывания

В публикации на X от 5 октября ZachXBT рассказал, что внедрился в сеть еще в феврале 2025 года, буквально через несколько дней после взлома биржи Bybit на $1,5 млрд. Чтобы заслужить доверие одного из операторов сети, известного под псевдонимом "Jimmy Green", исследователь вложил в операции $349 700 в стейблкоинах и сознательно соглашался терять 5% с каждой сделки.

Звучит как сюжет шпионского фильма, но по сути это стандартная методика OSINT-расследователей: чтобы получить доступ к внутренней логистике отмывочной сети, нужно вести себя как её обычный клиент, а не как наблюдатель со стороны. По словам ZachXBT, операции сети охватывали и Гонконг, и континентальный Китай, что подтверждает давнее подозрение о роли китайских посредников в цепочке вывода северокорейских криптоактивов.

От взлома Bybit к Lazarus Group

Информация, полученная от самого отмывателя, помогла ZachXBT выявить кластер транзакций на сумму более $12 млн, связанных с эксплойтом Bybit. Часть этих средств позже заморозил Tether - эмитент USDT оперативно блокировал $442 000 в связанных токенах после того, как данные были переданы профильным структурам.

Деньги, похищенные у Bybit, прошли через ту же сеть посредников, что и средства с других крупных эксплойтов - это не разовая операция, а налаженный канал для Lazarus Group

Расследование примечательно именно тем, что даёт редкую возможность заглянуть внутрь посреднического звена, через которое проходят похищенные активы, прежде чем раствориться в легальной финансовой системе. По оценке Chainalysis, злоумышленники, связанные с Северной Кореей, украли к 2025 году как минимум $6,75 млрд в цифровых активах - и без таких посредников вывести эти суммы в реальные деньги было бы практически невозможно.

Многоступенчатая схема вывода похищенных активов

Северокорейские группировки давно отработали многоступенчатый процесс отмывания. Один из популярных приёмов - прыжки между блокчейнами и обмен токенов через децентрализованные биржи, мосты и прочие сервисы, которые затрудняют отслеживание потока средств. Каждый такой прыжок добавляет слой анонимности и усложняет работу аналитиков, даже если сама блокчейн-транзакция остаётся публичной.

Именно на этом фоне особенно ценны инструменты, которые позволяют не просто смотреть за движением токенов по блокчейну, а получать инсайдерскую информацию от самих участников цепочки. Кстати, тема прозрачности финансовых потоков в криптовалюте сейчас обсуждается и на регуляторном уровне - достаточно вспомнить, как Минфин США отступил от собственного правила против crypto-миксеров, что многие восприняли как сигнал о смягчении контроля именно в тот момент, когда отмывочные схемы через Азию становятся всё более изощрёнными.

Китайские посредники - давняя проблема, не новость

Связь между китайскими криптотрейдерами и северокорейскими злоумышленниками фиксировалась и раньше. Ещё в 2020 году власти США предъявили обвинения двум гражданам Китая в отмывании более $100 млн, похищенных у криптобиржи в 2018 году. В 2023 году Управление по контролю за иностранными активами Минфина США (OFAC) ввело санкции против двух криптотрейдеров - одного из Гонконга, другого из континентального Китая - за помощь в конвертации похищенных активов и обходе финансового контроля.

Новое расследование ZachXBT показывает, что эта инфраструктура не только не исчезла, а продолжает работать и расширяться, обслуживая всё более крупные взломы. По сути, для Lazarus Group такие посредники выполняют роль финансового моста между криптомиром и реальной экономикой, без которого украденные токены так и оставались бы просто цифрами на экране.

Та же схема во взломе Bitget и Kelp DAO

ZachXBT также связал китайских посредников с отмыванием средств после сентябрьского эксплойта Bitget на $387,5 млн. В публикации от 28 сентября он отметил, что те же участники, работающие в интересах северокорейских хакеров, открыто искали поддержку в публичных Discord-серверах и Telegram-каналах тех же сервисов, которые использовали для вывода средств.

Более того, один из операторов этой сети, по данным расследователя, ранее участвовал и в отмывании средств после эксплойта Kelp DAO на $292 млн в апреле. Получается, что речь не о разовых случайных совпадениях, а о постоянно действующей инфраструктуре, которую Lazarus Group использует для разных операций на протяжении всего 2025 года.

Что это значит для индустрии

Для обычного пользователя криптобиржи история с ZachXBT выглядит далёкой от его собственных забот, но на самом деле она напрямую связана с тем, насколько безопасны сами площадки, которыми мы пользуемся. Каждый крупный эксплойт в итоге финансирует одну и ту же инфраструктуру отмывания, а значит, усиливает возможности злоумышленников для следующей атаки.

Биржи и регуляторы по всему миру реагируют на это по-разному - кто-то усиливает требования к верификации получателей переводов, как это сделал Binance в Бразилии, заблокировав переводы без анкеты о получателе, а кто-то делает ставку на автоматизированный мониторинг с помощью ИИ, о чём недавно писали в материале про то, как ИИ-агенты перестают быть просто помощниками в крипто-безопасности. Но пока существует спрос на быстрый и анонимный вывод крупных сумм, подобные сети будут находить способ работать - и расследование ZachXBT лишний раз напоминает, что Lazarus Group остаётся одной из главных угроз для всей криптоиндустрии.

Автор

Barbados