Lazarus Group и китайские отмыватели: ZachXBT сыграл в опасную игру за $349,700

Группировка Lazarus Group давно считается главным подозреваемым во взломах крупных криптобирж, но мало кто решается влезть внутрь ее отмывочной машины лично. Блокчейн-расследователь ZachXBT пошел именно на это: он вложил собственные $349,700, выдал себя за клиента китайской преступной сети и несколько месяцев следил, как через нее проходят украденные у Bybit средства. Результатом стала заморозка части похищенных активов и редкий взгляд на то, как устроена изнанка крипто-отмывания для северокорейских операторов.

Lazarus Group и взлом Bybit на $1,5 миллиарда

История тянется с февраля 2025 года, когда биржа Bybit лишилась рекордной суммы в результате одного из крупнейших взломов в истории криптовалют. ФБР приписало взлом Bybit на сумму около $1,5 миллиарда северокорейским злоумышленникам, которых отслеживает как TraderTraitor, 26 февраля 2025 года. Именно ZachXBT первым публично связал этот инцидент с Lazarus Group, проанализировав ончейн-данные, и это предположение позже подтвердило ФБР.

Связь с Lazarus Group не стала сенсацией сама по себе - группировка годами ассоциируется с кражами криптовалюты в пользу северокорейского режима. Показательна и статистика по 2025 году в целом. По данным Chainalysis, северокорейские злоумышленники вывели $2,02 миллиарда в цифровых активах за 2025 год, доведя совокупную сумму до более $6,75 миллиарда. На этом фоне история с Bybit выглядит частью куда более масштабной системы, а не разовым эпизодом.

Как ZachXBT внедрился в сеть отмывателей

Расследователь не стал наблюдать за движением средств со стороны, а решил зайти внутрь системы. После февральской кражи ZachXBT обнаружил более 15 аккаунтов, искавших помощь в операциях, связанных с украденными у Bybit средствами, в публичных группах Telegram и Discord, и вышел на оператора по имени "Jimmy Green", выдав себя за клиента.

Дальше началась настоящая оперативная работа. 6 марта 2025 года он профинансировал свежий Ethereum-кошелек на 349,700 USDC и начал обменивать USDC на USDT в сети Tron, сознательно теряя около 5% на каждой операции, чтобы сохранить доступ к сети. Такая потеря на комиссиях была своего рода входным билетом - способом доказать, что он настоящий платящий клиент, а не следователь.

Сам ZachXBT описал это так:

"Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain."

Стоило оператору довериться новому "клиенту", и он начал делиться деталями заранее. Один из Ethereum-адресов, предоставленных во время транзакций, получал газ с кошелька, который ZachXBT напрямую связал с похищенными у Bybit средствами, а Bybit к тому моменту уже создала публичный черный список адресов злоумышленника для распространения среди расследователей. Более того, по словам ZachXBT, Green сообщал ему о переводе связанных с Bybit активов в сеть Solana за день до того, как соответствующие транзакции появлялись в блокчейне.

Что в итоге удалось вычислить и заморозить

Собранная за месяцы переписка и транзакции сложились в конкретную картину. ZachXBT связывает операцию с заморозкой Tether 442,000 USDT после того, как он выявил кластер кошельков, связанный со взломом Bybit и оцененный более чем в $12 миллионов. Для частного расследователя без полномочий правоохранительных органов это серьезный результат - коммерческие площадки и компании-кастодианы такого доступа к внутренней кухне отмывочной схемы обычно не получают.

При этом масштаб самой сети, по оценке ZachXBT, выходит далеко за рамки одного взлома. Расследователь заявил, что китайская преступная группировка отмыла более $1 миллиарда через множество эксплойтов для северокорейской Lazarus Group. Стоит отметить, что эта цифра - оценка самого исследователя, а не официально подтвержденная правоохранительными органами сумма, на что прямо указывают некоторые источники.

Отдельно интересна структура самой отмывочной сети. Расследователь охарактеризовал организацию как китайское преступное предприятие, деятельность которого распространяется на Гонконг и материковый Китай. Иными словами, речь не о разовых мулах, а о выстроенной инфраструктуре с собственными брокерами, курсами и репутацией среди "клиентов".

Bybit: биржа, которая оказалась в центре истории

Bybit это одна из крупнейших криптобирж мира, и именно ее масштаб сделал взлом настолько заметным. Для пользователей, которые до сих пор выбирают, где торговать, такая история служит напоминанием, что даже крупная площадка не гарантирует стопроцентной защиты от атак на свою инфраструктуру. Тем не менее сама биржа продолжает работать и развивать линейку сервисов:

• можно скачать bybit (bybit download) и установить bybit apk на смартфон;
• для прямых сделок между пользователями работает bybit p2p;
• для активных трейдеров действуют программы bybit vip и bonus bybit;
• биржа спонсирует команду Формулы-1 - отсюда и запрос bybit redbull;
• доступна торговля через привычный терминал bybit mt5;
• рейтинг площадки на bybit trustpilot остается одним из заметных среди крупных бирж;
• регистрация по ссылке bybit ref дает новым пользователям дополнительные условия;
• внутри экосистемы используется токен bybit coin;
• актуальные адреса для депозитов и вывода стоит проверять только через bybit официальный сайт, а не через сторонние ссылки.

Этот список не случаен - именно подмена официальных адресов и фишинговые клоны приложений остаются одним из самых простых способов украсть средства у пользователей, независимо от репутации самой биржи.

Почему это важно не только для жертв взлома Bybit

История ZachXBT показывает, что классические инструменты AML - заморозки от эмитентов стейблкоинов, черные списки адресов, сотрудничество с правоохранителями - работают только тогда, когда у кого-то есть доступ к внутренней информации отмывочной сети. В случае с Lazarus Group этим "кем-то" оказался независимый расследователь, готовый рискнуть почти 350 тысячами долларов собственных денег.

На фоне таких историй особенно заметна и другая тенденция - попытки регуляторов балансировать между контролем за потоками и приватностью пользователей. Например, в США уже обсуждали, как именно должен выглядеть надзор за самостоятельными кошельками, о чем мы писали в материале про отмену правил FinCEN для биткоин-кошельков. Похожая логика касается и сервисов анонимизации средств - подробнее об этом можно прочитать в статье о том, как Минфин США отступил по правилу против crypto-миксеров. А более широкий контекст о пересмотре подходов к слежке за личными кошельками собран в тексте о том, почему США отказались от слежки за личными крипто-кошельками.

Для обычного пользователя крипторынка вывод простой и не новый. Lazarus Group и подобные ей структуры не остановятся сами, пока существуют площадки для отмывания похищенных средств, а значит единственная реальная защита - это осторожность на уровне собственного кошелька, проверка адресов перед переводом и здоровое недоверие к любым "выгодным" предложениям обменять крупную сумму в обход официальных каналов.

Автор

Barbados