Как ZachXBT под прикрытием вскрыл отмывочную сеть для Lazarus Group

Расследователь ZachXBT снова нашёл способ попасть туда, куда обычным людям вход закрыт. На этот раз он выдал себя за клиента китайской организованной сети, которая отмыла более $1 миллиарда для северокорейской Lazarus Group, и собрал информацию, которая помогла заморозить часть средств, украденных у биржи Bybit в феврале 2025 года.

История стартовала сразу после одного из крупнейших взломов в истории криптоиндустрии и в итоге превратилась в многомесячную операцию под прикрытием с реальными деньгами на кону.

С чего всё начиналось: взлом Bybit и след Lazarus Group

Атака на Bybit, в результате которой биржа лишилась около $1,5 миллиарда, была приписана связанной с Северной Кореей группировке TraderTraitor, работающей под крылом Lazarus Group. Это далеко не первая история, где следы ведут к северокорейским хакерским структурам. ZachXBT, известный своими расследованиями ончейн-мошенничеств, начал копать сразу после инцидента и заметил, что в публичных Telegram- и Discord-группах более 15 аккаунтов активно предлагали услуги по обработке заказов, напрямую связанных с украденными средствами.

Он списался с несколькими из них. Один из аккаунтов использовал псевдоним "Jimmy Green" и охотно согласился на сотрудничество, не подозревая, с кем на самом деле ведёт переписку.

Операция под прикрытием: как ZachXBT заслужил доверие отмывателей

6 марта 2025 года ZachXBT пополнил новый Ethereum-адрес на 349 700 USDC - эти деньги должны были стать инструментом для серии сделок с Jimmy. Тот предложил схему обмена USDC на USDT в сети Tron. Проверив адрес для перевода, расследователь обнаружил, что на него поступал газ с другого кошелька, который напрямую связан со средствами со взлома Bybit.

Вместо того чтобы сразу бить тревогу, ZachXBT продолжил делать сделки с Jimmy, постепенно выстраивая доверие. Это сработало. Постепенно собеседник начал делиться деталями операции - рассказывал о том, как перемещаются средства Bybit в интересах северокорейских операторов, и давал общие сведения о работе группы в Гонконге и континентальном Китае.

Jimmy сказал мне за день до события, что средства будут переведены в сеть Solana. На следующий день это действительно произошло.

Такая точность предсказаний подтвердила, что собеседник действительно был вовлечён в реальную цепочку отмывания, а не просто выдавал себя за посредника.

Масштаб отмывочной сети Lazarus Group

По словам Jimmy, его команда отмыла большую часть из $1,5 миллиарда, украденных у Bybit. ZachXBT отметил, что это совпадает с паттернами перемещения средств, которые он наблюдал самостоятельно. 12 марта 2025 года собеседник поделился скриншотом с процессом бриджинга активов, и расследователь сопоставил его с реальной транзакцией в эксплорере THORChain по сумме и времени - совпадение оказалось точным.

Позже Jimmy раскрыл три адреса в Solana, которые привели к кластеру с более чем $12 миллионами средств со взлома Bybit. Эти деньги в реальном времени перебрасывались между Bitcoin, Ethereum, Solana и Tron - классическая многоцепочечная схема, усложняющая отслеживание. Около $442 000 в USDT из этого кластера в итоге заморозила компания Tether. Подобная активность на Solana в очередной раз показывает, насколько сеть стала удобной площадкой не только для легитимных институциональных проектов - вроде моста между Solana и J.P. Morgan для расчётов, - но и для быстрого перемещения грязных денег.

Отдельно ZachXBT зафиксировал схему отмывания через пулы ликвидности Uniswap и неликвидные токены - метод, позволяющий размывать происхождение средств за счёт низкой прозрачности таких активов.

Другие следы: Poloniex и Huione Guarantee

Переписка с Jimmy раскрыла и побочные сюжеты. Он упомянул, что у знакомой ему команды в 2024 году заморозили около $300 000, и позже выяснилось, что эти средства были связаны со взломом биржи Poloniex. Также Jimmy рассказывал об отмывании $3 миллионов мошеннических доходов для другого клиента - эти деньги были прослежены до горячего кошелька, связанного с Huione Guarantee, площадкой, которая с тех пор попала под санкции.

Любопытно, что переписка не сводилась только к деловым вопросам. Jimmy рассказывал про маджонг, охоту на диких кроликов, семейную жизнь и поездки в Диснейленд. Корявую грамматику собеседника ZachXBT объясняет использованием переводчика - собеседник явно не рассчитывал, что его слова станут частью публичного расследования.

Цена расследования и дальнейшие последствия

Такая операция обошлась ZachXBT не только временем. Он лично профинансировал 349 700 USDC и терял по 5% на каждой сделке - без каких-либо гарантий, что отмыватель в какой-то момент просто не исчезнет с деньгами. Риск был реальным, а подстраховки в виде страховки или возврата средств не существовало.

С 2022 года ZachXBT помог заморозить более $75 миллионов, связанных с инцидентами, которые приписывают северокорейским структурам. Он подчеркнул, что результаты этого расследования были немедленно переданы доверенным специалистам в приватном секторе и правоохранительным органам, которые занимаются этим делом. Из-за чувствительности информации публикация материалов была отложена - подробнее о самой схеме и рискованной игре расследователя уже писали в материале про Lazarus Group и китайских отмывателей.

Что это значит для индустрии

История с Bybit это очередное напоминание, что отмывание крупных сумм давно превратилось в отдельную теневую индустрию со своей логистикой, клиентской поддержкой и даже неформальной культурой общения между "менеджерами". Lazarus Group остаётся одной из самых результативных хакерских структур в мире именно потому, что за годы работы выстроила устойчивые каналы вывода средств через десятки посредников, бирж и блокчейнов.

Параллельно с этим в регуляторной среде идут противоречивые процессы. С одной стороны, расследователи типа ZachXBT добровольно тратят собственные деньги и время, чтобы заморозить хоть часть украденного. С другой - в США недавно отменили ряд норм контроля за самостоятельными кошельками и криптомиксерами, о чём писали в материалах про отмену надзора FinCEN за самостоятельным кошельком и отмену правила против crypto-миксеров. На этом фоне частные расследования вроде описанного выше становятся едва ли не единственным эффективным инструментом против схем, которые использует Lazarus Group для вывода украденных средств в легальный оборот.

Для обычного пользователя биржи этот случай - лишний повод относиться с подозрением к любым P2P-предложениям обмена криптовалюты от незнакомых контактов в Telegram или Discord, даже если схема похожа на обычный bybit p2p-трейдинг. Слишком часто за привлекательным курсом обмена скрывается именно та самая цепочка отмывания, которую полгода распутывал ZachXBT.

Автор

Barbados