BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
zachxbt, самый известный в крипто-сообществе независимый расследователь блокчейн-мошенничеств, рассказал, как лично внедрился в китайскую группировку, отмывавшую деньги для северокорейского Lazarus Group. Для этого он потратил из своего кармана почти $350 тысяч, выдавая себя за обычного клиента отмывателей, и в итоге помог заморозить миллионы долларов, украденных во время взлома Bybit.
Что случилось на самом деле
История началась в феврале 2025 года, когда биржа Bybit потеряла $1,5 миллиарда в результате одного из крупнейших взломов в истории криптоиндустрии. ФБР позже официально связало атаку с северокорейской группировкой, которую отслеживают под именем TraderTraitor - это один из рабочих псевдонимов все того же Lazarus Group. zachxbt практически сразу после инцидента опубликовал собственный анализ on-chain данных, указав на причастность северокорейских злоумышленников, и федералы подтвердили его выводы спустя считаные дни.
Но одно дело - отследить движение средств по блокчейну, и совсем другое - залезть внутрь самой схемы отмывания. Именно это и сделал zachxbt, заметив в публичных Telegram- и Discord-группах подозрительную активность: более 15 аккаунтов открыто просили помощи с "ордерами", напрямую связанными с украденными у Bybit монетами.
Как работала схема с Jimmy Green
6 марта 2025 года zachxbt завел новый кошелек и закинул туда 349,7 тысячи USDC в сети Ethereum, готовясь к серии транзакций с человеком, который представлялся в Telegram как Jimmy Green. Тот дал адрес для перевода USDC в обмен на USDT в сети Tron - классическая схема для увеличения ликвидности отмывателей.
Выяснилось, что указанный адрес ранее получал газ с кошелька, напрямую связанного с похищенными у Bybit средствами и уже помеченного в публичном блэклисте биржи. Чтобы заслужить доверие Jimmy, zachxbt провел с ним еще несколько сделок, соглашаясь терять по 5% с каждого ордера - именно такая комиссия закладывалась в схему отмывания.
На этом этапе я понял, что мне нужно продолжать терять 5% с каждого ордера и рассчитывать на то, что удастся собрать как можно больше действенной информации как можно быстрее.
Риск был реальным - никаких гарантий, что Jimmy не исчезнет с деньгами, не было, да и личная безопасность при контакте с синдикатом оставалась под вопросом. Тем не менее ставка сыграла. Jimmy начал заранее рассказывать о планах по перемещению денег для Северной Кореи, включая детали работы команды в Гонконге и континентальном Китае.
Доказательства, которые невозможно оспорить
Ключевым подтверждением стала точность предсказаний собеседника. Jimmy за сутки сообщил, что средства переведут в сеть Solana, и на следующий день это действительно произошло - zachxbt сверил скриншот от Jimmy с реальным ордером на публичном эксплорере протокола Thorchain, который фиксирует все свопы между блокчейнами.
Дальше Jimmy сам поделился тремя адресами в Solana, которые вывели расследователя на кластер более чем в $12 миллионов украденных у Bybit средств, прыгающих в реальном времени от Bitcoin к Ether, затем к Solana и в итоге к Tron. Tether впоследствии заморозил 442 тысячи USDT, связанных с этим кластером - еще одно подтверждение того, что компания Tether продолжает активно сотрудничать с расследователями, несмотря на то что регуляторы периодически критикуют индустрию стейблкоинов за недостаточную прозрачность (к слову, тема регулирования крипто-инфраструктуры в США снова на подъеме после того, как Минфин отменил правило против крипто-миксеров).
Jimmy не ограничился одним эпизодом. Он упомянул, что у знакомой команды в 2024 году заморозили около $300 тысяч, и zachxbt нашел подтверждение в блокчейне - на самом деле речь шла о 332 тысячах USDC, похищенных во время взлома Poloniex в ноябре 2023 года, который исследователи также связывают с Lazarus Group.
Камбоджийский след и Huione Guarantee
Самым неожиданным поворотом стало признание Jimmy о том, что он отмыл $3 миллиона для другого клиента, занимавшегося мошенничеством. zachxbt проследил эти средства до горячего кошелька, принадлежащего Huione Guarantee - торговой площадке в Telegram, где злоумышленники продавали услуги по отмыванию денег и украденные персональные данные.
Huione Guarantee входит в структуру Huione Group - камбоджийского конгломерата, который американская FinCEN обвиняла в отмывании как минимум $4 миллиардов. В мае 2025 года Telegram заблокировал площадку, а китайские власти арестовали бывшего председателя Huione Group Ли Сюна после его депортации из Камбоджи.
Интересная деталь - несмотря на криминальный характер переписки, Jimmy и zachxbt успели поговорить и о бытовых вещах. По словам расследователя, собеседник рассказывал про маджонг, охоту на диких кроликов, диету для похудения, семью и отпуск в Диснейленде - обычная жизнь человека, который днем занимается отмыванием денег для северокорейского режима.
Почему это важно для всей индустрии
zachxbt не новичок в подобных расследованиях. С 2022 года он утверждает, что помог заморозить более $75 миллионов, связанных с инцидентами, которые приписывают Северной Корее. В феврале 2025 года компания Paradigm наняла его как советника по реагированию на инциденты, а сооснователь фонда Мэтт Хуанг заявил, что благодаря работе zachxbt жертвам хаков и скама вернули более $350 миллионов.
Финансирует такие рискованные операции zachxbt за счет грантов от фондов и пожертвований частных лиц - именно это, по его словам, позволяет ему брать на себя подобные дорогостоящие и опасные расследования. Схожая история повторилась буквально на прошлой неделе после взлома биржи Bitget на $387 миллионов, который генеральный директор биржи и фирмы Ellipic и Chainalysis также связали с Северной Кореей.
Для обычного пользователя криптобиржи эта история работает как напоминание - независимо от того, ищете вы, где купить bybit coin, следите за курсом через bybit vip-программу или просто пользуетесь обменом bybit p2p, инфраструктура отмывания украденных денег куда масштабнее и организованнее, чем кажется на первый взгляд. Пока биржи и расследователи вроде zachxbt гоняются за злоумышленниками, индустрия в целом продолжает искать баланс между анонимностью и безопасностью - похожие дискуссии разворачиваются и вокруг децентрализованных протоколов, например, в контексте того, как Ethereum готовится к обновлению Glamsterdam, или того, как технологии искусственного интеллекта меняют подход к кибербезопасности в крипто-индустрии.
Что это значит для пользователей бирж
Расследование zachxbt лишний раз подчеркивает, насколько уязвимой остается инфраструктура крупных площадок. Даже если вы просто качаете bybit apk на телефон или заходите через bybit официальный сайт, стоит понимать, что за кулисами крупных взломов стоят не одиночки, а целые синдикаты с разделением труда, как описывал Jimmy: одни получают украденные токены, другие распределяют их между "акцепторами", третьи выводят через микс сетей и мостов.
История также показывает, что заморозка похищенных средств через Tether и сотрудничество с биржами остается одним из немногих реально работающих механизмов возврата денег жертвам. Параллельно крупные финансовые игроки пытаются выстроить более устойчивую инфраструктуру расчетов - например, материнская компания Kraken недавно запустила расчеты в долларах в режиме 24/7 совместно с Singapore Gulf Bank, что тоже можно считать ответом индустрии на растущие риски мошенничества и отмывания.
zachxbt подчеркнул, что не публиковал детали расследования сразу - вся собранная информация сначала попала к доверенным частным расследователям и правоохранительным органам, которые вели дело. Публикация появилась только после того, как чувствительность ситуации позволила раскрыть подробности без риска для продолжающегося следствия.
