Блокчейн-расследователь ZachXBT сообщил, что потратил $349 700 собственных средств на внедрение в сеть отмывания криптоактивов, связанную с северокорейской Lazarus Group. Под видом клиента он получил доступ к внутренней переписке и данным о движении средств, украденных в ходе взлома Bybit на $1,5 млрд. Расследование, опубликованное 5 октября 2026 года в X, помогло выявить более $12 млн средств, связанных с Bybit, и привело к заморозке части активов.
По словам ZachXBT, в конце февраля 2025 года он вышел на оператора под псевдонимом «Jimmy Green» через публичные группы в Telegram и Discord, где искали помощь с транзакциями после взлома Bybit. 6 марта 2025 года он пополнил новый Ethereum-адрес на 349 700 USDC и согласился на комиссию в 5% для укрепления доверия. Первая ончейн-связь появилась через платёжный маршрут: адрес получателя был пополнен на газ кошельком, который отслеживается до эксплойта Bybit и внесён в публичный чёрный список биржи.
Следователь назвал группу «китайским организованным преступным синдикатом», который отмыл более $1 млрд для Lazarus Group. 12 марта 2025 года оператор прислал скриншот обмена 1,192 BTC на 51,73 ETH; ZachXBT сопоставил время и сумму с транзакцией в THORChain, которая через промежуточные кошельки вела к средствам Bybit. Оператор также заявил, что «на этот раз почти все 1,5 млрд ETH были отмыты нашей командой», хотя это утверждение не подтверждено правоохранительными органами.
Три адреса Solana, полученные в ходе переписки, вывели на кластер кошельков с более чем $12 млн средств, связанных с Bybit. Активы перемещались из биткоина в эфир, затем в Solana и Tron. По словам ZachXBT, Tether позднее заморозил 442 000 USDT, связанных с этим кластером. Отдельно в марте 2025 года T3 Financial Crime Unit с участием Tether, TRON и TRM Labs объявляла о заморозке почти $9 млн, а к октябрю 2025 года Tether сообщила о $19 млн, связанных с инцидентом Bybit.
ZachXBT также сообщил, что информация от того же контакта указала на другие нелегальные потоки: 332 000 USDC из взлома Poloniex 2023 года были заморожены в 2024 году, а ещё $3 млн прослеживались до кошелька, связанного с Huione Guarantee. Минфин США в 2025 году назвал Huione Group критическим узлом отмывания доходов северокорейских кибератак и отрезал её от американской финансовой системы. После взлома Bybit ZachXBT передал доказательства Arkham, связавшие атаку с Lazarus Group, и получил вознаграждение 50 000 ARKM.
ФБР ранее официально связало кражу с северокорейскими хакерами TraderTraitor. По данным Bybit, атака стала возможной из-за скомпрометированных учётных данных разработчика Safe; Verichains и Sygnia Labs не нашли следов взлома ядра биржи. Убыток составил $1,46 млрд, включая 401 347 ETH и ликвидные стейкинг-токены. Гендиректор Bybit Бен Чжоу сообщал, что на 4 марта 2025 года 77% средств оставались отслеживаемыми, 20% ушли в тень, 3% были заморожены; 83% украденного конвертировали в биткоин, значительная часть прошла через THORChain.
Chainalysis оценивает, что в 2025 году северокорейские хакеры украли рекордные $2,02 млрд в криптовалюте, а совокупный объём похищенного достиг минимум $6,75 млрд. ZachXBT заявил, что передавал данные частным расследователям и правоохранительным органам ещё во время операции, а с 2022 года помог заморозить более $75 млн по делам, связанным с КНДР. При этом публичных обвинений в адрес «Jimmy Green» пока нет, а предполагаемый масштаб сети не подтверждён независимо. На фоне публикации также отмечается, что 24 сентября 2026 года с Bitget было похищено $387 млн; Chainalysis связала кражу с Северной Кореей.