ZachXBT infiltreerde witwasnetwerk achter Bybit hack van $1,5 miljard

Crypto onderzoeker ZachXBT heeft maandenlang undercoverwerk gedaan binnen een Chinese criminele organisatie die volgens hem meer dan $1 miljard heeft witgewassen voor de Noord-Koreaanse hackersgroep Lazarus Group. Door zich voor te doen als klant verzamelde hij informatie die leidde tot bevriezingen van gestolen fondsen uit de Bybit hack van februari 2025, waarbij $1,5 miljard werd buitgemaakt.

In het kort:

• ZachXBT deed undercoverwerk bij een Chinese witwasorganisatie die banden heeft met de Lazarus Group en hielp daarmee fondsen uit de Bybit hack bevriezen.
• Via een contact genaamd Jimmy Green identificeerde hij een cluster van meer dan $12 miljoen aan gestolen Bybit fondsen en zorgde hij voor de bevriezing van 442.000 USDT door Tether.
• ZachXBT investeerde zelf $349.700 in het onderzoek en verloor op elke transactie 5%, zonder garantie dat het geld terugkwam.

Contact via Telegram leidde naar witwasnetwerk

Kort na de Bybit hack in februari 2025 zag ZachXBT een patroon van meer dan vijftien accounts die in openbare Telegram en Discord groepen hulp vroegen bij transacties die direct te herleiden waren naar gestolen fondsen.

Hij nam contact op met een van die accounts, een persoon die opereerde onder de naam Jimmy Green op Telegram, met gebruikersnaam @long_991 en Telegram ID 7635649994. Jimmy Green bood via Telegram diensten aan voor het witwassen van Bitcoin, Ethereum, Solana en Tron en werkte naar eigen zeggen samen met Noord-Koreaanse operaties.

Op 6 maart 2025 stortte ZachXBT $349.700 aan USDC op een nieuw Ethereum adres om meerdere transacties met Jimmy Green uit te voeren. Op elke transactie verloor hij 5%, zonder enige garantie dat het geld niet gewoon zou verdwijnen.

Bevriezingen en sporen naar grotere criminele netwerken

Jimmy Green deelde tijdens de gesprekken drie Solana adressen, waarmee ZachXBT een cluster van meer dan $12 miljoen aan gestolen Bybit fondsen kon identificeren. Het geld werd in realtime omgezet van Bitcoin naar Ethereum, Solana en Tron. Tether bevroor vervolgens 442.000 USDT die aan dit cluster waren gekoppeld. Daarnaast werd een nieuwe witwasmethode via Uniswap liquiditeitspools met nauwelijks verhandelde tokens ontdekt.

Uit de gesprekken bleek ook dat een team waarmee Jimmy Green samenwerkte in 2024 ongeveer $300.000 bevroren had zien worden. ZachXBT traceerde dit onchain en vond dat het ging om 332.000 USDC uit de Poloniex hack. Verder vertelde Jimmy Green dat hij $3 miljoen aan fraudeopbrengsten voor een andere klant had witgewassen. Die fondsen leidden naar een portemonnee van Huione Guarantee, een platform dat sindsdien onder sancties valt en waarvan de voormalige voorzitter is gearresteerd.

Blockchainanalysebedrijf TRM Labs bevestigde de geldstromen onchain. Uit een transactiegraph blijkt dat $7,41 miljoen vanuit het Bybit exploit adres via tussenadressen naar een adres gekoppeld aan Jimmy Green stroomde, en vervolgens via THORChain verder werd verspreid.

ZachXBT deelde bevindingen met opsporingsdiensten

ZachXBT geeft aan dat zijn bevindingen direct zijn gedeeld met vertrouwde onderzoekers in de private sector en met opsporingsdiensten die aan de zaak werken. Vanwege de gevoeligheid van het onderzoek kon hij niet eerder publiceren.

Volgens ZachXBT heeft hij sinds 2022 meer dan $75 miljoen aan bevriezingen in verband met Noord-Koreaanse hacks weten te bewerkstelligen. Voor dit onderzoek droeg hij zelf het financiële risico en zegt hij afhankelijk te zijn van donaties en subsidies van fondsen om dit soort risicovolle zaken te blijven doen.

De zaak volgt op een reeks van grote crypto diefstallen die aan Noord-Korea worden toegeschreven. De Bybit hack van februari 2025 geldt als een van de grootste in de geschiedenis van de crypto sector. Hoe groot het witwasnetwerk precies is en hoeveel personen erbij betrokken zijn, is nog niet volledig bekend.