ZachXBT mengatakan ia mendahulukan 349.700 dolar AS untuk menyamar sebagai klien pencuci uang yang terkait Lazarus

Penyelidik kripto pseudonim ZachXBT mengatakan ia menggunakan 349.700 dolar AS dari uangnya sendiri untuk menyamar sebagai klien pencuci uang asal China yang diduga bekerja untuk Korea Utara. ZachXBT mengatakan intelijen itu membantu mengamankan pembekuan dana terkait eksploitasi Bybit pada Februari 2025 dan mengidentifikasi aktivitas ilegal di blockchain publik. Eksploitasi Bybit menyebabkan kerugian 1,5 miliar dolar AS bagi bursa tersebut. FBI mengaitkan insiden itu dengan peretas Korea Utara yang dilacak dengan nama TraderTraitor.

ZachXBT mengatakan ia mengamati lebih dari 15 akun yang meminta bantuan untuk pesanan yang terkait langsung dengan dana curian di grup Telegram dan Discord publik tak lama setelah eksploitasi itu. ZachXBT mengamati pola yang sama pekan lalu setelah peretasan Bitget senilai 387 juta dolar AS. CEO Bitget serta perusahaan pelacakan blockchain Elliptic dan Chainalysis mengaitkan peretasan itu dengan Korea Utara. ZachXBT menghubungkan peretasan Bybit dengan Lazarus Group menggunakan data blockchain pada hari serangan, dan FBI mendukung atribusi itu beberapa hari kemudian. ZachXBT juga menunjukkan bahwa dompet yang mencuci dana Bybit terhubung dengan serangan Lazarus sebelumnya, termasuk peretasan Phemex dan BingX.

ZachXBT mulai mengirim pesan kepada akun-akun yang membahas pesanan terkait Bybit pada 2025, termasuk akun Telegram yang menggunakan nama Jimmy Green. ZachXBT mengatakan ia mendanai alamat Ethereum baru dengan 349.700 USDC pada 6 Maret 2025 untuk melakukan beberapa transaksi dengan Jimmy. Jimmy memberikan alamat untuk menerima USDC sebagai imbalan atas USDT di Tron. ZachXBT mengatakan biaya transaksi alamat tersebut didanai oleh dompet yang dapat dilacak langsung ke dana eksploitasi Bybit dan tercantum dalam daftar hitam publik terkait eksploitasi Bybit. ZachXBT mengatakan ia menyelesaikan transaksi tambahan untuk membangun kepercayaan. ZachXBT mengatakan Jimmy kemudian membahas rencana perpindahan dana Bybit untuk Korea Utara dan mengungkapkan rincian dasar operasi di Hong Kong dan China daratan. ZachXBT mengatakan Jimmy memprediksi pemindahan ke Solana sehari sebelum pemindahan itu terjadi.

ZachXBT mengatakan ia merugi 5% pada setiap pesanan, menghadapi risiko pribadi yang tidak diketahui besarnya, dan tidak mendapat jaminan bahwa Jimmy tidak akan menghilang membawa dana tersebut. Jimmy berulang kali menghubungi persona klien palsu itu pada 10 Maret sampai ZachXBT menjawab bahwa pesan-pesan itu mengurangi kepercayaannya terhadap bisnis tersebut. Jimmy menjawab bahwa timnya telah menyiapkan 1 juta dolar AS dan siap mulai bekerja kapan saja. Jimmy mengatakan timnya membagi tanggung jawab dan menyalurkan dana kepada penerima yang berbeda, dengan menggunakan istilah yang tampaknya merujuk pada stablecoin USDT milik Tether.

ZachXBT mengatakan ia mencocokkan tangkapan layar yang dikirim Jimmy pada 12 Maret 2025 dengan pesanan bridging yang dibuat beberapa menit setelah pesan itu. ZachXBT menggunakan jumlah dan waktu yang tercatat di penjelajah Thorchain, catatan publik mengenai pertukaran antarblockchain. Jimmy kemudian membagikan tiga alamat Solana. Alamat-alamat itu mengungkap klaster berisi lebih dari 12 juta dolar AS dana Bybit yang dicuri dan berpindah secara real time dari Bitcoin ke Ether, Solana, lalu Tron. Tether kemudian membekukan 442.000 USDT yang terkait dengan klaster tersebut.

Jimmy mengatakan sebuah tim yang dikenalnya memiliki sekitar 300.000 dolar AS yang dibekukan pada 2024, dan ZachXBT menemukan pembekuan itu di blockchain. Jumlah sebenarnya yang dibekukan adalah 332.000 USDC hasil pencurian dalam eksploitasi Poloniex. Peretasan Poloniex pada November 2023 menguras lebih dari 100 juta dolar AS dari bursa tersebut, dan para peneliti mengaitkan serangan itu dengan Lazarus Group. Jimmy juga mengklaim telah mencuci hasil penipuan sebesar 3 juta dolar AS untuk klien lain. ZachXBT melacak dana itu ke dompet panas yang digunakan Huione Guarantee, sebuah pasar Telegram yang menjual jasa pencucian uang kriminal dan data curian. Huione Guarantee merupakan bagian dari Huione Group di Kamboja, yang menjadi sasaran Jaringan Penegakan Kejahatan Keuangan Departemen Keuangan AS (Financial Crimes Enforcement Network) atas dugaan pencucian sedikitnya 4 miliar dolar AS. Telegram memblokir pasar itu pada Mei 2025. Otoritas China menangkap mantan ketua Huione Group Li Xiong setelah Kamboja mendeportasinya.

ZachXBT mengatakan percakapannya dengan Jimmy juga membahas mahjong, berburu kelinci, makanan, menu penurunan berat badan, kehidupan keluarga, dan liburan Disney. ZachXBT mengatakan ia telah membantu mengamankan pembekuan dana lebih dari 75 juta dolar AS terkait insiden Korea Utara sejak 2022. ZachXBT mengatakan ia segera membagikan temuan tersebut kepada penyelidik sektor swasta tepercaya dan aparat penegak hukum yang ditugaskan menangani kasus itu. ZachXBT mengatakan sensitivitas penyelidikan menghalangi publikasi lebih awal.

Pelacakan ZachXBT atas pencurian sekitar 4.100 BTC dari seorang kreditur Genesis pada 2024 membantu mengarah pada penangkapan. Paradigm mempekerjakan ZachXBT sebagai penasihat respons insiden pada Februari 2025. Salah satu pendiri Paradigm, Matt Huang, mengatakan ZachXBT telah mengembalikan lebih dari 350 juta dolar AS kepada korban peretasan dan penipuan. ZachXBT mengatakan hibah yayasan dan donasi individu memungkinkannya menangani kasus-kasus berisiko lebih tinggi seperti operasi ini.