ZachXBT потратил почти 350 000 долларов из собственного кармана, чтобы сыграть роль клиента: как развернулось тайное расследование сети по отмыванию денег?

Автор: Сяо Бин

5 октября детектив из блокчейна ZachXBT опубликовал в X тред из 12 постов с заголовком, состоявшим всего из одной фразы: “How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group.” («Как я проник в китайскую организованную преступную группировку, отмывшую более 1 млрд долларов по множеству взломов для группы Lazarus»).

Он удерживал эту информацию в секрете 18 месяцев, прежде чем обнародовать её. Это история его скрытой операции.

Начало истории: 15 аккаунтов в Telegram, открыто предлагающих «услуги»

В феврале 2025 года Bybit столкнулся с уязвимостью на сумму 1,5 млрд долларов. ZachXBT в тот же день связал эту атаку с северокорейской группой Lazarus Group, используя данные блокчейна, и спустя несколько дней ФБР подтвердило это предположение.

Но отслеживание кошельков атакующих — лишь половина дела. Краденые средства разделялись, смешивались и переводились между сетями прямо в блокчейне, миновав десятки маршрутов с ошеломляющей скоростью. Чтобы заморозить эти активы, одного лишь обнаружения адресов недостаточно. Нужно понимать, кто стоит за этими адресами, какой ритм операций они используют и в какую сеть переведут средства дальше.

Этих данных нет в блокчейне. Они хранятся в журналах переписки.

ZachXBT обнаружил в открытых группах Telegram и Discord более 15 аккаунтов, которые без стеснения вербуют «клиентов», помогая обрабатывать транзакции со средствами, украденными с Bybit. Операторы по отмыванию денег подавали заявки на «обработку жалоб клиентов» в публичных чатах, сообщая о сбоях с заказами, связанными с Bybit.

Особое внимание обратила на себя учетная запись пользователя Telegram, использующего псевдоним «Jimmy Green».

Путь в 350 тысяч долларов

6 марта 2025 года ZachXBT внес на новый адрес Ethereum собственные средства в размере 349 700 USDC. Затем он начал проводить сделки с Jimmy Green, представляясь обычным клиентом OTC.

За каждую сделку ZachXBT платил 5% комиссии — так называемую комиссию за отмывание от Джейми. Это означало, что при каждой операции он жертвовал своими деньгами ради завоевания доверия контрагента и получения разведданных.

Первая же сделка подтвердила его подозрения. Комиссии за газ (Gas) для адреса получателя, предоставленного Джейми, напрямую выводились к украденным с Bybit средствам, а этот кошелек-источник уже был отмечен в публичном черном списке Bybit.

Тем не менее ZachXBT не стал сразу раскрывать карты. Он продолжал проводить сделки, продолжал терять деньги и ждать, пока Джейми опустит бдительность.

Операторы начинают говорить

По мере укрепления доверия Джейми стал откровеннее.

Он начал заранее предупреждать о движении средств. Как-то раз он сообщил ZachXBT, что средства с Bybit будут переведены в сеть Solana на следующий день. На следующее день в блокчейне действительно произошел соответствующий перевод. Подобные разведданные имеют огромную ценность для отслеживания в блокчейне, поскольку позволяют исследователю заблаговременно определить целевые адреса, вместо того чтобы бесконечно гнаться за средствами.

Джейми также заявил, что его команда обработала большую часть украденных с Bybit средств. ZachXBT отметил, что это заявление полностью совпадает с закономерностями отмывания, которые он наблюдал самостоятельно в блокчейне.

Джейми поделился тремя адресами в Solana. Используя их как отправную точку, ZachXBT методом последовательного анализа выявил кластер кошельков, вовлеченный в отмывание более 12 млн долларов украденных с Bybit средств. Денежные потоки распространялись по четырем сетям: BTC, ETH, Solana и Tron.

В ходе другого разговора Джейми упомянул, что помог еще одному клиенту отмести 3 млн долларов мошеннических доходов. ZachXBT отследил эти средства и обнаружил, что они отправились на горячий кошелек Huione Guarantee. Huione Guarantee представляет собой камбоджийский рынок отмывания денег, работающий на базе Telegram, который впоследствии был признан американским ведомством FinCEN причастным к отмыванию как минимум 4 млрд долларов. Его бывший председатель правления был арестован.

Джейми также рассказал, что в 2024 году около 300 тыс. долларов партнерской команды были заблокированы. ZachXBT нашел эти заблокированные средства в блокчейне: фактическая сумма составила 332 000 USDC, полученных в ходе кражи с биржи Poloniex в ноябре 2023 года.

Между тем как обсуждалось серьезное, Джейми говорил о маджонге, охоте на диких кроликов, диетах для снижения веса, семейных делах и планах провести отпуск в Диснейленде.

Человек, который одновременно обрабатывает сотни миллионов долларов преступных доходов для Северной Кореи и планирует свой маршрут по паркам Disney.

От разведданных к блокировке: промежуточные звенья сложнее, чем кажется

В результате агентурной операции ZachXBT было достигнуто конкретное практическое решение: Tether заблокировал 442 000 USDT, связанных с этим кластером кошельков.

442 000 долларов. По сравнению с общей суммой ущерба в 1,5 млрд долларов эта цифра может показаться небольшой. Однако чтобы понять ее реальную ценность, нужно осознать, скольким этапам приходится пройти средствам от момента «обнаружения адреса» до их полной заморозки.

Блокчейн-аналитика способна лишь сказать, куда ушли деньги. Но чтобы остановить эти средства, требуется совершенно иной набор возможностей: эмитент стейблкоина (Tether) должен выполнить операцию заморозки, биржи должны оказать содействие в маркировке и блокировке, правоохранительные органы должны вмешаться в расследование и выдать официальные запросы. Каждый из этих этапов имеет свои процедуры, временные рамки и пороги соответствия регуляторным нормам.

ZachXBT сообщил, что передал результаты расследования частным детективам и правоохранительным органам, ведущим дело. Однако он скрыл информацию на 18 месяцев, сославшись на то, что «расследование находится в чувствительной стадии».

До этого эпизода он работал консультантом по инцидентам в криптофонде Paradigm. Но эта агентурная операция проводилась исключительно за его собственные средства. С 2022 года ему помогло заморозить криптоактивы на сумму свыше 75 млн долларов, связанных с Северной Кореей.

Три вопроса без однозначных ответов

Ценность операции ZachXBT заключается не только в раскрытии отмывочной сети, но и в том, что она обнажила несколько глубоких структурных проблем в инфраструктуре кибербезопасности криптоиндустрии.

Почему данных блокчейна недостаточно? Блокчейн прозрачен, и любую транзакцию может увидеть кто угодно. Но эта прозрачность означает лишь возможность увидеть поток средств от адреса A к адресу B. Вы не знаете, кто скрывается за адресом A, зачем они переводят эти деньги и в какую сеть они собираются перенаправить активы дальше. Ритм работы операторов, внутренняя координация и планы по переводу средств между сетями существуют в приватных чатах, а не в открытом реестре. Именно за такую невидимую в блокчейне информацию ZachXBT и заплатил 350 тыс. долларов.

Кто платит за безопасность в криптоиндустрии? ZachXBT провел масштабное агентурное расследование, по своей сути равное официальному оперативному мероприятию, используя собственные финансовые ресурсы. В традиционных финансах подобные задачи выполняют FBI, SEC или Интерпол, финансируемые за счет налогоплательщиков. В криптопространстве анонимный независимый аналитик работает за свой счет, рискуя собственным капиталом и физической безопасностью. Хотя после инцидента Bybit запустила программу вознаграждений для белых хакеров и специалистов по безопасности, операция ZachXBT началась до её запуска, и в момент принятия рисков никто не обещал компенсировать затраты.

Где проходит канал от разведданных к исполнению? Задача ZachXBT заключалась в выявлении адресов, установлении связей и сборе доказательств из чатов. Но для блокировки активов требуется координация с Tether, для поимки подозреваемых — международное полицейское сотрудничество, а для предъявления обвинений — стыковка судебных юрисдикций. В настоящее время этот процесс носит ситуативный характер: независимый исследователь выходит на контакт с правоохранителями через личные каналы, те связываются с эмитентом стейблкоина. Такой алгоритм может сработать в деле на 1,5 млрд долларов, но он абсолютно не масштабируется для тысяч ежедневных краж и мошенничеств в отрасли.

1,5 млрд долларов ущерба, 18 месяцев расследования, 350 тыс. долларов инвестиций в итоге привели к заморозке 442 тыс. долларов. Этот разрыв между показателями отражает реальное состояние инфраструктуры безопасности криптоиндустрии: храбрости и инструментов хватает, но не хватает институциональных каналов, способных эффективно связывать разведданные с силовым воздействием.