Puntos clave de la noticia:
- ZachXBT se infiltró en una red criminal china que lavó más de $1.000 millones en fondos robados vinculados al Grupo Lazarus de Corea del Norte.
- El investigador arriesgó $349.700 en USDC haciéndose pasar por cliente, perdiendo un 5% por operación sin tener garantía de recuperar los fondos.
- La operación encubierta permitió congelar fondos del hackeo a Bybit de febrero de 2025 y rastrear actividad ilícita en múltiples blockchains.
El investigador onchain ZachXBT reveló que se infiltró en una red criminal china vinculada al Grupo Lazarus de Corea del Norte, haciéndose pasar por cliente para reunir inteligencia que permitió congelar fondos robados en el hackeo a Bybit de febrero de 2025, valuado en $1.500 millones.
La operación encubierta arrancó cuando ZachXBT detectó más de 15 cuentas en grupos públicos de Telegram y Discord solicitando ayuda para procesar órdenes directamente vinculadas a los fondos sustraídos.
El 6 de marzo de 2025, el investigador fondeó una nueva dirección de Ethereum con 349.700 USDC para ejecutar múltiples transacciones con un vendedor que operaba bajo el seudónimo «Jimmy Green«. La dirección receptora de Jimmy había sido financiada con gas por una wallet directamente trazable a los fondos del exploit de Bybit y figuraba en la lista negra pública del exchange.
2/ In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor', I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord.
Last week I shared how illicit… pic.twitter.com/EKLeuzOOXT
— ZachXBT (@zachxbt) October 5, 2026
ZachXBT Ha Ayudado a Congelar Más de $75 Millones Desde 2022
A medida que las operaciones avanzaron, Jimmy fue compartiendo detalles sobre la actividad del grupo en Hong Kong y China continental. Un día antes de que ocurriera, informó que los fondos serían movidos a Solana, y así sucedió. También afirmó que su equipo había lavado la mayor parte de los $1.500 millones sustraídos de Bybit, declaración que ZachXBT señaló como consistente con los patrones de lavado que había observado.
El 12 de marzo de 2025, Jimmy compartió una captura de pantalla mostrándose puenteando fondos. ZachXBT cruzó esa imagen con una transacción en el explorador de THORChain utilizando montos y tiempos. Tres direcciones de Solana aportadas por Jimmy revelaron además un clúster con más de $12 millones en fondos del exploit, que habían sido intercambiados entre Bitcoin, Ethereum, Solana y Tron. Tether congeló posteriormente $442.000 en USDT vinculados a ese clúster.
La investigación también rastreó otros $3 millones en fondos hasta una hot wallet de Huione Guarantee, entidad que desde entonces fue sancionada, y unos $300.000 congelados en 2024 que coincidieron con fondos del exploit de Poloniex.
ZachXBT reconoció que la operación implicó un riesgo financiero para él: puso en juego unos $349.700 sin garantías de que Jimmy no desapareciera con el dinero. Los hallazgos fueron compartidos de inmediato con investigadores del sector privado y autoridades, aunque la sensibilidad del caso impidió su publicación hasta ahora. Desde 2022, el investigador ha contribuido a congelar más de $75 millones vinculados a incidentes atribuidos a Corea del Norte.
