$1 млрд для Lazarus: ZachXBT раскрыл китайскую сеть, отмывшую украденную криптовалюту

Китайский преступный синдикат отмыл для северокорейской хакерской группировки Lazarus Group более $1 млрд. Деньги были похищены в ходе нескольких атак на криптопроекты. Об этом сообщил блокчейн-расследователь ZachXBT. В соцсети X он рассказал, как внедрился в сеть отмывания под видом клиента.

Операция началась в феврале 2025 года, спустя считаные дни после взлома биржи Bybit на $1,5 млрд. Расследователь представился заказчиком и передал одному из операторов сети, Джимми Грину (Jimmy Green), $349 700 в стейблкоинах. Чтобы завоевать доверие, по каждому ордеру он соглашался на потерю в 5%.

По словам ZachXBT, схема работала одновременно в Гонконге и Китае. Данные, которые передал сам отмыватель, помогли выявить кластер адресов со средствами Bybit на сумму более $12 млн. Позже Tether заморозила связанные с ним USDt на $442 000.

Китайские посредники в схемах Северной Кореи

История показывает, как устроена цепочка, по которой уходят краденые деньги. Хакеры из КНДР, по данным Chainalysis, похитили в криптовалюте как минимум $6,75 млрд — с учётом данных за 2025 год. Отмывают такие суммы поэтапно. Один из приёмов — chain-hopping: средства переводят между блокчейнами, обменивают на другие токены через децентрализованные биржи и мосты, и след теряется среди множества транзакций.

Китайские посредники давно стали важным звеном этой схемы. В 2020 году власти США предъявили обвинения двум гражданам Китая в отмывании более $100 млн, украденных северокорейцами при взломе криптобиржи в 2018 году. А в 2023-м Управление по контролю за иностранными активами (OFAC) Минфина США ввело санкции против двух криптотрейдеров, из Гонконга и из Китая. По версии ведомства, они помогали КНДР конвертировать похищенные активы и обходить финансовый контроль.

Следы ведут к взлому Bitget и Kelp DAO

ZachXBT связал китайских участников с отмыванием средств после сентябрьского взлома Bitget на $387,5 млн. В публикации от 28 сентября он написал, что предполагаемые отмыватели действовали на удивление открыто. Они искали помощь в публичных Discord-серверах и Telegram-каналах сервисов, которыми пользовались.

По данным расследователя, один из операторов также участвовал в отмывании средств после апрельской атаки на Kelp DAO, где хакеры похитили $292 млн.