El investigador de blockchain ZachXBT logró infiltrarse en una red de blanqueo de criptomonedas china vinculada al Lazarus Group de Corea del Norte, tras el hackeo de 1.500 millones de dólares a Bybit. Mediante el análisis de chats privados y registros públicos, ZachXBT ayudó a congelar los fondos robados y a exponer a los operadores responsables de gestionar el dinero de varios robos masivos.

El investigador de blockchain ZachXBT dice que se infiltró en una red china de lavado de criptomonedas vinculada al Grupo Lazarus de Corea del Norte tras el hackeo de 1.500 millones de dólares a Bybit.

Su investigación conectó chats privados con registros públicos de blockchain y, según afirma, ayudó a congelar fondos robados mientras exponía a operadores que aseguraban gestionar dinero procedente de varios robos importantes.

En una revelación el 5 de octubre en X, el investigador independiente señaló que el sindicato había lavado más de 1.000 millones de dólares a través de múltiples exploits. Esa cifra sigue siendo su propia evaluación, en lugar de un total confirmado por las autoridades. Los hallazgos ofrecen una mirada más cercana a las personas que mueven activos robados después de que los hackers vulneran las plataformas de criptomonedas.

Tras el robo de febrero de 2025, ZachXBT dijo que encontró más de 15 cuentas que buscaban ayuda con transacciones vinculadas a los fondos robados de Bybit en grupos públicos de Telegram y Discord. Se puso en contacto con un operador llamado “Jimmy Green” y se hizo pasar por un cliente.

El 6 de marzo de 2025, financió una billetera de Ethereum nueva con 349.700 USDC y comenzó a intercambiar USDC por USDT en Tron. Dijo que aceptó pérdidas de aproximadamente el 5% por pedido para generar confianza y mantener el acceso a la red.

Más tarde, el operador compartió direcciones de billeteras, capturas de pantalla y detalles anticipados sobre transferencias planificadas. Según ZachXBT, Jimmy afirmó que su equipo había procesado la mayoría de los activos robados de Bybit y operaba desde Hong Kong y China continental. Estas declaraciones son alegaciones de los chats, no pruebas de la identidad o ubicación del operador.

Relacionando Chats con Transferencias de Blockchain

El paso técnico clave fue contrastar lo que decía el operador con las transacciones registradas. ZachXBT informó que la billetera de recepción de Jimmy obtuvo "gas" (la criptomoneda utilizada para pagar las comisiones de transacción) desde una dirección vinculada al robo de Bybit.

Una captura de pantalla compartida el 12 de marzo supuestamente coincidía con una transferencia de THORChain tanto en tiempo como en cantidad. La evidencia proporcionada también muestra un identificador de cuenta de Telegram apareciendo en capturas de pantalla separadas, lo que ayudó a conectar el perfil privado del operador con la actividad en un grupo público de THORChain.

Tres direcciones de Solana ayudaron a ZachXBT a identificar un grupo de billeteras que involucraba más de 12 millones de dólares en fondos de Bybit. Describió el movimiento de dinero a través de Bitcoin, Ethereum, Solana y Tron. Cambiar de red añade pasos al rastro, pero hacer coincidir los montos y tiempos de transferencia puede ayudar a los investigadores a conectar esos pasos.

ZachXBT dijo que Tether congeló posteriormente 442.000 USDT vinculados a ese grupo. También compartió inteligencia con investigadores y fuerzas del orden para apoyar más congelaciones. Los informes disponibles no incluyen una declaración separada de Tether confirmando su papel en esa acción específica.

El FBI atribuyó el robo de Bybit del 21 de febrero de 2025 a Corea del Norte en su aviso del 26 de febrero, denominando la actividad como TraderTraitor. Advirtió que los activos robados se estaban dispersando a través de miles de direcciones en múltiples blockchains.

Anteriormente se informó sobre hackers norcoreanos moviendo 300 millones de dólares del robo de Bybit, proporcionando un contexto útil sobre el desafío del lavado de dinero.

ZachXBT dice que su trabajo ha ayudado a congelar más de 75 millones de dólares vinculados a incidentes de Corea del Norte desde 2022. Su relato más reciente también ha generado llamados de apoyo para investigadores independientes que enfrentan pérdidas financieras y riesgos personales. Las afirmaciones aún necesitan una mayor confirmación independiente.

Congelar activos no es lo mismo que devolverlos a las víctimas. Aun así, el caso demuestra cómo el trabajo encubierto paciente, el rastreo de blockchain y la notificación oportuna pueden crear oportunidades para bloquear fondos robados antes de que se muevan nuevamente.