Una rete criminale cinese ha riciclato più di 1 miliardo di dollari per il Lazarus Group, il sindacato di hacker nordcoreano, secondo l'investigatore blockchain ZachXBT. La scoperta è emersa da un'infiltrazione durata mesi, durante la quale il ricercatore si è finto un cliente per ottenere accesso alle operazioni della rete.
I fondi riciclati includono denaro tracciato dall'hack di Bybit da 1,5 miliardi di dollari, uno dei più grandi furti di criptovalute mai registrati. Il lavoro di ZachXBT ha contribuito a seguire il denaro attraverso una rete di facilitatori di lingua cinese che spostano criptovalute rubate dietro compenso.
Come il ricercatore è riuscito a entrare
ZachXBT non ha violato la rete con il codice. Si è finto un cliente. Fingendosi qualcuno che cercava di incassare o spostare grandi somme, ha indotto i membri della rete a parlare — condividendo indirizzi di portafoglio, metodi di pagamento e dettagli su come gestiscono monete sporche. Quell'accesso gli ha permesso di mappare le connessioni tra i riciclatori e il Lazarus Group, il team di hacker legato al governo nordcoreano.
La rete opera come un servizio bancario ombra per i cybercriminali. I clienti inviano criptovalute rubate; la rete restituisce fondi puliti, spesso attraverso broker over-the-counter (OTC) cinesi, exchange di criptovalute e trader peer-to-peer. La commissione è tipicamente una percentuale del totale, che si accumula rapidamente quando si spostano centinaia di milioni.
L'hack di Bybit e la pista del denaro
Nel febbraio 2025, gli attaccanti hanno colpito Bybit, un importante exchange di criptovalute, portando via 1,5 miliardi di dollari in Ethereum e altri token. È stato il più grande furto di criptovalute di sempre, e gli asset rubati sono stati rapidamente incanalati in pipeline di riciclaggio. L'infiltrazione di ZachXBT ha aiutato a tracciare una parte di quei fondi alla rete cinese, che poi li ha miscelati e spostati oltre confine.
La cifra di 1 miliardo di dollari legata al Lazarus Group è separata dal bottino di Bybit. Rappresenta il volume totale che la rete ha riciclato per il sindacato nel tempo, secondo le scoperte di ZachXBT. Ciò significa che il gruppo è stato un partner di lunga data per le operazioni di furto di criptovalute della Corea del Nord, non solo un complice occasionale dopo Bybit.
Cosa significa per la lotta al crimine cripto
Le società di analisi blockchain e le forze dell'ordine sanno da tempo che le reti di riciclaggio di denaro cinesi sono un tassello chiave del puzzle per le criptovalute rubate. Ma entrare in una di esse è raro. L'approccio sotto copertura di ZachXBT ha funzionato perché la rete è costruita sulla fiducia e sulla reputazione tra criminali. Una volta dentro, ha potuto vedere come comunicavano, quali servizi usavano e come cercavano di nascondere le loro tracce.
Le scoperte aggiungono pressione alle autorità cinesi, che hanno represso il trading di criptovalute ma ancora faticano a controllare i canali finanziari sotterranei. Forniscono anche a Bybit e ai suoi partner più piste da seguire. L'exchange ha collaborato con gli investigatori per congelare e recuperare fondi, ma finora è stata recuperata solo una piccola frazione degli 1,5 miliardi di dollari.
Per il Lazarus Group, l'esposizione è un altro colpo. Il sindacato è già sanzionato dal Tesoro degli Stati Uniti e ricercato dall'FBI. Ma le sanzioni non hanno fermato gli hack, e gli arresti di lavoratori IT nordcoreani all'estero non hanno fermato il flusso di denaro. La rete infiltrata da ZachXBT potrebbe ora tacere o cambiare tattica, ma la domanda di servizi di riciclaggio rimane.
ZachXBT non ha detto se ha consegnato le sue prove alle forze dell'ordine. Ha pubblicato le sue scoperte sui social media, come spesso fa, suscitando un nuovo esame dell'ecosistema di riciclaggio cinese. Non è chiaro se tale esame porterà ad arresti o sequestri. Ciò che è chiaro: l'hack di Bybit da 1,5 miliardi di dollari non è stato solo un furto — è stato un test di quanto rapidamente le criptovalute rubate possano svanire in un sistema costruito per ripulirle.
