ZachXBT bracht weken door binnen een Chinese crypto-witwasoperatie die gelinkt is aan de Bybit-hack van vorig jaar, en de inlichtingen die hij verzamelde hebben al geholpen bij het bevriezen van gestolen activa. De groep die hij infiltreerde is verbonden met de diefstal van meer dan $1,5 miljard van Bybit in 2025 — een aanval die wordt toegeschreven aan Noord-Koreaanse hackers. De operatie is een van de grootste crypto-overvallen ooit geregistreerd.
Hoe de infiltratie werkte
Details over de exacte methode zijn schaars, maar het beeld is duidelijk genoeg: ZachXBT nestelde zich in de communicatie en werkwijzen van de groep, zich voordoend als iemand die vuil geld kon verplaatsen. Die positie stelde hem in staat te zien hoe het geld werd verplaatst en wie het verplaatste. De informatie die hij verzamelde was specifiek genoeg om actie op te ondernemen. Bevriezingen van activa volgden.
De Bybit-hack, kort samengevat
De Bybit-datalek van 2025 was geen slimme smart contract-exploit of een gecompromitteerde privésleutel in de gebruikelijke zin. Het was een social engineering-operatie op grote schaal, en het spoor leidde naar Noord-Koreaanse staatsactoren. Meer dan $1,5 miljard verdween. Een dergelijke buit vereist witwasinfrastructuur — lagen van wallets, over-the-counter brokers en mensen die bereid zijn om besmette crypto om te zetten in iets besteedbaars. Dat is de machine waarin ZachXBT zich bevond.
Wat de bevriezingen daadwerkelijk betekenen
Het bevriezen van activa is moeilijker dan het klinkt. Zodra gestolen fondsen terechtkomen bij een mix van beurzen, bridges en OTC-desks, wordt het terugwinnen ervan een coördinatieprobleem tussen rechtsgebieden die niet altijd met elkaar communiceren. Het bevriezen van activa betekent dat iemand stroomopwaarts — een compliance-team van een beurs, een stablecoin-uitgever, een custody-provider — snel genoeg een geloofwaardige waarschuwing kreeg om te handelen. De inlichtingen die ZachXBT verzamelde lijken dat te hebben opgeleverd. Het is geen volledige terugvordering. Het is een gedeeltelijke verstikking van de pijplijn.
De crypto-diefstaloperatie van Noord-Korea is een door de staat gefinancierd inlichtingen- en sanctie-ontwijkingsprogramma dat toevallig gebruikmaakt van blockchain-rails. Witwasnetwerken zoals het netwerk dat ZachXBT binnendrong, vormen het bindweefsel tussen de hack en het geld. Het uitschakelen van één netwerk stopt het programma niet. Maar het dwingt de mensen die het runnen om infrastructuur opnieuw op te bouwen, nieuwe tegenpartijen te vinden en minder vreemden te vertrouwen. Die wrijving heeft een prijs.
De bevriezingen van activa zijn nog gaande, en het is nog niet duidelijk hoeveel er daadwerkelijk is teruggevorderd. ZachXBT heeft nog geen volledige uiteenzetting gepubliceerd van wat hij heeft gevonden of wie er nog meer bij betrokken was. Dat is waarschijnlijk de volgende stap — en zal waarschijnlijk sommige mensen in de witwas-keten zeer nerveus maken.
