Chińska sieć przestępcza wyprała ponad 1 miliard dolarów dla grupy Lazarus, północnokoreańskiego syndykatu hakerskiego, według badacza blockchain ZachXBT. Odkrycie to było wynikiem wielomiesięcznej infiltracji, podczas której badacz podszył się za klienta, aby uzyskać dostęp do operacji sieci.
Wyprała fundusze obejmują pieniądze wyśledzone z ataku na Bybit o wartości 1,5 miliarda dolarów, jednego z największych kradzieży kryptowalut w historii. Praca ZachXBT pomogła prześledzić przepływ pieniędzy przez sieć chińskojęzycznych pośredników, którzy przenoszą skradzione kryptowaluty za opłatą.
Jak badacz dostał się do środka
ZachXBT nie włamał się do sieci za pomocą kodu. Podszył się za klienta. Udając kogoś, kto chce wypłacić lub przenieść duże sumy, skłonił członków sieci do rozmowy — udostępnili adresy portfeli, metody płatności i szczegóły dotyczące obsługi brudnych monet. Ten dostęp pozwolił mu zmapować powiązania między prawnikami a grupą Lazarus, zespołem hakerskim powiązanym z rządem Korei Północnej.
Sieć działa jak usługa bankowości cienia dla cyberprzestępców. Klienci wysyłają skradzione kryptowaluty; sieć zwraca czyste środki, często przez chińskich brokerów OTC, giełdy kryptowalut i handlowców peer-to-peer. Opłata wynosi zazwyczaj procent całości, co szybko się sumuje, gdy przenosi się setki milionów.
Atak na Bybit i ślad pieniędzy
W lutym 2025 roku atakujący uderzyli w Bybit, główną giełdę kryptowalut, i ukradli 1,5 miliarda dolarów w Ethereum i innych tokenach. Był to największy skok na kryptowaluty w historii, a skradzione aktywa szybko trafiły do procesu prania. Infiltracja ZachXBT pomogła prześledzić część tych funduszy do chińskiej sieci, która następnie mieszała je i przenosiła przez granice.
Kwota 1 miliarda dolarów powiązana z grupą Lazarus jest oddzielona od łupu z Bybit. Reprezentuje całkowity wolumen, jaki sieć wyprała dla syndykatu w czasie, według ustaleń ZachXBT. Oznacza to, że grupa była wieloletnim partnerem północnokoreańskich operacji kradzieży kryptowalut, a nie tylko jednorazowym wspólnikiem po Bybit.
Co to oznacza dla walki z przestępczością kryptowalutową
Firmy analizujące blockchain i organy ścigania od dawna wiedzą, że chińskie sieci prania pieniędzy są kluczowym elementem układanki skradzionych kryptowalut. Jednak dostanie się do jednej z nich jest rzadkością. Metoda ZachXBT polegająca na pracy pod przykrywką zadziałała, ponieważ sieć opiera się na zaufaniu i reputacji wśród przestępców. Gdy już się dostał, mógł zobaczyć, jak się komunikują, z jakich usług korzystają i jak próbują ukryć swoje ślady.
Ustalenia zwiększają presję na chińskie władze, które rozprawiły się z handlem kryptowalutami, ale wciąż mają trudności z kontrolowaniem podziemnych kanałów finansowych. Dają także Bybit i jego partnerom więcej tropów do zbadania. Giełda współpracuje ze śledczymi w celu zamrożenia i odzyskania funduszy, ale jak dotąd odzyskano tylko niewielką część z 1,5 miliarda dolarów.
Dla grupy Lazarus ujawnienie to kolejny cios. Syndykat jest już objęty sankcjami przez Departament Skarbu USA i poszukiwany przez FBI. Jednak sankcje nie powstrzymały ataków, a aresztowania północnokoreańskich pracowników IT za granicą nie zatrzymały przepływu pieniędzy. Sieć, którą infiltrował ZachXBT, może teraz zamilknąć lub zmienić taktykę, ale popyt na usługi prania pieniędzy pozostaje.
ZachXBT nie powiedział, czy przekazał swoje dowody organom ścigania. Opublikował swoje ustalenia w mediach społecznościowych, jak często robi, co wywołało nową kontrolę chińskiego ekosystemu prania pieniędzy. Nie jest jasne, czy ta kontrola doprowadzi do aresztowań lub konfiskat. Jasne jest jedno: atak na Bybit o wartości 1,5 miliarda dolarów nie był tylko kradzieżą — był testem, jak szybko skradzione kryptowaluty mogą zniknąć w systemie stworzonym do ich czyszczenia.
