ZachXBT spędził tygodnie wewnątrz chińskiej operacji prania kryptowalut powiązanej z zeszłorocznym hakiem Bybit, a zdobyte przez niego informacje pomogły już w zamrożeniu skradzionych aktywów. Grupa, którą infiltrował, jest powiązana z kradzieżą ponad 1,5 miliarda dolarów z Bybit w 2025 roku — atakiem przypisywanym północnokoreańskim hakerom. Operacja ta jest jednym z największych napadów na kryptowaluty w historii.
Jak przebiegała infiltracja
Szczegóły dotyczące dokładnej metody są skąpe, ale obraz jest wystarczająco jasny: ZachXBT wtopił się w komunikację i przepływy pracy grupy, podając się za kogoś, kto mógłby przenosić brudne środki. Ta pozycja pozwoliła mu obserwować, jak przemieszczają się pieniądze i kto nimi zarządza. Zebrane przez niego informacje były na tyle konkretne, że można było podjąć działania. Nastąpiły zamrożenia aktywów.
Hak na Bybit w skrócie
Włamanie do Bybit w 2025 roku nie było sprytnym wykorzystaniem luki w inteligentnym kontrakcie ani kompromitacją klucza prywatnego w zwykłym sensie. Była to operacja inżynierii społecznej przeprowadzona na dużą skalę, a ślad prowadził do podmiotów powiązanych z północnokoreańskim państwem. Ponad 1,5 miliarda dolarów wyszło za drzwi. Tak duży łup wymaga infrastruktury do prania pieniędzy — warstw portfeli, brokerów OTC i ludzi gotowych wymienić skażone kryptowaluty na coś, co można wydać. To właśnie ta maszyneria, w której siedział ZachXBT.
Co właściwie oznaczają zamrożenia
Zamrażanie aktywów jest trudniejsze, niż się wydaje. Gdy skradzione środki trafią do mieszanki giełd, mostów i biur OTC, ich odzyskanie staje się problemem koordynacyjnym między jurysdykcjami, które nie zawsze ze sobą rozmawiają. Zamrożenie aktywów oznacza, że ktoś na wcześniejszym etapie — zespół ds. zgodności giełdy, emitent stablecoinów, dostawca usług powierniczych — otrzymał wiarygodne ostrzeżenie wystarczająco szybko, by podjąć działania. Informacje zebrane przez ZachXBT wydają się to zapewnić. To nie jest pełne odzyskanie. To częściowe zatkanie rurociągu.
Północnokoreańska operacja kradzieży kryptowalut to finansowany przez państwo program wywiadowczy i omijania sankcji, który przypadkiem wykorzystuje blockchain jako szyny. Sieci prania pieniędzy, takie jak ta, którą przeniknął ZachXBT, są tkanką łączną między hakiem a gotówką. Zlikwidowanie jednej nie zatrzymuje programu. Ale zmusza ludzi, którzy go prowadzą, do odbudowy infrastruktury, znalezienia nowych kontrahentów i zaufania mniejszej liczbie nieznajomych. To tarcie ma swoją cenę.
Zamrożenia aktywów trwają i nie jest jeszcze jasne, ile faktycznie odzyskano. ZachXBT nie opublikował pełnego rozbicia tego, co znalazł ani kto jeszcze był zaangażowany. To prawdopodobnie nastąpi — i prawdopodobnie sprawi, że niektórzy ludzie w łańcuchu prania pieniędzy staną się bardzo nerwowi.
