Китайская преступная сеть отмыла более $1 млрд для Lazarus Group — северокорейского хакерского синдиката, согласно данным блокчейн-исследователя ZachXBT. Это открытие стало результатом много-month infiltration, в ходе которой исследователь выдавал себя за клиента, чтобы получить доступ к операциям сети.
Отмытые средства включают деньги, отслеженные от взлома Bybit на $1,5 млрд — одной из крупнейших краж криптовалют в истории. Работа ZachXBT помогла проследить движение денег через сеть китайскоязычных посредников, которые за плату перемещают украденную криптовалюту.
Как исследователь проник внутрь
ZachXBT не взламывал сеть с помощью кода. Он притворился клиентом. Выдавая себя за человека, желающего обналичить или переместить крупные суммы, он заставил участников сети разговориться — они делились адресами кошельков, способами оплаты и деталями о том, как они обрабатывают «грязные» монеты. Этот доступ позволил ему установить связи между отмывателями и Lazarus Group — хакерской командой, связанной с правительством Северной Кореи.
Сеть действует как теневая банковская служба для киберпреступников. Клиенты отправляют украденную криптовалюту; сеть возвращает чистые средства, часто через китайских внебиржевых (OTC) брокеров, криптобиржи и P2P-трейдеров. Комиссия обычно составляет процент от общей суммы, что быстро накапливается, когда речь идет о сотнях миллионов.
Взлом Bybit и денежный след
В феврале 2025 года злоумышленники атаковали Bybit, крупную криптобиржу, и похитили $1,5 млрд в Ethereum и других токенах. Это была крупнейшая кража криптовалют за всю историю, и украденные активы быстро направили в схемы отмывания. Внедрение ZachXBT помогло отследить часть этих средств до китайской сети, которая затем смешала и переместила их через границы.
Сумма в $1 млрд, связанная с Lazarus Group, отличается от добычи Bybit. Она представляет собой общий объем, который сеть отмыла для синдиката за все время, согласно выводам ZachXBT. Это означает, что группа была давним партнером северокорейских операций по краже криптовалют, а не просто одноразовым пособником после Bybit.
Что это значит для борьбы с криптопреступностью
Фирмы по блокчейн-анализу и правоохранительные органы давно знают, что китайские сети по отмыванию денег являются ключевым элементом головоломки украденной криптовалюты. Но проникнуть внутрь одной из них удается редко. Подход ZachXBT под прикрытием сработал, потому что сеть построена на доверии и репутации среди преступников. Оказавшись внутри, он смог увидеть, как они общаются, какими сервисами пользуются и как пытаются замести следы.
Эти выводы усиливают давление на китайские власти, которые ужесточили борьбу с криптоторговлей, но по-прежнему с трудом контролируют подпольные финансовые каналы. Они также дают Bybit и ее партнерам больше зацепок для расследования. Биржа работает с следователями, чтобы заморозить и вернуть средства, но на данный момент удалось вернуть лишь небольшую часть из $1,5 млрд.
Для Lazarus Group эта разоблачение — очередной удар. Синдикат уже находится под санкциями Минфина США и в розыске ФБР. Но санкции не остановили взломы, а аресты северокорейских IT-специалистов за рубежом не остановили поток денег. Сеть, в которую внедрился ZachXBT, теперь может затихнуть или сменить тактику, но спрос на услуги по отмыванию остается.
ZachXBT не сообщил, передал ли он свои доказательства правоохранительным органам. Он опубликовал свои выводы в социальных сетях, как часто делает, что вызвало новую волну scrutiny китайской экосистемы отмывания. Приведет ли это к арестам или изъятиям, неясно. Ясно одно: взлом Bybit на $1,5 млрд был не просто кражей — это была проверка того, как быстро украденная криптовалюта может исчезнуть в системе, созданной для ее очистки.
