ZachXBT infiltreert in Chinees cryptonetwerk van ruim $1 miljard

Blockchainonderzoeker ZachXBT zegt een omvangrijk Chinees witwasnetwerk te hebben blootgelegd dat meer dan 1 miljard dollar aan gestolen crypto zou hebben verwerkt voor de Noord-Koreaanse Lazarus Group.

Om te achterhalen wie er achter de operatie zat, koos hij voor een opvallende aanpak. Hij deed zich maandenlang voor als betalende klant en zette daarbij honderdduizenden dollars van zijn eigen geld in.

Het onderzoek begon na de grote hack bij cryptobeurs Bybit. ZachXBT wist naar eigen zeggen het vertrouwen van een beheerder van het netwerk te winnen en kreeg zo zicht op de personen en geldstromen achter de operatie.

ZachXBT zet bijna 350.000 dollar in voor onderzoek

ZachXBT begon zijn infiltratie in februari 2025, kort na de hack bij Bybit. Hij deed zich voor als een klant die grote bedragen wilde laten verwerken door het netwerk.

Daarvoor gebruikte hij in totaal 349.700 dollar aan stablecoins. Dit zijn cryptomunten die zijn ontworpen om een stabiele waarde te behouden, meestal door een koppeling aan een traditionele munt zoals de Amerikaanse dollar.

De onderzoeker accepteerde bij transacties bewust een verlies van ongeveer vijf procent. Daarmee probeerde hij het vertrouwen te winnen van een van de beheerders van het netwerk, die bekendstaat als ‘Jimmy Green’.

Die strategie leverde hem volgens eigen zeggen uiteindelijk informatie op over de mensen en geldstromen achter de vermeende witwasoperatie. Het netwerk zou actief zijn geweest in Hongkong en op het Chinese vasteland.

Met de verzamelde informatie wist ZachXBT naar eigen zeggen meer dan 12 miljoen dollar te traceren dat verband hield met de Bybit-hack. Een deel daarvan kon vervolgens worden geblokkeerd. Tether bevroor volgens de onderzoeker 442.000 dollar aan USDT die aan de onderzochte transacties was gekoppeld.

Lazarus Group stal voor miljarden aan crypto

Het onderzoek biedt een inkijkje in de manier waarop Noord-Koreaanse hackers gestolen crypto mogelijk proberen wit te wassen. De Lazarus Group en andere hackers die aan Noord-Korea worden gelinkt, staan al jaren onder scherp toezicht van internationale opsporingsdiensten en blockchainonderzoekers.

Volgens analysebedrijf Chainalysis hebben hackers die met Noord-Korea in verband worden gebracht tot en met 2025 voor minstens 6,75 miljard dollar aan digitale bezittingen gestolen.

Het stelen van crypto is daarbij slechts de eerste stap. Daarna moeten de daders het geld verplaatsen zonder dat onderzoekers eenvoudig kunnen achterhalen waar het vandaan komt.

Dat gebeurt bijvoorbeeld via ‘chain-hopping’. Daarbij wordt crypto van de ene blockchain naar de andere verplaatst. Gestolen munten kunnen daarnaast worden omgewisseld via gedecentraliseerde handelsplatformen en zogenoemde bridges, waarmee crypto tussen verschillende blockchains kan worden overgezet.

Door bezittingen telkens te verplaatsen en om te wisselen ontstaat een lange keten van transacties. Daarmee proberen criminelen het spoor naar de oorspronkelijke hack moeilijker te volgen.

Chinese tussenpersonen zijn al eerder in verband gebracht met dergelijke praktijken. Amerikaanse aanklagers beschuldigden in 2020 twee Chinese staatsburgers van het witwassen van meer dan 100 miljoen dollar. Dat geld zou afkomstig zijn geweest van een aanval die Noord-Koreaanse hackers in 2018 uitvoerden op een cryptobeurs.

Ook het Amerikaanse Office of Foreign Assets Control (OFAC) trad later op. De instantie legde in 2023 sancties op aan twee handelaren uit Hongkong en China. Zij zouden Noord-Korea hebben geholpen bij het omzetten van gestolen digitale bezittingen en het omzeilen van financiële controles.

Ook andere grote cryptohacks komen in beeld

De bevindingen van ZachXBT gaan verder dan alleen de hack bij Bybit. De onderzoeker bracht Chinese actoren ook in verband met het witwassen van geld uit de hack op Bitget in september. Daarbij zou volgens hem 387,5 miljoen dollar zijn buitgemaakt.

Opvallend genoeg zouden de betrokken personen niet altijd voorzichtig hebben gehandeld. ZachXBT meldde dat Chinese actoren die vermoedelijk geld witwasten voor Noord-Koreaanse hackers openlijk om technische hulp vroegen in openbare Discord-servers en Telegram-kanalen van diensten die zij gebruikten.

Daarnaast zou een van de beheerders van het netwerk eerder betrokken zijn geweest bij het witwassen van geld uit de aanval op Kelp DAO in april. Bij die hack zou ongeveer 292 miljoen dollar zijn buitgemaakt.

Daarmee ontstaat volgens ZachXBT een beeld van een veel groter netwerk dan alleen de geldstromen rond Bybit. Noord-Koreaanse hackers zouden externe tussenpersonen inschakelen om gestolen crypto te verplaatsen en de herkomst ervan te verhullen. Het Chinese netwerk dat ZachXBT onderzocht, zou alleen al meer dan 1 miljard dollar voor de Lazarus Group hebben witgewassen.