ZachXBT se infiltró en una red que lavó más de 1.000 millones para Lazarus: cómo funciona el esquema y qué tiene que ver con tu USDT

Cómo el detective entró en la red

El 21 de febrero de 2025 robaron cerca de 1.500 millones de dólares al exchange Bybit, el mayor robo de la historia de las criptomonedas. El 26 de febrero el FBI atribuyó el ataque a Corea del Norte y llamó a esa actividad TraderTraitor. Robar es solo la mitad: después hay que convertir las monedas en dinero que ninguna base de marcas reconozca. Ahí entran los intermediarios.

ZachXBT encontró en grupos abiertos de Telegram y Discord más de 15 cuentas que ofrecían «procesar» transferencias con fondos del hackeo de Bybit. Contactó a uno de los operadores, que se hacía llamar Jimmy Green, haciéndose pasar por cliente. Según Jimmy, su equipo opera desde Hong Kong y China continental y movió la mayor parte de lo robado a Bybit. Desde fuera no hay forma de comprobarlo, y el propio ZachXBT lo presenta como una afirmación del operador.

Lo que costó la confianza

El 6 de marzo de 2025 el detective creó una dirección nueva en Ethereum y la fondeó con 349.700 USDC de su propio dinero. La primera operación fue un cambio de USDC por USDT en la red Tron a través de las direcciones de Jimmy. Cada operación costaba alrededor del 5% del importe, y ZachXBT aceptaba esa pérdida para que lo trataran como cliente habitual.

El operador compartía sin reparos: direcciones, capturas de pantalla y, por adelantado, datos de próximas transferencias. El detective contrastaba cada palabra con la blockchain:

• la billetera donde Jimmy recibía el dinero obtuvo fondos para el gas desde una dirección vinculada al hackeo de Bybit;
• las horas e importes de los chats coincidían con transacciones en Bitcoin, Ethereum, Solana y Tron;
• cuando el operador envió una captura de una transferencia por un puente, en THORChain apareció la orden correspondiente en esos mismos minutos.

Qué se logró congelar

Tres direcciones de Solana que dio Jimmy llevaron a un grupo de billeteras por el que circulaban en tiempo real más de 12 millones de dólares del hackeo de Bybit: de bitcoin a ether, luego a Solana y a Tron. Tether congeló unos 442.000 USDT que estaban en ese grupo, en la dirección de un pool de Uniswap V2.

Por el camino salieron dos historias más. Jimmy mencionó que en 2024 a su equipo le congelaron unos 300.000 dólares. En la blockchain ZachXBT encontró ese congelamiento: 332.000 USDC del hackeo del exchange Poloniex. El operador también contó que movió unos 3 millones de dólares de fraudes para otro cliente. El detective rastreó esos fondos hasta una billetera caliente de Huione Guarantee, plataforma del grupo camboyano Huione Group. En mayo de 2025 FinCEN, la unidad de delitos financieros del Tesoro de EE. UU., declaró a ese grupo una preocupación principal de lavado de dinero.

En total, según ZachXBT, desde 2022 ayudó a congelar más de 75 millones de dólares en incidentes vinculados a Corea del Norte. Los hackers no frenan: hace poco Chainalysis los vinculó también con el robo de 387 millones a Bitget, y ya contamos qué encontraron los analistas en el hackeo de Bitget. Aun así, congelar no es devolver el dinero: solo da una oportunidad a las víctimas.

Cómo funciona el lavado

El caso de Jimmy Green muestra el esquema completo:

1. El intermediario. En la práctica, una mesa OTC clandestina: recibe monedas robadas y entrega otras, en otra red, a cambio de una comisión. Se encuentra en un chat abierto, y gana esa misma comisión de unos pocos puntos que pagaba el detective.
2. Los puentes. El dinero salta entre redes: BTC, ETH, SOL, TRX. Con THORChain y protocolos similares el rastro se corta en cada salto, y el investigador tiene que coserlo de nuevo por horas e importes.
3. La salida en stablecoins. Al final suele aparecer USDT en Tron, la moneda más usada en el mercado extrabursátil. En la jerga china al USDT sucio lo llaman «U negro», y suele venderse por debajo del mercado a quien solo quiere dólares más baratos.

Por qué le importa a una persona común

El último paso del esquema es justo donde se cruza con un comprador común. Encuentras en P2P a un vendedor que ofrece USDT un 2-3% por debajo del precio y recibes monedas que pueden tener detrás el hackeo de un exchange. La stablecoin USDT tiene un emisor que puede congelar direcciones, como pasó con los 442.000 USDT de esta historia. Si las monedas pasan por una dirección en la lista negra, se quedan atrapadas para siempre, y el exchange al que envíes esa transferencia puede retener el depósito y preguntar por su origen. Demostrarlo te tocará a ti.

Explicamos cómo funciona la lista negra del emisor en el artículo sobre cómo Tether congeló 550 millones y si pueden congelar tus USDT.

Qué hacer

• No aceptes USDT «barato» de desconocidos en P2P ni en chats. Un descuento sin motivo claro es la principal señal de alarma.
• Revisa la dirección del remitente antes de recibir: ábrela en un explorador de bloques. Una dirección nueva por la que pasaron millones en un día o cadenas de transferencias por puentes son motivo para rechazar la operación.
• Guarda tus monedas en tu propia billetera y conserva los hashes de las transacciones: si alguna vez tienes que explicar el origen del dinero, tendrás el historial a mano.

Cambiar sin desconocidos de un chat

Si necesitas otro activo, no hace falta buscar un vendedor en P2P: un exchange de criptomonedas muestra el tipo y el importe final antes del cambio. VertEXchange hace el cambio por sí mismo, sin cuenta, correo ni teléfono. Eliges el par, indicas tu dirección, envías tus monedas y recibes las otras directamente en ella. El tipo puede ser flotante o fijo; el fijo se mantiene unos 15 minutos.

Por ejemplo, puedes cambiar USDT TRC20 por bitcoin y guardar tu reserva en tu propia dirección o, si quieres seguir en dólares pero en otra red, convertir USDT TRC20 a USDC en Ethereum.

Preguntas frecuentes

¿Quién es ZachXBT?

Un investigador onchain independiente que trabaja bajo seudónimo. Investiga hackeos y estafas con datos públicos de la blockchain y publica sus análisis en X. El dinero de esta operación era suyo.

¿Se devolverá lo robado a Bybit?

Congelar solo bloquea las monedas en una dirección; devolverlas a las víctimas es otro proceso, a través del emisor y de las autoridades. Por ahora solo se han encontrado y bloqueado partes pequeñas de los 1.500 millones. Los clientes de Bybit no perdieron dinero: el exchange cubrió el hueco en sus reservas con fondos propios.