ZachXBT внедрился в синдикат, отмывший для Lazarus больше $1 млрд: как работает схема и при чём тут ваш USDT

Как детектив попал внутрь

21 февраля 2025 года с биржи Bybit увели около $1,5 млрд, это крупнейшая кража в истории криптовалют. 26 февраля ФБР приписало атаку Северной Корее и назвало эту активность TraderTraitor. Украсть мало: краденые монеты нужно превратить в деньги, которые не узнает ни одна база меток. Этим занимаются посредники.

ZachXBT нашёл в открытых группах Telegram и Discord больше 15 аккаунтов, которые предлагали «обработать» переводы со средствами из взлома Bybit. С одним из операторов, который называл себя Jimmy Green, он заговорил под видом клиента. По словам Jimmy, его команда работает из Гонконга и материкового Китая и прогнала через себя большую часть украденного у Bybit. Проверить это со стороны нельзя, и сам ZachXBT подаёт эти слова как заявление оператора.

Во что обошлось доверие

6 марта 2025 года детектив завёл новый адрес в Ethereum и положил на него 349 700 USDC собственных денег. Первая сделка — обмен USDC на USDT в сети Tron через адреса Jimmy. Каждая такая сделка стоила примерно 5% суммы, и ZachXBT соглашался терять их, чтобы его считали постоянным клиентом.

Оператор делился охотно: адреса, скриншоты, заранее — данные о будущих переводах. Каждое слово детектив сверял с блокчейном:

• кошелёк, на который Jimmy принимал деньги, получил монеты на оплату газа с адреса, связанного со взломом Bybit;
• время и суммы из переписки совпадали с транзакциями в сетях Bitcoin, Ethereum, Solana и Tron;
• когда оператор прислал скриншот перевода через мост, в THORChain в те же минуты появилась соответствующая заявка.

Что удалось заморозить

Три адреса в Solana, полученные от Jimmy, вывели на кластер кошельков, через который в реальном времени шли больше $12 млн из взлома Bybit: из биткоина в эфир, затем в Solana и в Tron. Tether заморозила около 442 000 USDT, которые лежали в этом кластере на адресе пула Uniswap V2.

Ещё две истории всплыли попутно. Jimmy упомянул, что в 2024 году у его команды заморозили около $300 000. По блокчейну ZachXBT нашёл эту заморозку: 332 000 USDC из взлома биржи Poloniex. Ещё оператор рассказал, как провёл для другого клиента около $3 млн мошеннических денег. Детектив проследил их до горячего кошелька Huione Guarantee, площадки камбоджийской Huione Group. В мае 2025 года FinCEN, подразделение Минфина США по финансовым преступлениям, признал эту группу главной угрозой в сфере отмывания денег.

Всего, по словам ZachXBT, с 2022 года он помог заморозить больше $75 млн по инцидентам, связанным с КНДР. Хакеры при этом не сбавляют темп: недавно Chainalysis связала с ними и кражу $387 млн у Bitget, мы разбирали, что аналитики нашли во взломе Bitget. Заморозка при этом не равна возврату денег: пострадавшим она лишь оставляет шанс.

Как устроено отмывание

Дело Jimmy Green показывает схему целиком:

1. Посредник. По сути подпольная OTC-контора: принимает краденые монеты и отдаёт другие, на другой сети, за комиссию. Найти такую можно в открытом чате, а её заработок — та самая комиссия в несколько процентов, которую платил детектив.
2. Мосты. Деньги прыгают между сетями: BTC, ETH, SOL, TRX. Через THORChain и похожие протоколы след рвётся на каждом переходе, и следователю приходится сшивать его по времени и суммам.
3. Сбыт стейблкоинов. На выходе чаще всего USDT в Tron, самая ходовая монета внебиржевого рынка. В китайском жаргоне грязный USDT называют «чёрным U», и сбывают его обычно ниже рынка тем, кому просто нужны доллары подешевле.

Почему это касается обычного человека

Последний шаг схемы — это и есть встреча с обычным покупателем. Вы находите в P2P продавца, который отдаёт USDT на 2–3% дешевле курса, и получаете монеты, у которых за спиной может быть взлом биржи. У стейблкоина USDT есть эмитент, и он умеет замораживать адреса: так сделали с 442 000 USDT в этой истории. Если монеты пройдут через адрес, попавший в чёрный список, они застрянут там навсегда, а биржа, куда вы отправите такой перевод, может придержать депозит и спросить о его происхождении. Доказывать придётся вам.

Как работает чёрный список эмитента, мы разбирали в статье о том, как Tether заморозил $550 млн и могут ли заморозить ваши USDT.

Что делать

• Не берите «дешёвый» USDT у незнакомцев в P2P и в чатах. Скидка к рынку без понятной причины — главный признак.
• Проверяйте адрес отправителя до приёма: откройте его в обозревателе блокчейна. Свежий адрес, через который за день прошли миллионы, и цепочки переводов через мосты — повод отказаться от сделки.
• Держите свои монеты на своём кошельке и сохраняйте хэши транзакций: если понадобится объяснить происхождение денег, история будет под рукой.

Обмен без незнакомцев из чата

Если нужен другой актив, необязательно искать продавца в P2P: в обменнике криптовалют курс и итоговая сумма видны до сделки. VertEXchange меняет сам: без аккаунта, почты и телефона. Вы выбираете пару, указываете свой адрес, отправляете монеты и получаете другие прямо на него. Курс можно взять плавающий или фиксированный, фиксированный держится около 15 минут.

Например, можно обменять USDT TRC20 на биткоин и держать запас на своём адресе, а если вы хотите остаться в долларах, но в другой сети, — поменять USDT TRC20 на USDC в сети Ethereum.

Частые вопросы

Кто такой ZachXBT?

Независимый ончейн-детектив, который выступает под псевдонимом. Он расследует взломы и мошенничество по открытым данным блокчейна и публикует разборы в X. Деньги на эту операцию он вложил свои, а не чужие.

Вернут ли украденное у Bybit?

Заморозка лишь блокирует монеты на адресе, возврат пострадавшим — отдельная процедура через эмитента и правоохранительные органы. Из $1,5 млрд найдены и заблокированы пока малые доли. Клиенты Bybit при этом деньги не потеряли: биржа закрыла дыру в резервах за свой счёт.