‘El Caballero Oscuro’ del mundo de las criptomonedas lucha contra organizaciones criminales, gastando millones de su propio dinero y asumiendo pérdidas

[Reportero Yang Won-mo de Blockmedia] 25 de febrero de 2025. Un nuevo cliente se acercó a una persona que usaba el nombre 'Jimmy Green' en Telegram. Preguntó si podía intercambiar Ethereum (ETH) de origen sospechoso por activos limpios en otra red. El volumen de la transacción era de aproximadamente 100 ETH. La otra parte comenzó a discutir los términos de la transacción sin sospechar nada.

La identidad del cliente no era la de un inversor común. Era un investigador anónimo llamado 'ZachXBT' que rastreaba el flujo de fondos criminales en la blockchain. ZachXBT estaba llevando a cabo una especie de investigación encubierta. Green era sospechoso de ser parte de una red criminal de origen chino que lavaba activos digitales robados por el grupo de hackers norcoreano 'Lazarus'.

ZachXBT gastó posteriormente alrededor de 350,000 dólares (aproximadamente 469.31 millones de wones) en varias transacciones. Para ganar la confianza de la otra parte, asumió pérdidas de hasta el 5% en cada transacción. A cambio, obtuvo información sobre los planes de movimiento de los fondos de hackers norcoreanos, direcciones de billeteras relacionadas y el funcionamiento interno de la organización criminal.

'Mensajes sospechosos' encontrados en Telegram y Discord

El 2025 de febrero, aproximadamente 1.5 mil millones de dólares (alrededor de 2.1 billones de wones) en Ethereum fueron robados de la bolsa de activos digitales Bybit. Se señaló al grupo de hackers norcoreano 'TraderTraitor' como responsable del ataque.

Mientras rastreaba el flujo de fondos robados después del hackeo, ZachXBT descubrió mensajes sospechosos en canales públicos de Telegram y Discord. Cuentas que pedían ayuda diciendo "hubo un problema con la orden de transacción" comenzaron a aparecer. ZachXBT identificó más de 15 cuentas, algunas de las cuales estaban directamente relacionadas con transacciones de los fondos robados de Bybit. Esto significaba que los cómplices que manejaban fondos criminales estaban haciendo consultas sobre problemas de transacción en un canal de atención al cliente público.

ZachXBT se acercó a una de estas cuentas que usaba el seudónimo 'Jimmy Green'. Se presentó como un cliente que quería intercambiar grandes cantidades de activos digitales y preguntó sobre los términos de la transacción. La forma que Green propuso era simple. Si el cliente enviaba USDC en la red Ethereum, él pagaría USDT en la red Tron. Era un método de intercambio extrabursátil que implicaba el intercambio de activos en diferentes blockchains.

El 6 de marzo de 2025, ZachXBT depositó 349,700 USDC en una nueva billetera. Era el capital para llevar a cabo la transacción real. Aunque había un riesgo de que la otra parte recibiera el dinero y desapareciera, continuó con la transacción.

La primera pista salió de la billetera proporcionada por Green. La dirección había recibido el gas necesario para las tarifas de transacción de otra billetera vinculada a los fondos robados de Bybit. Si recibió el gas de las billeteras de los hackers, eso significaba que ambas partes estaban en una relación de colaboración. Había atrapado su rastro.

A medida que las transacciones se repetían, Green comenzó a bajar la guardia. Se presentó a sí mismo como parte de "el equipo de lavado de dinero más grande de China" y comenzó a mencionar planes de movimiento de fondos relacionados con Corea del Norte.

“La mayoría de los 1.5 mil millones de dólares fueron lavados por nuestro equipo”

Green le dijo a ZachXBT que "su equipo había lavado la mayor parte de los 1.5 mil millones de dólares en Ethereum robados de Bybit". Luego insinuó que los fondos robados de Bybit se moverían a la red Solana (SOL). De hecho, al día siguiente, se observaron transacciones en Solana donde se movían esos fondos.

La pista decisiva fue capturada el 12 de marzo de 2025. Cuando Green envió una pantalla mostrando la transferencia de fondos a otra blockchain, ZachXBT cruzó el monto y el tiempo mostrados en la pantalla con los registros de transacciones del protocolo de cross-chain Thorchain (THORChain). Como resultado, encontró una transacción real que se generó con solo unos minutos de diferencia del momento en que se envió el mensaje.

Luego, al rastrear tres direcciones de billetera de Solana proporcionadas por Green, se reveló un flujo de fondos de mayor escala. ZachXBT declaró: "Confirmé que más de 12 millones de dólares (aproximadamente 160 millones de wones) estaban conectados a un grupo de billeteras vinculadas a los fondos robados de Bybit".

Los fondos se movieron de Bitcoin (BTC) a ETH y luego a SOL antes de pasar a la red Tron. En este proceso, se utilizaron puentes y exchanges descentralizados (DEX) para mover activos entre blockchains. En algunas transacciones, también se confirmó el uso de tokens de bajo volumen en el pool de liquidez (LP) de Uniswap. Era un método para complicar la estructura de las transacciones y dificultar el seguimiento de los fondos.

Confirmación de la estructura de 'robo de activos por parte de organizaciones de hackers norcoreanos → lavado por parte de organizaciones especializadas chinas'

La conversación con Green no se limitó al lavado de dinero. Le habló a ZachXBT sobre juegos de Mahjong, comida y viajes familiares. Sin saber la identidad de ZachXBT, Green no dudó en mencionar sus actividades delictivas pasadas. Esto permitió identificar que Green era parte de una organización de origen chino.

Green le dijo a ZachXBT que "un equipo con el que había estado en contacto en el pasado había congelado alrededor de 300,000 dólares (aproximadamente 402.26 millones de wones)". ZachXBT rastreó esto y encontró un caso de congelación de 332,000 USDC vinculado al hackeo de Poloniex en 2023. También se identificó que otros 3 millones de dólares (aproximadamente 402.26 millones de wones) de fondos fraudulentos de otro cliente estaban relacionados con una billetera caliente de Huione Guarantee.

A través de esto, ZachXBT confirmó la estructura de división de trabajo donde las organizaciones de hackers norcoreanas robaban activos digitales y las organizaciones especializadas chinas recibían y lavaban los fondos. ZachXBT también declaró que había "capturado circunstancias similares" en el caso de hackeo de Bitget, que se estima ocurrió en septiembre y que involucró 387 millones de dólares (aproximadamente 518.9 mil millones de wones).

ZachXBT compartió la información obtenida con agencias de investigación privadas y organismos de investigación. Explicó que había contenido sensible relacionado con la investigación, por lo que se pospuso la divulgación. Tether congeló 442,000 USDT vinculados a ese grupo de billeteras basándose en la investigación de ZachXBT.

ZachXBT se asemeja a Batman, cubriendo su rostro con una máscara y castigando a los villanos. Dijo: "Espero que el apoyo de fundaciones y personas continúe, ya que gracias a este apoyo, puedo asumir mayores riesgos en casos que otros consideran poco viables".

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.