Hackers éticos conhecidos infiltram-se em equipe de lavagem de dinheiro chinesa

*Este artigo é de: * ZachXBT

Compilado por｜Odaily Planet Daily（ ++@OdailyChina++ ）；Traduzido por｜Azuma（ ++@azuma_eth++ ）

Nota do editor: Este artigo é a mais recente investigação do conhecido hacker ético ZachXBT sobre sua infiltração em uma equipe de lavagem de dinheiro chinesa. No texto, ZachXBT descreve como se disfarçou como um cliente que precisava lavar dinheiro e os detalhes da comunicação com os membros da equipe. Após ganhar a confiança dos membros da equipe, ZachXBT soube que eles haviam lavado a maior parte dos quase 1,5 bilhão de dólares em fundos roubados da Bybit. Após obter algumas pistas durante a investigação, ZachXBT ajudou a congelar parte dos fundos roubados e já repassou as pistas para as autoridades policiais.

Segue o conteúdo original de ZachXBT, compilado por Odaily Planet Daily.

Recentemente, infiltrei-me em uma equipe criminosa organizada chinesa que lavou mais de 1 bilhão de dólares para o grupo de hackers norte-coreano Lazarus em várias ocasiões de ataques cibernéticos.

Disfarcei-me como um cliente para coletar informações e ajudei a congelar os fundos roubados do incidente de hack da Bybit em fevereiro de 2025, além de realizar a rastreabilidade e atribuição das atividades ilegais na blockchain.

Tudo começou em fevereiro de 2025, logo após o grupo de hackers norte-coreano "TraderTraitor" roubar 1,5 bilhão de dólares da Bybit, notei um fenômeno anômalo ------ mais de 15 contas estavam postando publicamente em grupos abertos no Telegram e Discord, buscando ajuda do suporte ao cliente para pedidos diretamente relacionados aos fundos roubados.

Comecei a contatar ativamente essas contas, uma das quais usava o pseudônimo "Jimmy Green" no Telegram.

• Nome de usuário do Telegram de Jimmy Green: long_991
• ID do Telegram de Jimmy Green: 7635649994

Em 6 de março de 2025, recarreguei 349.700 USDC em um novo endereço no Ethereum, pronto para realizar várias transações com Jimmy Green.

• Meu endereço: 0x073256b50d66a7eb005f2a504d0a4fb6ea62a276

Jimmy forneceu seu endereço (começando com 0xbaa5) para que eu transferisse USDC em troca de USDT na rede Tron.

A taxa de Gas do endereço começando com 0xbaa5 foi fornecida por outro endereço começando com 0xbcb4, que pode ser rastreado diretamente até os fundos hackeados da Bybit e já foi listado em sites de blacklist pública do incidente de hack da Bybit.

• Endereço Ethereum de Jimmy Green: 0xbaa551da0ae0c93025d9a983a68025a27dc15337
• Endereço Tron de Jimmy Green: TPwXAPwYaDCm7GrzNFiMmNnofrxEVURXRM

Para ganhar confiança, realizei várias transações com ele, e outros endereços usados por Jimmy Green são os seguintes.

• 0x1893ef01e700b1359280e11736d1b89fe97ed216
• TS5hY6mm6UsCLNdVDWnsRA69LuAwfdn158
• TMGjdFeBf9T6kGB9ZmLzeaAPYWBokuyTuS

Após isso, Jimmy começou a me informar antecipadamente sobre os movimentos de transferência dos fundos roubados da Bybit para a Coreia do Norte, bem como os detalhes básicos de suas operações em Hong Kong e na China continental.

Por exemplo, ele me avisou um dia antes que os fundos seriam transferidos para Solana, e no dia seguinte a transferência realmente ocorreu na blockchain. Ele alegou que sua equipe ajudou a lavar a maior parte dos 1,5 bilhão de dólares em fundos roubados da Bybit, o que se alinha perfeitamente com o padrão de lavagem de dinheiro que observei.

Nesse momento, percebi que precisava suportar uma perda de 5% em cada pedido para continuar negociando, arriscando o máximo possível para obter mais informações acionáveis.

Em um caso em 12 de março de 2025, Jimmy compartilhou uma captura de tela de sua transferência de fundos entre cadeias. Comparando o valor e o timestamp no navegador THORChain, consegui combinar com um pedido criado minutos após ele enviar a mensagem.

• Hash da transação: 81a85130b36057428e64b6f97215f77b5a197776a8f1b3a61c8cd0ee1ebfa8c1

Jimmy também forneceu três endereços Solana (detalhes abaixo), que revelaram um cluster de endereços associado a mais de 12 milhões de dólares em fundos roubados da Bybit, que estavam sendo trocados em tempo real através de BTC ➡️ ETH ➡️ SOL ➡️ Tron.

• 9gSwa2Mew9P21Wxs8nFgDujTurKZx1nBEVRv6K5sJP6e
• EvZJGsDymrSUQyF23HLKEgUpjfd9XN1GTmm8AG6pFS7H
• 8S6T5gL2w5z4M9TCehMgQjxVm3Q6R7WDHp6WFfbtZSAy

Subsequentemente, 442.000 USDT relacionados a esse cluster foram congelados com sucesso pela Tether (0x652d7f9edaaa8891be2de74ea568d70af823d89e). Esse cluster também utilizou um novo método de lavagem de dinheiro: utilizando tokens ilíquidos em pools de liquidez (LP) da Uniswap.

Jimmy mencionou que conhecia uma equipe que teve cerca de 300.000 dólares congelados em 2024. Confirmei na blockchain que o valor congelado era, na verdade, 332.000 USDC originados do incidente de roubo da Poloniex.

Jimmy também revelou que eles haviam lavado 3 milhões de dólares em fundos de fraude para outro cliente. Rastreando esses fundos, cheguei a uma carteira quente de uma plataforma chamada Huione Guarantee, que agora foi sancionada e cujo ex-presidente foi preso.

Durante toda a comunicação, além de discutir a lavagem de dinheiro para a Coreia do Norte, também conversei com Jimmy sobre muitos assuntos do dia a dia. Ele falou sobre jogar Mahjong, caçar coelhos, gastronomia, refeições para perda de peso, vida familiar e férias na Disney.

Vale ressaltar que sua gramática era estranha, possivelmente devido ao uso de software de tradução.

O motivo pelo qual estou publicando este artigo é que espero continuar recebendo doações de apoio de fundações ou indivíduos, pois isso me permitirá assumir riscos maiores para investigar casos especiais que outros podem considerar inviáveis ou muito caros.

Neste caso, investi 349.700 dólares de capital próprio, suportando uma perda de 5% em cada pedido, além do risco de Jimmy fugir com o dinheiro a qualquer momento e os perigos pessoais desconhecidos de lidar diretamente com grupos criminosos.

Desde 2022, ajudei a congelar mais de 75 milhões de dólares relacionados a incidentes de hackers norte-coreanos. As descobertas da minha investigação foram compartilhadas em primeira mão com investigadores confiáveis do setor privado e com as autoridades responsáveis pelo caso.

Devido à alta sensibilidade da investigação, não pude divulgar esses detalhes mais cedo. Este é também um dos aspectos frustrantes do meu trabalho: não consigo sempre divulgar os resultados da investigação em tempo hábil, e atualmente tenho muitas descobertas importantes acumuladas de outros casos.

Se você se sentir tocado por este caso e tiver a capacidade de oferecer apoio, sinta-se à vontade para entrar em contato comigo.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.