Крипто-преступление: "Темный рыцарь" в мире криптовалют борется с преступными организациями, тратя миллионы собственных средств

[Корреспондент Блокмедиа Ян Вонмо] 25 февраля 2025 года. В Telegram к человеку с именем "Джимми Грин" обратился новый клиент. Он спросил, может ли он обменять "эфир (ETH) с подозрительным источником" на чистые активы в другой сети. Объем сделки составил около 100 ETH. Соперник начал обсуждать условия сделки без особых подозрений.

Личность клиента оказалась не простой инвестор. Это был анонимный следователь "ЗакXBT", который отслеживает потоки преступных средств в блокчейне. ЗакXBT проводил своего рода подрывное расследование. Грин подозревался в том, что он является членом китайской преступной сети, отмывающей цифровые активы, похищенные северокорейской хакерской группой "Лазарус".

ЗакXBT затем потратил около 350 000 долларов (примерно 46931 миллион вон) на несколько сделок. Чтобы завоевать доверие соперника, он даже согласился на убытки в 5% от каждой сделки. Взамен он получил планы перемещения северокорейских хакерских средств, связанные адреса кошельков и внутренние операционные методы преступной организации.

"Подозрительные сообщения" в Telegram и Discord

В феврале 2025 года на глобальной цифровой платформе обмена Bybit было похищено около 1,5 миллиарда долларов (примерно 2 триллиона 113 миллиардов вон) в эфире. За атакой стояла северокорейская хакерская группа "TraderTraitor".

Отслеживая перемещение похищенных средств после взлома, ЗакXBT обнаружил подозрительные сообщения в открытых каналах Telegram и Discord. Появились аккаунты, которые просили помощи, утверждая, что "возникли проблемы с заказом на сделку". ЗакXBT подтвердил более 15 таких аккаунтов, и среди запрашиваемых заказов были сделки, напрямую связанные с похищенными средствами Bybit. Соучастники, обрабатывающие преступные средства, задавали вопросы о проблемах с сделками в открытых каналах поддержки клиентов.

ЗакXBT обратился к одному из них, использующему псевдоним "Джимми Грин". Он представился клиентом, желающим обменять большие объемы цифровых активов, и спросил о условиях сделки. Предложенный Гриным способ был простым. Клиент отправляет USDC в сети Ethereum, а он выплачивает USDT в сети Tron. Это был способ внебиржевого обмена активами между различными блокчейнами.

6 марта 2025 года ЗакXBT внес 349700 USDC на новый кошелек. Это были средства для проведения реальной сделки. Существовал риск, что соперник получит деньги и исчезнет, но он продолжил сделку.

Первый след пришел от кошелька, предоставленного Гриным. Этот адрес получил газовые сборы от другого кошелька, связанного с похищенными средствами Bybit. Если газовые сборы поступили от кошельков хакеров, это означало, что обе стороны находятся в сотрудничестве. Он поймал след.

С течением времени, повторяющиеся сделки позволили Грину постепенно расслабиться. Он представил свою организацию как "крупнейшую профессиональную команду по отмыванию денег в Китае" и даже начал упоминать планы перемещения средств, связанных с Северной Кореей.

"Большую часть из 1,5 миллиарда долларов отмыла наша команда"

Грин заявил ЗакXBT, что "его команда отмыла большую часть из 1,5 миллиарда долларов, похищенных с Bybit". Затем он намекнул на маршрут отмывания, сказав, что похищенные средства Bybit будут перемещены в сеть Solana (SOL). На следующий день в Solana были зафиксированы сделки, перемещающие эти средства.

Ключевой след был зафиксирован 12 марта 2025 года. Когда Грин отправил экран, показывающий перемещение средств в другой блокчейн, ЗакXBT сопоставил сумму и время, указанные на экране, с записями транзакций кроссчейн-протокола THORChain. В результате он нашел реальную сделку, созданную всего через несколько минут после отправки сообщения.

Затем, отслеживая три адреса Solana, предоставленные Гриным, были выявлены более крупные потоки средств. ЗакXBT заявил, что "он подтвердил группу кошельков, связанных с похищенными средствами Bybit, на сумму более 12 миллионов долларов (примерно 160 миллиардов вон)".

Средства перемещались из Bitcoin (BTC) в ETH, затем через SOL в сеть Tron. В этом процессе использовались мосты для перемещения активов между блокчейнами и децентрализованные биржи (DEX). В некоторых сделках также были использованы токены с низким объемом на ликвидных пулах Uniswap. Это был метод, который усложнял структуру сделок, затрудняя отслеживание средств.

Подтверждение структуры "похищение активов северокорейской хакерской группы → отмывание китайской профессиональной группы"

Разговор с Гриным не ограничивался только отмыванием средств. Он делился с ЗакXBT повседневными историями о маджонге, еде и семейных поездках. Не зная о настоящей личности ЗакXBT, Грин без колебаний упоминал о своих прошлых преступных действиях. Это позволило определить, что Грин является членом китайской организации.

Грин сказал ЗакXBT, что "команда, с которой он раньше общался, была заморожена на сумму около 300 000 долларов (примерно 40226 миллионов вон)". ЗакXBT проследил это до случая заморозки 332000 USDC, связанного с взломом Poloniex в 2023 году. Еще 3 миллиона долларов (примерно 402264 миллиона вон) от другого клиента были связаны с горячим кошельком Huione Guarantee.

ЗакXBT подтвердил, что северокорейская хакерская группа похищает цифровые активы, а китайская профессиональная группа получает средства и отмывает их. ЗакXBT также заявил, что он "зафиксировал аналогичные обстоятельства" в случае взлома Bitget на сумму 387 миллионов долларов (примерно 5189 миллиардов вон), который предположительно произошел в сентябре прошлого года.

ЗакXBT поделился полученной информацией с частными следственными агентствами и правоохранительными органами. Он объяснил, что информация содержит чувствительные данные, поэтому публикация была отложена. Tether заморозила 442000 USDT, связанные с этой группой кошельков, на основе расследования ЗакXBT.

ЗакXBT, прикрывая лицо маской, напоминает Бэтмена, наказывающего злодеев. Он сказал: "Я надеюсь, что поддержка фонда и частных лиц продолжится, потому что благодаря этой поддержке я могу рисковать больше в делах, которые другие считают маловероятными для успеха."

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.