Китайская сеть помогла хакерам КНДР отмыть более $1 млрд в криптовалюте

Китайская организованная преступная сеть могла отмыть более $1 млрд в криптовалюте, похищенной в ходе различных атак, в интересах северокорейской Lazarus Group. Об этом заявил ончейн-исследователь ZachXBT, который утверждает, что лично проник в эту сеть под видом клиента.

По его словам, операция началась в феврале 2025 года, через несколько дней после взлома Bybit на $1,5 млрд. ZachXBT использовал 349 700 в стейблкоинах и соглашался терять около 5% на каждой операции, чтобы завоевать доверие одного из участников сети под именем Jimmy Green.

Исследователь утверждает, что сеть действовала в Гонконге и материковом Китае. Полученная от посредника информация помогла выявить кластер с более чем $12 млн, связанными со средствами после взлома Bybit.

Позже Tether заморозила около 442 000 USDT, которые ZachXBT связал с этим кластером. По его словам, часть движения активов удалось отслеживать практически в реальном времени благодаря информации, которую он получал непосредственно от участника сети.

Расследование дает представление о роли посредников, которые могут помогать северокорейским хакерам превращать похищенную криптовалюту в активы, которые сложнее отслеживать. Для этого используются переходы между разными блокчейнами, обмены токенов, децентрализованные биржи и кроссчейн-мосты.

По данным Chainalysis, связанные с Северной Кореей хакеры похитили как минимум $6,75 млрд в цифровых активах к концу 2025 года. Lazarus Group и другие связанные с КНДР группировки неоднократно использовали многоэтапное перемещение средств между разными сетями, чтобы усложнить их отслеживание.

Китайские посредники и раньше фигурировали в делах, связанных с отмыванием криптовалюты для Северной Кореи. В 2020 году американские прокуроры предъявили обвинения двум гражданам Китая в отмывании более $100 млн, похищенных северокорейскими хакерами с криптобиржи.

В 2023 году Управление по контролю за иностранными активами Минфина США также ввело санкции против двух криптотрейдеров из Гонконга и Китая. Американские власти заявляли, что они помогали КНДР конвертировать похищенную криптовалюту и обходить финансовые ограничения.

ZachXBT также связывает китайских посредников с перемещением средств после взлома Bitget на $387,5 млн в сентябре 2026 года. По его словам, люди, помогавшие северокорейским хакерам, открыто искали помощь на публичных Discord-серверах и в Telegram-каналах.

Один из таких операторов, по утверждению ZachXBT, ранее также участвовал в отмывании средств после атаки на Kelp DAO на $292 млн в апреле. Это указывает на то, что одна и та же инфраструктура посредников может использоваться после нескольких крупных криптовзломов.

Ключевая особенность этого расследования заключается в том, что ZachXBT не ограничился анализом публичных блокчейн-данных. Он фактически вступил в контакт с посредниками, проводил через них собственные средства и использовал полученную информацию для сопоставления будущих переводов с реальными транзакциями в блокчейне.