Der Blockchain-Ermittler ZachXBT hat nach eigener Darstellung monatelang Geschäfte mit einem chinesischen Geldwäschenetz gemacht, das für die nordkoreanische Lazarus-Gruppe arbeitet. Seine Hinweise sollen zu Sperrungen von Beute aus dem Bybit-Hack geführt haben; bestätigt sind davon bislang nur die Sperren auf der Blockchain, keine Ermittlungen von Behörden.
Veröffentlicht hat ZachXBT seine Recherche am Montag um 14:13 Uhr MESZ in einem Thread auf X. Der erste Satz lautet: “How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group.” Übersetzt: wie er ein chinesisches Syndikat unterwandert habe, das über mehrere Hacks hinweg mehr als eine Milliarde Dollar für Lazarus gewaschen habe. Die Summe ist seine Schätzung, eine unabhängige Zählung gibt es nicht.
Ein Kontakt namens Jimmy Green kündigte die Bewegungen vorher an
Der Hergang beginnt im Februar 2025. Kurz nach dem Angriff auf die Börse Bybit, bei dem 1,5 Milliarden Dollar verloren gingen und den das FBI im Februar 2025 der nordkoreanischen Gruppe TraderTraitor zugeschrieben hat, fielen ZachXBT mehr als 15 Konten auf. Sie baten in öffentlichen Telegram- und Discord-Gruppen um Hilfe bei Aufträgen, die direkt mit der Beute zusammenhingen. Eines davon trat unter dem Namen “Jimmy Green” auf.
Am 6. März 2025 legte ZachXBT nach eigener Angabe 349.700 USDC auf einer neuen Ethereum-Adresse bereit. Er tauschte sie bei Jimmy Green gegen USDT auf der Blockchain Tron, mehrmals, um Vertrauen aufzubauen. Die Gegenadresse hatte ihre Transaktionsgebühren von einer Adresse bekommen, die sich direkt zum Bybit-Hack zurückverfolgen lässt.
Danach wurde der Kontakt gesprächig.
Er kündigte nach ZachXBTs Schilderung an, wann Bybit-Gelder bewegt würden, einmal einen Tag vorher den Wechsel auf Solana, der dann auch kam. Am 12. März 2025 schickte er einen Screenshot einer Bridge-Transaktion, die ZachXBT über Betrag und Uhrzeit im Explorer von THORChain wiederfand. Seine Gruppe habe den größten Teil der 1,5 Milliarden Dollar gewaschen, sagte Jimmy Green laut dem Thread.
Tether sperrte 442.000 USDT aus dem aufgedeckten Geldfluss
Drei Solana-Adressen, die Jimmy Green weitergab, führten zu einem Bündel von mehr als 12 Millionen Dollar aus dem Bybit-Hack, das in Echtzeit von Bitcoin über Ether und Solana nach Tron getauscht wurde. Tether sperrte später 442.000 USDT daraus. Außerdem fand ZachXBT eine 2024 gesperrte Summe von 332.000 USDC aus dem Hack der Börse Poloniex und drei Millionen Dollar aus Betrugsgeschäften, die bei einer Wallet von Huione Guarantee landeten, einem inzwischen sanktionierten Marktplatz aus Kambodscha.
Für die Recherche nahm er nach eigener Rechnung bei jedem Tausch fünf Prozent Verlust in Kauf. Eine Stellungnahme von Tether oder einer Behörde lag bis Dienstagmorgen nicht vor, auch der Bericht von Decrypt nennt keine.
Im Thread endet der Weg der Beute immer wieder bei USDT auf Tron, einem Stablecoin, dessen Herausgeber Adressen einfrieren kann. Genau daran setzen Ermittler wie ZachXBT an, und genau dort griff Tether in diesem Fall zu.
Der Bybit-Fall steht nicht allein. Erst vergangene Woche ordnete Chainalysis den Bitget-Hack über 387 Millionen Dollar Nordkorea zu, und ZachXBT hatte am 28. September öffentliche Aufträge chinesischer Geldwäscher zu dieser Beute dokumentiert.
Wer USDT außerhalb einer Börse kauft, trägt das Risiko gesperrter Herkunft
Für Anleger im deutschsprachigen Raum hat die Recherche eine praktische Seite. Die Händler im Thread wickelten ihre Geschäfte über Telegram ab, außerhalb jeder Börse und ohne Prüfung der Gegenseite. Wer auf solchem Weg Stablecoins tauscht, kann Mittel aus einem Hack erhalten, und die sind genau die, die ein Herausgeber wie Tether nachträglich einfriert. Wie die Sperre technisch funktioniert und welche Stablecoins der Herausgeber kontrolliert, unterscheidet sich je nach Token.
Einen Überblick über die großen Angriffe auf Handelsplätze der vergangenen Jahre gibt unsere Chronik der Börsen-Hacks.
Wie viel der Bybit-Beute heute noch beweglich ist, hat ZachXBT nicht beziffert.
Bitcoin und Ether über eine Börse mit Kontoeröffnung und Identitätsprüfung statt über Chatgruppen zu kaufen, geht unter anderem bei eToro. Welche Börsen dafür welche Gebühren nehmen, vergleicht unsere Übersicht der Krypto-Börsen.
