ZachXBT infiltriert chinesisches Krypto-Netzwerk mit über einer Milliarde Dollar Volumen

Der Blockchain-Ermittler ZachXBT hat nach eigenen Angaben ein umfangreiches chinesisches Geldwäschenetzwerk aufgedeckt. Es soll für die nordkoreanische Lazarus Group gestohlene Kryptowährungen im Wert von mehr als 1 Milliarde Dollar gewaschen haben.

Um die Hintermänner zu identifizieren, wählte er eine ungewöhnliche Methode. Monatelang gab er sich als zahlender Kunde aus und setzte dabei Hunderttausende Dollar aus eigenen Mitteln ein.

Die Ermittlungen begannen nach dem Großangriff auf die Kryptobörse Bybit. ZachXBT gelang es nach eigenen Angaben, das Vertrauen eines Verantwortlichen des Netzwerks zu gewinnen. So erhielt er Einblick in die beteiligten Personen und die Geldflüsse.

ZachXBT setzt für Ermittlungen fast 350.000 Dollar ein

ZachXBT begann im Februar 2025, kurz nach dem Angriff auf Bybit, das Netzwerk zu infiltrieren. Er gab sich als Kunde aus, der große Summen über das Netzwerk abwickeln lassen wollte.

Dafür setzte er insgesamt 349.700 Dollar in Stablecoins ein. Diese Kryptowährungen sollen ihren Wert stabil halten, meist durch die Bindung an eine herkömmliche Währung wie den US-Dollar.

Bei den Transaktionen nahm der Ermittler bewusst einen Verlust von rund fünf Prozent in Kauf. Damit wollte er das Vertrauen eines Verantwortlichen des Netzwerks gewinnen, der unter dem Namen „Jimmy Green“ bekannt ist.

Die Strategie verschaffte ihm nach eigenen Angaben schließlich Informationen über die Beteiligten und die Geldflüsse hinter der mutmaßlichen Geldwäsche. Das Netzwerk soll in Hongkong und auf dem chinesischen Festland aktiv gewesen sein.

Mit den gesammelten Informationen konnte ZachXBT nach eigenen Angaben mehr als 12 Millionen Dollar nachverfolgen, die mit dem Bybit-Angriff in Verbindung standen. Ein Teil der Gelder konnte anschließend gesperrt werden. Dem Ermittler zufolge fror Tether USDT im Wert von 442.000 Dollar ein, die mit den untersuchten Transaktionen zusammenhingen.

Lazarus Group stahl Kryptowährungen in Milliardenhöhe

Die Ermittlungen geben Einblick in die Methoden, mit denen nordkoreanische Hacker mutmaßlich gestohlene Kryptowährungen waschen. Die Lazarus Group und andere Hackergruppen mit Verbindungen zu Nordkorea stehen seit Jahren im Fokus internationaler Ermittlungsbehörden und Blockchain-Ermittler.

Nach Angaben des Analyseunternehmens Chainalysis haben Hacker mit mutmaßlichen Verbindungen zu Nordkorea bis einschließlich 2025 digitale Vermögenswerte im Wert von mindestens 6,75 Milliarden Dollar gestohlen.

Der Diebstahl der Kryptowährungen ist dabei nur der erste Schritt. Anschließend müssen die Täter die Gelder transferieren, ohne dass Ermittler deren Herkunft leicht nachvollziehen können.

Eine Methode ist das sogenannte Chain-Hopping, bei dem Kryptowährungen von einer Blockchain auf eine andere übertragen werden. Gestohlene Coins lassen sich zudem über dezentrale Handelsplattformen tauschen und über sogenannte Bridges zwischen verschiedenen Blockchains transferieren.

Durch wiederholte Transfers und Tauschgeschäfte entstehen lange Transaktionsketten. Damit versuchen Kriminelle, die Rückverfolgung zum ursprünglichen Angriff zu erschweren.

Chinesische Mittelsmänner wurden bereits früher mit solchen Praktiken in Verbindung gebracht. US-Staatsanwälte beschuldigten 2020 zwei chinesische Staatsbürger, mehr als 100 Millionen Dollar gewaschen zu haben. Das Geld soll aus einem Angriff nordkoreanischer Hacker auf eine Kryptobörse im Jahr 2018 gestammt haben.

Auch die US-Sanktionsbehörde Office of Foreign Assets Control (OFAC) ging später gegen solche Aktivitäten vor. Sie verhängte 2023 Sanktionen gegen zwei Händler aus Hongkong und China. Diese sollen Nordkorea dabei geholfen haben, gestohlene digitale Vermögenswerte umzutauschen und Finanzkontrollen zu umgehen.

Verbindungen zu weiteren großen Kryptoangriffen

Die Erkenntnisse von ZachXBT reichen über den Bybit-Angriff hinaus. Der Ermittler brachte chinesische Akteure auch mit der Geldwäsche nach dem Angriff auf Bitget im September in Verbindung. Dabei sollen seinen Angaben zufolge 387,5 Millionen Dollar erbeutet worden sein.

Die Beteiligten gingen offenbar nicht immer vorsichtig vor. Laut ZachXBT baten chinesische Akteure, die mutmaßlich Geld für nordkoreanische Hacker wuschen, offen um technische Hilfe. Sie nutzten dafür öffentliche Discord-Server und Telegram-Kanäle der von ihnen verwendeten Dienste.

Außerdem soll einer der Verantwortlichen des Netzwerks zuvor an der Geldwäsche nach dem Angriff auf Kelp DAO im April beteiligt gewesen sein. Bei diesem Angriff sollen rund 292 Millionen Dollar erbeutet worden sein.

ZachXBT zufolge deuten die Erkenntnisse auf ein deutlich größeres Netzwerk hin, das über die Geldflüsse aus dem Bybit-Angriff hinausreicht. Nordkoreanische Hacker sollen externe Mittelsmänner einschalten, um gestohlene Kryptowährungen zu transferieren und ihre Herkunft zu verschleiern. Allein das von ZachXBT untersuchte chinesische Netzwerk soll für die Lazarus Group mehr als 1 Milliarde Dollar gewaschen haben.