После взлома Bybit северокорейские хакеры получили криптоактивы примерно на $1,5 млрд. Но украденный баланс ещё нужно превратить в деньги, которыми можно пользоваться. Для этого понадобились посредники — и именно через одного из них блокчейн-расследователь ZachXBT, по его рассказу, получил сведения о движении более $12 млн.
Он представился клиентом предполагаемой китайской сети отмывания средств, задействовал 349 700 USDC и согласился терять около 5% на каждой завершённой сделке. Переписка помогла сопоставить планы участников с переводами в блокчейне. Это история о том, как отношения между людьми раскрывают то, чего не видно в истории кошельков.
Взлом состоялся в 2025 году, рассказ о расследовании появился сейчас
Атака на Bybit произошла 21 февраля 2025 года. Уже 26 февраля FBI связало хищение с Северной Кореей, обозначив соответствующую киберактивность как TraderTraitor. Ведомство сообщило, что часть украденных активов конвертировали в Bitcoin и другие криптовалюты и распределили между тысячами адресов в нескольких блокчейнах.
Такие перемещения усложняют расследование, но сами по себе не показывают, сколько денег преступники смогли потратить. Кошелёк с похищенными активами и банковский счёт, с которого можно оплатить покупку, — разные вещи. Между ними нужны обменные и платёжные услуги, а значит, контрагенты, готовые работать с подозрительными средствами.
ZachXBT рассказал о своей операции в начале октября 2026 года. Основные описанные им события относятся к февралю и марту 2025-го: речь идёт о раскрытии подробностей прежнего расследования, а не о новом взломе Bybit.
Клиент, который платил за доступ к информации
По словам ZachXBT, после атаки он заметил более 15 аккаунтов в открытых группах Telegram и Discord, где искали помощь с операциями, связанными с похищенными средствами. Контакты вывели его на пользователя под псевдонимом Jimmy Green.
6 марта 2025 года расследователь пополнил новый адрес Ethereum на 349 700 USDC и начал обменивать эти токены на USDT в сети Tron через посредника. Невыгодный курс был частью замысла: повторные сделки помогали стать для собеседника привычным клиентом. При этом оставался риск, что тот просто исчезнет с деньгами.
349 700 USDC — капитал, задействованный в операциях, а не установленная сумма расходов на расследование. ZachXBT говорил о потере примерно 5% на каждом заказе; общий итог его потерь в опубликованном рассказе не указан.
Переписка дала больше, чем список адресов. В одном случае Jimmy заранее сообщил о предстоящем перемещении средств в Solana, а на следующий день ZachXBT увидел соответствующее движение. Полученные от посредника адреса позволили выделить группу кошельков с активами более чем на $12 млн, связанными со взломом Bybit.
В этом и состояла ценность контакта. Транзакция в блокчейне позволяет увидеть перевод между адресами, но сама по себе не раскрывает имя владельца и содержание его договорённостей. Переписка добавляет контекст, который можно проверять по публичным операциям. Связи конкретного посредника с похищенными активами здесь изложены по версии расследователя.
Отследить $12 млн — ещё не вернуть их
ZachXBT сообщил, что полученная информация способствовала заморозке 442 000 USDT компанией Tether. Эта сумма и её связь с его работой основаны на его рассказе. Обнаруженные $12 млн нельзя записывать в возвращённые Bybit средства.
| Показатель | Что он означает |
|---|---|
| Около $1,5 млрд | Стоимость активов, похищенных у Bybit в феврале 2025 года. |
| 349 700 USDC | Капитал, который ZachXBT задействовал в сделках с посредником. |
| Более $12 млн | Активы, связанные со взломом и отслеженные благодаря полученным сведениям, по словам ZachXBT. |
| 442 000 USDT | Заявленная заморозка; она не подтверждает конфискацию или возврат бирже. |
Возможность вмешаться зависит от того, где находятся активы. Эмитенты некоторых стейблкоинов, включая USDT и USDC, могут ограничивать операции определённых адресов. У Bitcoin нет единого эмитента с такой функцией. Получить контроль над BTC можно, например, через хранителя средств или доступ к ключам в рамках законной процедуры.
Даже замороженные токены не переходят пострадавшему автоматически. Установить движение денег, остановить распоряжение ими и вернуть их владельцу — отдельные этапы.
Huione и Xinbi: рынок услуг вокруг украденных денег
По оценке ZachXBT, выявленная сеть участвовала в отмывании более $1 млрд от нескольких хищений, связанных с Lazarus Group. Это его оценка масштаба работы предполагаемых посредников, а не независимо установленный оборот.
Официальные материалы показывают, насколько крупным может быть такой бизнес. В мае 2025 года FinCEN сообщило о роли Huione Group в отмывании не менее $4 млрд преступных доходов с августа 2021-го по январь 2025-го. Как минимум $37 млн ведомство связало с северокорейскими киберхищениями. Все $4 млрд приписывать КНДР нельзя: в оценку вошли поступления от разных преступлений.
В июне 2026 года Минюст США объявил об изъятии облачной учётной записи с серверной инфраструктурой подразделений Huione. Однако потеря площадки не уничтожает потребность её клиентов в расчётах. Часть участников искала замену.
9 сентября 2026 года Минфин США ввёл санкции против Xinbi Guarantee. По оценке ведомства, с момента появления примерно в 2022 году через её площадки прошло более $24 млрд в цифровых активах и обычных деньгах. Это совокупный оборот, который нельзя целиком объявлять доказанными преступными доходами.
Минфин прямо указал на попытки перенести операции с сервисов Huione на Xinbi. Площадка предлагала похожие услуги и обслуживала пересекающуюся аудиторию. Для преступников посредник — часть финансовой инфраструктуры: он помогает обменивать средства, проводить расчёты и находить других контрагентов.
Заморозки мешают расчётам, но заставляют искать обходные пути
В сентябре Bitrace сообщила о заморозке более $45 млн в USDT на как минимум 22 операционных адресах, связанных с Xinbi. Отдельно Минюст США объявил об ограничениях на более $52 млн в рамках действий против Xinbi и её сети поставщиков услуг. Эти показатели описывают разный охват мер; складывать их без проверки пересечения адресов и средств нельзя. К заявленным ZachXBT 442 000 USDT они также не относятся.
По сообщению Elliptic, участвовавшей в выявлении кошельков Xinbi, площадка объявила о переходе с USDT на USDD. Документация USDD заявляет об отсутствии возможности заморозки самих токенов. Но смена расчётного актива не устраняет зависимость от обменников, бирж и других сервисов, через которые его приобретают и используют.
Закрытие площадок и блокировка балансов могут нарушить расчёты. Однако клиенты и посредники способны попытаться восстановить связи в другом месте. Новые контрагенты при этом несут новый риск: им снова нужно доверять деньги.
Именно это доверие ZachXBT использовал в своей операции. Хакерам понадобился посредник, посреднику — клиент, а клиентом оказался расследователь. За тысячами адресов всё равно стояли люди, которые договаривались о переводах и раскрывали сведения о них.