El ‘Caballero Oscuro’ de las criptomonedas que desmantela organizaciones criminales

[Reportero Yang Won-mo de Block Media] 25 de febrero de 2025. Un nuevo cliente se acercó a una persona que usaba el nombre 'Jimmy Green' en Telegram. Dijo que tenía Ethereum (ETH) de origen sospechoso y preguntó si podía intercambiarlo por activos limpios en otra red. El volumen de la transacción era de aproximadamente 100 ETH. La otra parte comenzó a discutir las condiciones de la transacción sin sospechar nada.

La identidad del cliente no era la de un inversor común. Era un investigador anónimo llamado 'ZachXBT' que rastreaba el flujo de fondos criminales en la blockchain. ZachXBT estaba llevando a cabo una especie de investigación encubierta. Se sospechaba que Green era parte de una red criminal de origen chino que lavaba activos digitales robados por el grupo de hackers norcoreano 'Lazarus'.

ZachXBT gastó aproximadamente 350,000 dólares (alrededor de 469.310.000 wones) de su propio dinero y realizó varias transacciones. Para ganar la confianza de la otra parte, aceptó pérdidas de hasta el 5% en cada transacción. A cambio, obtuvo información sobre los planes de movimiento de los fondos de hackers norcoreanos, direcciones de billeteras relacionadas y el funcionamiento interno de la organización criminal.

'Mensajes sospechosos' encontrados en Telegram y Discord

En febrero de 2025, aproximadamente 1.5 mil millones de dólares (alrededor de 2 billones 113 millones de wones) en Ethereum fueron robados de la bolsa de activos digitales Bybit. Se señaló al grupo de hackers norcoreano 'TraderTraitor' como el responsable del ataque.

Mientras rastreaba la ruta de movimiento de los fondos robados, ZachXBT descubrió mensajes sospechosos en canales públicos de Telegram y Discord. Cuentas que pedían ayuda diciendo que "había un problema con las órdenes de transacción" comenzaron a aparecer. ZachXBT identificó más de 15 cuentas, y algunas de las órdenes que consultaron estaban directamente relacionadas con los fondos robados de Bybit. Es decir, los cómplices que manejaban fondos criminales estaban preguntando sobre problemas de transacción en un canal de soporte al cliente público.

ZachXBT se acercó a una persona que usaba el seudónimo 'Jimmy Green' entre ellos. Se presentó como un cliente que quería intercambiar una gran cantidad de activos digitales y preguntó sobre las condiciones de la transacción. La forma que Green propuso era simple. Si el cliente enviaba USDC en la red Ethereum, él pagaría USDT en la red Tron. Era un método de intercambio extrabursátil que implicaba el intercambio de activos en diferentes blockchains.

El 6 de marzo de 2025, ZachXBT depositó 349,700 USDC en una nueva billetera. Era el dinero para llevar a cabo la transacción real. Aunque había un riesgo de que la otra parte desapareciera después de recibir el dinero, continuó con la transacción.

La primera pista provino de la billetera que Green proporcionó. Esa dirección recibió el gas necesario para las tarifas de transacción de otra billetera vinculada a los fondos robados de Bybit. Si recibió el gas de las billeteras de los hackers, eso significaba que ambas partes estaban colaborando. Había atrapado su rastro.

A medida que las transacciones se repetían, Green comenzó a bajar la guardia. Se presentó como parte de "el equipo de lavado de dinero más grande de China" y comenzó a mencionar incluso los planes de movimiento de fondos relacionados con Corea del Norte.

"La mayor parte de los 1.5 mil millones de dólares la lavó nuestro equipo"

Green afirmó a ZachXBT que "su equipo había lavado la mayor parte de los 1.5 mil millones de dólares en Ethereum robados de Bybit". Luego insinuó la ruta de lavado, diciendo que los fondos robados de Bybit se moverían a la red Solana (SOL). De hecho, al día siguiente se observaron transacciones en Solana donde se movían esos fondos.

La pista decisiva fue capturada el 12 de marzo de 2025. Cuando Green envió una pantalla de la transferencia de fondos a otra blockchain, ZachXBT cruzó el monto y la hora mostrados en la pantalla con los registros de transacción del protocolo de cross-chain ThorChain (THORChain). Como resultado, encontró una transacción real que se generó con solo unos minutos de diferencia con respecto al momento en que se envió el mensaje.

Luego, al rastrear las tres direcciones de billetera de Solana que Green proporcionó, se reveló un flujo de fondos de mayor escala. ZachXBT declaró: "He confirmado que más de 12 millones de dólares (alrededor de 160 millones de wones) están conectados a un grupo de billeteras vinculadas a los fondos robados de Bybit".

Los fondos se movieron de Bitcoin (BTC) a ETH, luego a SOL y finalmente a la red Tron. En este proceso, se utilizaron puentes para mover activos entre blockchains y exchanges descentralizados (DEX). En algunas transacciones, también se confirmó el uso de tokens de bajo volumen en el pool de liquidez (LP) de Uniswap. Era un método que complicaba la estructura de las transacciones, dificultando el rastreo de los fondos.

Confirmación de la estructura de 'robo de activos por parte de organizaciones de hackers norcoreanas → lavado por parte de organizaciones especializadas chinas'

La conversación con Green no se limitó al lavado de dinero. Le habló a ZachXBT sobre el mahjong, la comida y viajes familiares. Sin saber la identidad de ZachXBT, Green no dudó en mencionar sus actividades delictivas pasadas. Se pudo identificar que Green era parte de una organización de origen chino.

Green le dijo a ZachXBT que "un equipo con el que había estado en contacto en el pasado había congelado alrededor de 300,000 dólares (alrededor de 402.264.000 wones)". ZachXBT rastreó esto y encontró un caso de congelación de 332,000 USDC vinculado al hackeo de Poloniex en 2023. También se identificó que otros 3 millones de dólares (alrededor de 402.264.000 wones) de fondos fraudulentos de otro cliente estaban relacionados con una billetera caliente de Huione Guarantee.

A través de esto, ZachXBT confirmó la estructura de división de trabajo donde las organizaciones de hackers norcoreanas roban activos digitales y las organizaciones especializadas chinas reciben los fondos para lavarlos. ZachXBT también declaró que había capturado "circunstancias similares" en el caso de hackeo de Bitget, que se estima ocurrió en septiembre y que involucró 387 millones de dólares (alrededor de 5.189 millones de wones).

ZachXBT compartió la información obtenida con agencias de investigación privadas y autoridades. Explicó que se había pospuesto la divulgación debido a la sensibilidad de la información relacionada con la investigación. Tether congeló 442,000 USDT vinculados a ese grupo de billeteras basado en la investigación de ZachXBT.

ZachXBT se asemeja a Batman, cubriendo su rostro con una máscara y castigando a los villanos. Dijo: "Espero que el apoyo de fundaciones y personas continúe, ya que gracias a este apoyo, podemos arriesgarnos más en casos que otros consideran poco viables".

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.