Un célèbre hacker éthique révèle son infiltration dans une équipe de blanchiment d'argent chinoise

Cet article est issu de : ZachXBT

Traduit par｜Odaily Planet Daily（ ++@OdailyChina++ ）；Traducteur｜Azuma（ ++@azuma_eth++ ）

Note de l'éditeur : Cet article est le dernier écrit par le célèbre hacker éthique ZachXBT concernant son enquête sur une équipe de blanchiment d'argent chinoise. Dans cet article, ZachXBT explique comment il s'est déguisé en client ayant besoin de blanchir de l'argent et les détails de sa communication avec les membres de l'équipe. Après avoir gagné la confiance des membres de l'équipe, ZachXBT a appris que cette équipe avait personnellement blanchi la majeure partie des 1,5 milliard de dollars de fonds volés de Bybit. ZachXBT a également aidé à geler une partie des fonds volés après avoir obtenu certaines pistes et a transmis ces informations aux autorités judiciaires.

Voici le contenu original de ZachXBT, traduit par Odaily Planet Daily.

Récemment, je me suis infiltré dans une équipe criminelle organisée chinoise qui a blanchi plus d'un milliard de dollars pour le groupe de hackers nord-coréen Lazarus lors de plusieurs attaques.

Je me suis déguisé en client pour collecter des informations et aider à geler les fonds volés lors de l'incident de hacking de Bybit en février 2025, tout en traçant et attribuant les activités illégales sur la blockchain.

Tout a commencé en février 2025, peu après que le groupe de hackers nord-coréen "TraderTraitor" ait volé 1,5 milliard de dollars à Bybit. J'ai remarqué un phénomène étrange : plus de 15 comptes dans des groupes publics sur Telegram et Discord publiaient des messages cherchant de l'aide du service client pour des commandes directement liées aux fonds volés.

J'ai commencé à contacter activement ces comptes, l'un d'eux utilisant le pseudonyme "Jimmy Green" sur Telegram.

• Nom d'utilisateur Telegram de Jimmy Green : long_991
• ID Telegram de Jimmy Green : 7635649994

Le 6 mars 2025, j'ai rechargé un nouveau portefeuille Ethereum avec 349 700 USDC, prêt à effectuer plusieurs transactions avec Jimmy Green.

• Mon adresse : 0x073256b50d66a7eb005f2a504d0a4fb6ea62a276

Jimmy m'a fourni son adresse (commençant par 0xbaa5) pour que je puisse transférer des USDC en échange de son USDT sur la chaîne Tron.

Les frais de Gas de l'adresse commençant par 0xbaa5 étaient fournis par une autre adresse commençant par 0xbcb4, qui peut être directement retracée jusqu'aux fonds volés de Bybit et a été inscrite sur un site de liste noire public concernant l'incident de hacking de Bybit.

• Adresse Ethereum de Jimmy Green : 0xbaa551da0ae0c93025d9a983a68025a27dc15337
• Adresse Tron de Jimmy Green : TPwXAPwYaDCm7GrzNFiMmNnofrxEVURXRM

Pour gagner sa confiance, j'ai effectué plusieurs transactions avec lui, et voici d'autres adresses utilisées par Jimmy Green.

• 0x1893ef01e700b1359280e11736d1b89fe97ed216
• TS5hY6mm6UsCLNdVDWnsRA69LuAwfdn158
• TMGjdFeBf9T6kGB9ZmLzeaAPYWBokuyTuS

Après cela, Jimmy a commencé à me révéler à l'avance les mouvements de fonds qu'ils effectuaient pour transférer les fonds volés de Bybit vers la Corée du Nord, ainsi que les détails de leurs opérations à Hong Kong et en Chine continentale.

Par exemple, il m'a informé un jour à l'avance que des fonds seraient transférés vers Solana, et le lendemain, le transfert a effectivement eu lieu sur la blockchain. Il a affirmé que son équipe avait aidé à blanchir la majeure partie des 1,5 milliard de dollars de fonds volés de Bybit, ce qui correspondait parfaitement au modèle de blanchiment que j'avais observé.

À ce moment-là, j'ai réalisé que je devais accepter une perte de 5 % sur chaque commande pour continuer à trader, en pariant sur la possibilité d'obtenir plus d'informations exploitables aussi rapidement que possible.

Dans un cas le 12 mars 2025, Jimmy a partagé une capture d'écran de son transfert de fonds inter-chaînes. En comparant le montant et l'horodatage sur le navigateur THORChain, j'ai réussi à faire correspondre une commande créée quelques minutes après son message.

• Hash de la transaction : 81a85130b36057428e64b6f97215f77b5a197776a8f1b3a61c8cd0ee1ebfa8c1

Jimmy a également fourni trois adresses Solana (détaillées ci-dessous), qui ont révélé un cluster d'adresses lié à plus de 12 millions de dollars de fonds volés de Bybit, ce cluster étant en train d'échanger des fonds en temps réel via BTC ➡️ ETH ➡️ SOL ➡️ Tron.

• 9gSwa2Mew9P21Wxs8nFgDujTurKZx1nBEVRv6K5sJP6e
• EvZJGsDymrSUQyF23HLKEgUpjfd9XN1GTmm8AG6pFS7H
• 8S6T5gL2w5z4M9TCehMgQjxVm3Q6R7WDHp6WFfbtZSAy

Par la suite, 442 000 USDT liés à ce cluster ont été gelés avec succès par Tether (0x652d7f9edaaa8891be2de74ea568d70af823d89e). Ce cluster a également utilisé une nouvelle méthode de blanchiment : en utilisant des tokens non liquides dans les pools de liquidité Uniswap (LP).

Jimmy a mentionné qu'il connaissait une équipe qui avait été gelée pour environ 300 000 dollars en 2024. J'ai confirmé ce gel sur la blockchain, le montant réel étant de 332 000 USDC provenant d'un incident de vol sur Poloniex.

Jimmy a également révélé qu'ils avaient blanchi 3 millions de dollars de fonds de fraude pour un autre client. J'ai retracé ces fonds jusqu'à un portefeuille chaud de Huione Guarantee, une plateforme qui a depuis été sanctionnée et dont l'ancien président a été arrêté.

Tout au long de notre communication, en plus de discuter des affaires de blanchiment d'argent pour la Corée du Nord, Jimmy et moi avons également parlé de nombreux sujets quotidiens. Il a mentionné le Mahjong, la chasse au lièvre, la gastronomie, les repas diététiques, la vie de famille et des vacances à Disneyland.

Il est à noter que sa grammaire était très maladroite, ce qui pourrait indiquer qu'il utilisait un logiciel de traduction.

Je publie cet article dans l'espoir de continuer à recevoir des dons de la part de fondations ou d'individus, car cela me permettrait de prendre des risques plus élevés pour enquêter sur des affaires que d'autres pourraient considérer comme impraticables ou trop coûteuses.

Dans cette affaire, j'ai investi 349 700 dollars de capital, subissant une perte de 5 % sur chaque commande, tout en prenant le risque que Jimmy s'enfuie avec l'argent à tout moment, ainsi que les dangers inconnus liés à traiter directement avec un groupe criminel.

Depuis 2022, j'ai aidé à geler plus de 75 millions de dollars de fonds liés à des incidents de hackers nord-coréens. Mes découvertes d'enquête ont été partagées en temps opportun avec des enquêteurs de confiance du secteur privé ainsi qu'avec les autorités judiciaires responsables de cette affaire.

En raison de la sensibilité élevée de l'enquête, je n'ai pas pu divulguer ces détails plus tôt. C'est aussi l'un des aspects frustrants de mon travail : je ne peux pas toujours publier les résultats de mes enquêtes en temps voulu, et j'ai encore de nombreuses découvertes importantes en attente sur d'autres affaires.

Si vous vous sentez concerné par cette affaire et avez la capacité de soutenir, n'hésitez pas à me contacter.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.