Blockchain dedektifi ZachXBT, Lazarus Grubu için 1 milyar doların üzerinde çalıntı kripto varlığı akladığını söylediği Çin merkezli bir suç ağına müşteri gibi davranarak sızdı.
ZachXBT, operasyon için kendi kaynaklarından 349.700 USDC ayırdığını belirtti. Topladığı bilgilerin, 2025 yılının şubat ayındaki Bybit saldırısıyla bağlantılı bazı fonların dondurulmasına yardımcı olduğunu söyledi.
2/ In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group ‘TraderTraitor’, I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord.
Last week I shared how illicit… pic.twitter.com/EKLeuzOOXT
— ZachXBT (@zachxbt) October 5, 2026
Soruşturma Bybit Saldırısından Sonra Başladı
Soruşturma, 21 Şubat 2025’te Bybit borsasından yaklaşık 1,5 milyar dolar değerinde Ethereum’un çalındığı, kripto tarihinin en büyük hırsızlığının ardından başladı. Saldırının Kuzey Kore bağlantılı TraderTraitor grubu tarafından gerçekleştirildiği bildirilmişti.
ZachXBT’nin açıklamasına göre herkese açık Telegram ve Discord gruplarında 15’ten fazla hesap, çalınan fonlarla doğrudan bağlantılı işlemler için yardım arıyordu. Araştırmacı bu hesaplardan birkaçıyla iletişime geçti. Bu hesaplardan biri “Jimmy Green” takma adını kullanıyordu.
ZachXBT, 6 Mart 2025’te yeni bir Ethereum adresine 349.700 USDC aktardı. Bu fonları, söz konusu kişiyle birkaç işlem yapmak için kullanmayı amaçlıyordu.
Jimmy, Tron ağında USDT göndermek karşılığında USDC alacağı bir adres paylaştı. ZachXBT, bu adresin işlem ücretlerini karşılayan fonların başka bir cüzdandan geldiğini tespit etti. İlgili cüzdanın fonları Bybit saldırısına kadar izlenebiliyordu. Araştırmacı, güven kazanmak için Jimmy ile işlem yapmayı sürdürdü.
Paylaşılan Bilgiler Zincir Üstü İşlemlerle Eşleştirildi
ZachXBT’ye göre Jimmy zamanla operasyon hakkında daha fazla bilgi verdi. Bybit fonlarını Kuzey Koreli aktörler için taşıdığını anlattı ve grubun Hong Kong ile Çin ana karasındaki faaliyetlerine ilişkin bazı ayrıntılar paylaştı.
Bir görüşmede Jimmy fonların Solana’ya taşınacağını bir gün önceden söyledi. Ertesi gün bu transfer gerçekleşti. Jimmy ayrıca ekibinin Bybit’ten çalınan 1,5 milyar doların büyük bölümünü akladığını iddia etti. ZachXBT, bu iddianın gözlemlediği para aklama örüntüleriyle uyumlu olduğunu belirtti.
12 Mart 2025’te Jimmy, fonları ağlar arasında taşırken aldığı bir ekran görüntüsünü paylaştı. ZachXBT, tutar ve zaman bilgilerini kullanarak görüntüyü THORChain gezginindeki bir işlemle eşleştirdi.
Jimmy’nin daha sonra paylaştığı üç Solana adresi, Bybit saldırısından gelen 12 milyon doların üzerinde fon içeren bir cüzdan kümesini ortaya çıkardı. Fonlar, Bitcoin, Ethereum, Solana ve Tron arasında gerçek zamanlı olarak takas ediliyordu. Bu kümeyle bağlantılı yaklaşık 442.000 USDT, daha sonra Tether tarafından donduruldu. ZachXBT ayrıca Uniswap likidite havuzlarını ve düşük likiditeli tokenları kullanan bir para aklama yöntemi tespit etti.
Poloniex ve Huione Bağlantıları da Ortaya Çıktı
Soruşturmada, başka olaylarla bağlantılı bilgiler de elde edildi. Jimmy, tanıdığı bir ekibin yaklaşık 300.000 dolarlık fonunun 2024’te dondurulduğunu söyledi. Bu fonların daha sonra Poloniex saldırısından geldiği belirlendi.
Jimmy ayrıca başka bir müşteri için 3 milyon dolarlık dolandırıcılık gelirini akladığını söyledi. Fonlar, daha sonra yaptırım uygulanan Huione Guarantee ile bağlantılı bir sıcak cüzdana kadar takip edildi.
Görüşmeler yalnızca para aklamayla alakalı değildi. Jimmy, mahjong, yabani tavşan avı, yemek, aile hayatı ve Disney tatilleri hakkında da konuşuyordu. ZachXBT, Jimmy’nin dil bilgisi hatalarının çeviri aracı kullanmasından kaynaklanabileceğini belirtti.
Her İşlemde %5 Kayıp Yaşandı
Operasyon, ZachXBT için mali risk de taşıyordu. Araştırmacı, kendi kaynaklarından ayırdığı 349.700 USDC ile yaptığı her bir işlemde %5 kayıp yaşadığını söyledi. Karşı tarafın fonlarla ortadan kaybolmayacağına dair bir güvence de yoktu.
ZachXBT, 2022’den bu yana Kuzey Kore bağlantılı olaylarda 75 milyon doların üzerinde fonun dondurulmasına yardımcı olduğunu belirtti.
Bu soruşturmada elde edilen bulguların, özel sektördeki güvendiği araştırmacılarla ve dosyada görevli kolluk kuvvetleriyle hemen paylaşıldığını söyledi. Dedektif, soruşturmanın hassasiyeti nedeniyle bulguları daha önce yayımlayamadığını ifade etti.
ZachXBT Bybit’ten Çalınan Fonları Aklayan Ağa Nasıl Sızdığını Anlattı yazısı ilk önce CryptoPotato üzerinde ortaya çıktı.
