Was ist passiert?
Der unter dem Namen ZachXBT auftretende Blockchain-Ermittler veröffentlichte am 5. Oktober die Beschreibung einer Operation, bei der er sich nach eigenen Worten als Kunde eines Kryptowährungsdienstes ausgab und dadurch in ein mutmaßliches chinesisches Geldwäschenetzwerk eindrang. Dieses bringt er mit der nordkoreanischen Lazarus-Gruppe in Verbindung. Nach seiner Aussage wusch das Netzwerk über verschiedene Exploits hinweg mehr als 1 Milliarde Dollar (CryptoSlate, Cointelegraph).
Schlüsselzahl: ZachXBT gibt an, selbst 349.700 USDC vorfinanziert zu haben, um eine Beziehung zu einem Kontakt aufzubauen, der das Pseudonym "Jimmy Green" nutzte (CryptoSlate, The Defiant). Wiederholte Stablecoin-Geschäfte öffneten ihm seiner Beschreibung zufolge den Weg zu privaten Gesprächen über das Verschieben von Geldern, die 2025 von der Börse Bybit gestohlen wurden.
Wie soll die Infiltration abgelaufen sein?
ZachXBT beschreibt, dass er "von innen" in das Netzwerk gelangte. Statt nur On-Chain-Bewegungen zu beobachten, gab er sich als Kunde aus und finanzierte wiederholte Stablecoin-Tausche. Dadurch soll er das Vertrauen des Kontakts gewonnen und Zugang zu Informationen erhalten haben, die er von außen nicht herausgefunden hätte (CryptoSlate).
Auf Grundlage dieser Informationen soll er einen Adress-Cluster verfolgt haben, den er mit dem Bybit-Hack in Verbindung bringt und auf mehr als 12 Millionen Dollar beziffert (The Block, The Defiant). ZachXBT stellt seine Arbeit in Zusammenhang mit der späteren Einfrierung von 442.000 USDT (The Defiant, CryptoSlate).
Wie ist der Kontext des Bybit-Hacks?
Der Hack der Börse Bybit aus dem Jahr 2025 ist laut den genannten Quellen ein Angriff im Wert von 1,5 Milliarden Dollar (The Block, Cointelegraph). Die Wäsche eines so großen Volumens an Geldern läuft typischerweise über Ketten von Tauschdiensten, Mixern und Vermittlern ab, die die Umwandlung "schmutziger" Token in andere anbieten. Genau auf ein solches Glied der Kette soll ZachXBT abgezielt haben.
Was ist belegt und was noch nicht?
Wichtig ist, das Belegte von dem zu trennen, was bislang nur eine Behauptung einer Seite ist.
| Angabe | Quelle | Status |
|---|---|---|
| ZachXBT veröffentlichte die Beschreibung der Operation am 5. Oktober | CryptoSlate | Behauptung des Ermittlers |
| Vorfinanzierung von 349.700 USDC | CryptoSlate, The Defiant | Behauptung des Ermittlers |
| Netzwerk wusch über 1 Mrd. USD für Lazarus | Cointelegraph, CryptoSlate | unbestätigter Vorwurf |
| Cluster mit mehr als 12 Mio. USD aus Bybit | The Block, The Defiant | Behauptung des Ermittlers |
| Einfrierung von 442.000 USDT | The Defiant, CryptoSlate | angegeben, ohne offizielle Bestätigung in den Quellen |
Die Quellen geben die Version von ZachXBT wieder. Im Quellenmaterial liegt uns keine unabhängige Bestätigung von Börsen, Strafverfolgungsbehörden oder Gerichtsdokumenten vor. Die Identität der Person hinter dem Pseudonym "Jimmy Green" bleibt unbekannt, und die Vorwürfe gegen das Netzwerk sind in den genannten Quellen in keiner Weise gerichtlich bewiesen.
Worauf sollte man bei dieser Art von Meldungen achten?
Berichte über Infiltrationen und "aufgedeckte" Geldwäscher sind oft stark einseitig, weil sie auf der Beschreibung des Ermittlers beruhen. Beim Lesen hilft es, drei Dinge zu beobachten: ob es einen On-Chain-Beweis gibt, der sich unabhängig überprüfen lässt, ob eine Börse oder Behörde die Einfrierung von Geldern bestätigt, und ob offizielle Anschuldigungen oder eine Reaktion der Gegenseite auftauchen. Solange diese Elemente fehlen, handelt es sich um eine belegte Behauptung einer einzelnen Person und nicht um eine bestätigte Tatsache.
charliedesk wird verfolgen, ob sich die Einfrierung von 442.000 USDT und die Verbindung des Clusters zu Bybit aus einer unabhängigen Quelle bestätigt. Diese Meldung werden wir bei weiteren Entwicklungen offen neu bewerten.