ZachXBT diz ter se passado por cliente de rede chinesa que lava criptomoedas para o Lazarus e ajudado a congelar US$ 442 mil

O investigador de blockchain conhecido pelo pseudônimo ZachXBT contou em 5 de outubro de 2026, numa sequência de publicações no X, que gastou US$ 349,7 mil do próprio dinheiro para se passar por cliente de um grupo do crime organizado chinês que, segundo ele, lavou mais de US$ 1 bilhão para o Lazarus, o grupo de hackers ligado à Coreia do Norte, e que as informações obtidas nas conversas ajudaram a congelar fundos roubados da corretora Bybit e a atribuir movimentações ilícitas nas redes de criptomoedas, segundo os sites Decrypt e Protos.

Quem é o investigador

ZachXBT é provavelmente o investigador de blockchain mais conhecido do setor de criptomoedas, segundo o Decrypt, que o descreve como um jovem na casa dos 20 anos, quase sempre sob pseudônimo, que há anos rastreia criptomoedas roubadas e identifica os responsáveis por golpes e invasões com base em dados públicos das redes, que qualquer pessoa pode conferir.

No dia do ataque à Bybit, em fevereiro de 2025, que causou perdas de US$ 1,5 bilhão à corretora, ele ligou o caso ao Lazarus a partir dos dados da blockchain, e o FBI confirmou a atribuição dias depois, ao grupo que chama de TraderTraitor, e ele também mostrou que carteiras usadas para lavar o dinheiro da Bybit estavam ligadas a ataques anteriores do Lazarus, como os da Phemex e da BingX, segundo o Decrypt.

Como começou

Pouco depois do ataque à Bybit, ZachXBT diz ter notado um padrão de mais de 15 contas pedindo ajuda, em grupos públicos do Telegram e do Discord, com ordens de troca ligadas diretamente aos fundos roubados, e, segundo o Decrypt e o Protos, ele viu o mesmo movimento na semana anterior à publicação, depois do roubo de US$ 387 milhões da corretora Bitget, que o presidente da empresa e as empresas de rastreamento Elliptic e Chainalysis ligaram à Coreia do Norte.

Ele começou a mandar mensagens a essas contas, e uma delas usava no Telegram o nome “Jimmy Green”, e em 6 de março de 2025, contou, abasteceu um endereço novo com 349,7 mil USDC, uma criptomoeda pareada ao dólar, na rede Ethereum, para fazer várias transações com ele.

O endereço que Jimmy indicou para receber os USDC, em troca de USDT na rede Tron, tinha sido abastecido com a taxa de rede por uma carteira “diretamente rastreável aos fundos do ataque à Bybit” e que constava da lista pública de endereços bloqueados do caso, segundo o investigador.

Correlação entre conversa e blockchain

ZachXBT diz ter feito várias outras transações para ganhar a confiança do contato, que passou então a falar de transferências de fundos da Bybit para a Coreia do Norte antes de elas acontecerem e a dar detalhes da operação em Hong Kong e na China continental, e a prova, segundo ele, foi que, num dia, Jimmy avisou que os fundos iriam para a rede Solana e, no dia seguinte, foram.

Em 12 de março de 2025, ele afirma ter casado uma captura de tela que Jimmy mandou, mostrando uma transferência entre redes, com uma ordem criada minutos depois da mensagem, comparando valores e horários no explorador público da Thorchain, um protocolo que troca moedas diretamente entre blockchains diferentes.

Jimmy então passou três endereços na rede Solana, que, segundo o investigador, expuseram um conjunto de mais de US$ 12 milhões do roubo à Bybit sendo trocado em tempo real, do bitcoin para o ether, depois para a Solana e por fim para a Tron, e a Tether, emissora do USDT, congelou depois 442 mil USDT ligados a esse conjunto.

Para continuar, ele aceitou perder 5% em cada ordem e escreveu que adiantou o dinheiro sem nenhuma garantia de que Jimmy não sumiria com os fundos, além de um risco pessoal desconhecido por lidar com o grupo, e Jimmy chegou a dizer que “a equipe preparou US$ 1 milhão e está pronta para começar a qualquer momento” e explicou que o grupo tinha “divisões de trabalho” para receber e distribuir os USDT.

Outros casos ligados ao grupo

O contato contou que uma equipe conhecida dele teve cerca de US$ 300 mil congelados em 2024, e ZachXBT diz ter achado esse congelamento na blockchain: eram 332 mil USDC roubados no ataque à corretora Poloniex, em novembro de 2023, que tirou mais de US$ 100 milhões da empresa e que pesquisadores atribuem ao Lazarus, segundo o Decrypt, enquanto o Protos fala num congelamento de US$ 100 mil ligado ao mesmo ataque.

Jimmy disse ainda ter lavado US$ 3 milhões de fraudes para outro cliente, e o investigador diz ter rastreado esse dinheiro até uma carteira usada pela Huione Guarantee, mercado no Telegram em que criminosos vendiam serviços de lavagem e dados roubados, ligado ao conglomerado cambojano Huione Group, alvo da unidade de inteligência financeira do Tesouro americano (FinCEN) por suspeita de lavar pelo menos US$ 4 bilhões.

Os limites do relato

Quase tudo o que se sabe da operação vem do relato do próprio ZachXBT, que diz ter repassado as descobertas na hora a investigadores privados de confiança e às autoridades responsáveis pelo caso, e que a sensibilidade das investigações o impediu de publicar antes.

Ele afirma ter ajudado, desde 2022, a congelar mais de US$ 75 milhões ligados a ataques atribuídos à Coreia do Norte, diz que financia trabalhos de maior risco com doações de fundações e de pessoas e que ainda guarda descobertas importantes de outros casos.