ZachXBT يدفع 349,700 من عملة USDC على شبكة Ethereum (ETH) للتسلل إلى مغسلي أموال مجموعة Lazarus

كشف المحقق على السلسلة ZachXBT أنه تسلل من الداخل إلى شبكة جريمة منظمة صينية غسّلت أكثر من مليار دولار من العملات الرقمية المسروقة لصالح مجموعة Lazarus الكورية الشمالية، وكلّفت العملية كل ما يزيد عن 349,700 دولار من ماله الخاص. في سلسلة منشورة يوم 5 أكتوبر 2026، كتب أن انتحال شخصية عميل غسيل أموال مكّنه من جمع معلومات استُخدمت لاحقًا لتنفيذ تجميدات مرتبطة باختراق منصة Bybit في فبراير 2025، وربط النشاط غير المشروع بالعناوين على السلسلة.

@zachxbt · منشور على X

كتب.

عرض على X

بدأت الخيوط تتضح بعد فترة قصيرة من اختراق Bybit الذي بلغت خسائره 1.5 مليار دولار، حين رصد المحقق أكثر من 15 حسابًا في مجموعات عامة على تيليجرام وديسكورد تطلب المساعدة في أوامر مرتبطة بأموال مسروقة. اعتمد أحد المشغّلين الاسم المستعار «Jimmy Green». وفي 6 مارس 2025، موّل ZachXBT عنوانًا جديدًا على شبكة Ethereum (ETH) بمبلغ 349,700 من عملة USDC، وهي العملات المستقرة الصادرة عن Circle Internet Group، وشرع في التعامل مع جيمي الذي استبدل مبلغ USDC بعملة USDT على شبكة ترون. كان عنوان الوجهة قد استقبل رسوم غاز من محفظة يمكن تتبعها مباشرة إلى أموال اختراق Bybit، وكان مدرجًا في القائمة السوداء العامة لاختراق المنصة.

كل أمر مكتمل خسّره 5% من المبلغ، ويقر المحقق بعدم وجود أي ضمانة من اختفاء جيمي مع الأموال، فضلًا عن مخاطر شخصية يصعب تقديرها. مقابل ذلك جاءت المكافأة الاستخبارية: كان جيمي يناقش تحركات أموال Bybit لصالح كوريا الشمالية قبل وقوعها، إضافة إلى تفاصيل تشغيلية في هونغ كونغ وبر الصين الرئيسي. وبحلول 10 مارس بدأ يطالب بأوامر إضافية، وعندما ترددت الشخصية المزيفة أجاب بأن فريقه يملك مليون دولار جاهزة لبدء العمل في أي وقت. وفي 12 مارس 2025، طابق ZachXBT لقطة شاشة أرسلها جيمي لنفسه أثناء تحويل أموال عبر الجسور مع أمر مسجَّل قبل دقائق على مستكشف Thorchain، وهو سجل عام للتبادلات على البروتوكول العابر للسلاسل. ثم شارك جيمي ثلاثة عناوين على سولانا كشفت عن مجموعة تتجاوز 12 مليون دولار من غنائم Bybit تقفز من البيتكوين إلى الإيثير ثم سولانا وصولًا إلى ترون. جمّدت Tether لاحقًا 442,000 من عملة USDT مرتبطة بذلك العنقود.

من غنائم Bybit إلى Huione

يشكّل ملف Bybit أساس القضية. فقد ربط ZachXBT اختراق فبراير 2025، الذي سرق 1.5 مليار دولار من المنصة، بمجموعة Lazarus مستعينًا ببيانات السلسلة في يوم الهجوم نفسه، وأكد مكتب التحقيقات الفيدرالي FBI هذه الإسناد بعد أيام، منسوبًا إياه إلى العنقود الذي يتتبعه تحت اسم TraderTraitor. كما بيّن أن المحافظ التي غسلت أموال Bybit تعود إلى هجمات سابقة لمجموعة Lazarus على منصتي Phemex وBingX. وفي منشور تكميلي، ادعى جيمي أن فريقه غسل معظم حصيلة اختراق Bybit، وشارك عناوين المخترق ونموذجًا للتحويل عبر THORSwap.

@zachxbt · منشور على X

ادعى جيمي أن فريقه.

عرض على X

كانت التحققات المتقاطعة لا تقل أهمية عن الأحاديث. ذكر جيمي فريقًا يملك نحو 300,000 دولار مجمّدة في 2024؛ وعلى السلسلة، كانت هذه التجميدات تخص 332,000 من عملة USDC مسروقة في اختراق منصة Poloniex في نوفمبر 2023، وهو اختراق تجاوزت خسائره 100 مليون دولار وربط الباحثون بمجموعة Lazarus. وعندما قال جيمي إنه غسل 3 ملايين دولار من عائدات احتيال لعميل آخر، تتبع ZachXBT الأموال إلى محفظة نشطة تستخدمها Huione Guarantee، وهي سوق على تيليجرام مرتبطة بمجموعة Huione الكمبودية التي استهدفتها FinCEN التابعة لوزارة الخزانة الأمريكية بتهمة غسل ما لا يقل عن 4 مليارات دولار. حظرت تيليجرام السوق في مايو 2025، واعتقلت السلطات الصينية رئيس المجموعة السابق لي شيونغ بعد ترحيله من كمبوديا.

المنهجية قابلة للتكرار أيضًا. الأسبوع الماضي، وبعد اختراق Bitget الذي بلغت خسائره 387 مليون دولار، والذي ربط الرئيس التنفيذي للمنصة وشركتا التتبع Elliptic وChainalysis بكوريا الشمالية، ظهر مجددًا عدد من الحسابات الصينية التي تطلب مساعدة في غسل الأموال. ويقول ZachXBT إنه ساهم في تنفيذ تجميدات تتجاوز 75 مليون دولار مرتبطة بحوادث كوريا الشمالية منذ 2022. عيّنت Paradigm مستشارًا للاستجابة للحوادث في فبراير 2025، وقال المؤسس المشارك Matt Huang إنه أعاد أكثر من 350 مليون دولار لضحايا الاختراقات والاحتيالات، ويموّل أعماله الأكثر خطورة عبر منح مؤسسية وتبرعات فردية.

ما الذي يغيّره هذا العمل الاستباقي

قراءتنا في COINOTAG: الإفصاح يهم لأجل منهجه أكثر من أرقامه. محقق خاص يموّل العملية من جيبه، ويتحمّل خسارة 5% على كل أمر، أنتج مراسٍ تحقق على السلسلة يمكن للمصدرين وجهات إنفاذ القانون التحرك بناءً عليها، من تجميد 442,000 من عملة USDT إلى 75 مليون دولار من التجميدات التراكمية المرتبطة بكوريا الشمالية منذ 2022. قيمة النتائج تأتي في الميدان التنفيذي أكثر من تأثيرها على مسار سعر الإيثير. والتنسيق الذي يصفه ZachXBT، أي حجب النشر إلى أن ينهي المحققون في القطاع الخاص وجهات إنفاذ القانون المعيّنة عملها، يعني أن النتائج تظهر متأخرة وبشكل جماعي، كما حدث هنا بعد نحو 19 شهرًا من اختراق Bybit وفقط بعد أن كانت التجميدات قد نُفذت بالفعل.