L’enquêteur spécialisé dans la blockchain ZachXBT a révélé comment il a dépensé son propre argent pour infiltrer clandestinement un syndicat criminel chinois qui, selon lui, a blanchi plus d’un milliard de dollars en cryptomonnaies volées pour le compte du groupe Lazarus, lié à la Corée du Nord. Pour gagner la confiance du groupe et obtenir des renseignements sur la manière dont les fonds volés étaient transférés, il a délibérément perdu environ 5 % sur chaque transaction effectuée avec ses membres.
Comment l’opération a commencé
Selon ZachXBT, l’enquête a débuté peu après le piratage de la plateforme d’échange de cryptomonnaies Bybit, en février 2025, au cours duquel les attaquants ont dérobé environ 1,5 milliard de dollars en cryptoactifs — le plus important vol jamais commis sur une plateforme d’échange. En retraçant les événements qui ont suivi, ZachXBT a repéré plus de 15 comptes sur Telegram et Discord qui proposaient publiquement leur aide pour exécuter des ordres liés aux fonds volés. Plutôt que de se contenter d’observer à distance, ZachXBT a décidé de prendre directement contact avec eux, en se faisant passer pour un client légitime souhaitant transférer des fonds via le réseau.
Se faire passer pour un client afin de gagner la confiance
L’un des comptes que ZachXBT a contactés appartenait à un utilisateur Telegram opérant sous l’alias « Jimmy Green ». Le 6 mars 2025, ZachXBT a financé une nouvelle adresse Ethereum avec 349 700 USDC, spécifiquement pour mener une série de transactions avec ce contact. Jimmy Green a proposé d’échanger l’USDC sur Ethereum contre de l’USDT sur le réseau TRON. L’adresse de portefeuille qu’il a fournie pour l’échange avait elle-même été alimentée par un portefeuille distinct que ZachXBT a pu retracer directement jusqu’à des fonds volés lors du piratage de Bybit — une adresse qui avait également été signalée de manière indépendante dans la propre liste noire publique de Bybit.
ZachXBT a poursuivi des transactions supplémentaires avec Jimmy Green, en particulier pour gagner en crédibilité au sein du réseau. D’après l’enquêteur, à mesure que la confiance augmentait, son contact a commencé à fournir des informations concernant des mouvements à venir de fonds liés à la Corée du Nord. Dans un cas notable, Jimmy Green a informé ZachXBT à l’avance que des fonds seraient transférés vers le réseau Solana — et, comme l’a documenté ZachXBT, ce transfert a eu lieu exactement comme prévu le lendemain. On rapporte que Jimmy Green a dit à ZachXBT que son équipe avait blanchi la majeure partie des 1,5 milliard de dollars volés à Bybit, une affirmation que ZachXBT a indiquée comme correspondant aux schémas de blanchiment qu’il avait observés indépendamment via une analyse en chaîne.
Perdre volontairement de l’argent pour recueillir des renseignements
Pour maintenir l’opération et garder sa couverture crédible, ZachXBT a accepté une perte financière à chaque échange, perdant environ 5 % sur chaque ordre. Il a été explicite : l’objectif n’était jamais le profit, mais plutôt d’extraire des renseignements exploitables aussi efficacement que possible. Au total, il a engagé 349 700 $ de ses propres fonds dans l’opération, sans aucune garantie que la contrepartie ne disparaisse pas simplement avec l’argent. « J’avais besoin de continuer à perdre 5 % sur chaque ordre et de prendre un risque afin de recueillir le plus de renseignements pratiques possible dans le plus court laps de temps », a déclaré ZachXBT, ajoutant que le fait de s’engager directement avec le syndicat l’exposait, dans une mesure incertaine, à un risque personnel tout au long de l’opération.
Traquer les fonds volés de Bybit à travers plusieurs chaînes
Un moment charnière de l’enquête est survenu le 12 mars 2025, lorsque Jimmy Green a envoyé à ZachXBT une capture d’écran documentant un transfert via un pont inter-chaînes. ZachXBT a recoupé les montants et les horaires indiqués sur l’image avec une transaction en chaîne créée quelques minutes seulement après l’envoi du message, confirmant l’activité de blanchiment en quasi temps réel.
Jimmy Green a ensuite fourni trois adresses basées sur Solana, permettant à ZachXBT d’identifier un groupe détenant plus de 12 millions de dollars de fonds liés à l’exploit de Bybit. D’après ses constatations, les actifs volés ont transité de Bitcoin vers Ethereum, puis vers Solana, et finalement vers TRON — avec des transactions enchaînées, selon ZachXBT, dans une succession quasi temps réel. Tether a ensuite gelé 442 000 USDT associés à ce cluster précis. ZachXBT a également indiqué que le syndicat avait commencé à utiliser une technique de blanchiment plus récente impliquant des pools de jetons à faible liquidité sur Uniswap.
Un syndicat gérant bien plus que les fonds du Lazarus
Au fil de leurs échanges, Jimmy Green a dévoilé des détails sur d’autres opérations en plus du vol Bybit. Il a mentionné une équipe distincte détenant environ 300 000 $ qui avaient été gelés en 2024 ; ZachXBT a vérifié l’affirmation en chaîne et a déterminé que le montant réel était de 332 000 $ en USDC, retraçant les fonds jusqu’à l’exploit Poloniex antérieur. Dans une affaire distincte, Jimmy Green a décrit le blanchiment de 3 millions de dollars issus de fraudes pour un autre client — des fonds que ZachXBT a retracés jusqu’au portefeuille chaud de Huione Guarantee, une entité par la suite sanctionnée, dont l’ancien responsable a ensuite été arrêté.
Au-delà de l’argent : une relation humaine
ZachXBT a noté qu’au fil d’une communication prolongée, Jimmy Green a progressivement fourni des quantités croissantes d’informations sur les activités de son équipe, et que leurs échanges allaient bien au-delà des opérations liées à la crypto et au blanchiment. Jimmy Green a parlé de jouer au mahjong, de chasser des lapins sauvages, de nourriture, de régimes pour perdre du poids, de sa famille et d’un séjour à Disneyland. ZachXBT a émis l’hypothèse que la grammaire inhabituelle de son contact pouvait refléter le recours à un logiciel de traduction, et a indiqué que Jimmy Green avait également fourni des détails opérationnels généraux sur la présence du syndicat à Hong Kong et dans la Chine continentale.
Remettre les preuves aux autorités
ZachXBT a déclaré que toute l’intelligence recueillie pendant l’opération a été partagée avec des partenaires du secteur privé dûment vérifiés et des agences d’application de la loi travaillant sur l’affaire connexe, et qu’il avait retenu des détails publics jusqu’à présent en raison de la sensibilité de l’enquête. Il a souligné que l’impossibilité de publier immédiatement des conclusions reste l’un des aspects les plus difficiles de son travail, ajoutant qu’il détient actuellement des informations substantielles non divulguées sur plusieurs autres affaires en cours qui ne peuvent pas encore être rendues publiques.
Faisant partie d’un schéma plus large
Les conclusions de ZachXBT renforcent un schéma qu’il a documenté précédemment : des acteurs liés à l’État nord-coréen génèrent des revenus crypto importants et continus grâce à une série d’escroqueries, dont un montant estimé à 1 million de dollars par mois obtenu via de faux employés informatiques se faisant passer pour des développeurs légitimes dans des sociétés crypto et technologiques — soulignant que des réseaux de blanchiment comme celui auquel ZachXBT s’est infiltré ne représentent qu’une partie d’un effort beaucoup plus vaste et durable visant à convertir la crypto volée et frauduleusement obtenue en fonds exploitables pour le régime nord-coréen.
Ce que cela signifie pour la suite
L’opération d’infiltration menée par ZachXBT démontre à la fois l’ampleur de l’infrastructure de blanchiment organisée soutenant le vol de crypto lié à la Corée du Nord et l’étendue des efforts que des enquêteurs indépendants sont prêts à déployer pour le révéler — en acceptant des pertes financières directes et un risque personnel afin d’obtenir des renseignements que les forces de l’ordre pourraient exploiter.
Alors que Tether gelait déjà des centaines de milliers de dollars liés au cluster identifié et que des sanctions supplémentaires avaient suivi à la suite de conclusions connexes impliquant Huione Guarantee, l’opération illustre comment la transparence de la blockchain, combinée à un travail d’enquête d’infiltration de type classique, continue de produire des conséquences réelles pour les réseaux de blanchiment d’argent en crypto — même lorsque l’ampleur complète de ce que découvrent les enquêteurs ne peut pas être divulguée immédiatement.