یک محقق حوزه بلاک‌چین با نام ZachXBT اعلام کرده است که توانسته به یک شبکه پول‌شویی در چین که با گروه Lazarus (وابسته به کره شمالی) در ارتباط است، نفوذ کند. این اقدام پس از سرقت گسترده ۱.۵ میلیارد دلاری از صرافی Bybit صورت گرفت.
روش نفوذ و شناسایی
این محقق با رصد گروه‌های عمومی در پلتفرم‌های Telegram و Discord، بیش از ۱۵ حساب کاربری را شناسایی کرد که به دنبال کمک برای جابه‌جایی وجوه مسروقه از Bybit بودند. وی با ایجاد یک هویت جعلی به عنوان مشتری، با اپراتوری به نام “Jimmy Green” ارتباط برقرار کرد تا اعتماد شبکه را جلب کند.
برای تثبیت جایگاه خود در این شبکه، محقق مذکور مبلغ ۳۴۹,۷۰۰ USDC را به یک کیف پول Ethereum منتقل کرده و شروع به تبدیل USDC به USDT در شبکه Tron نمود. وی گزارش داد که برای حفظ دسترسی به این شبکه، پذیرای ضرری حدود ۵ درصد در هر تراکنش شده است.
تحلیل فنی و ردیابی وجوه
مراحل کلیدی این عملیات بر پایه تطبیق ادعاهای اپراتور با سوابق تراکنش‌های ثبت شده در بلاک‌چین بود. یافته‌های فنی نشان داد که کیف پول دریافت‌کننده اپراتور، هزینه تراکنش‌ها (Gas) را از آدرسی دریافت کرده که مستقیماً با سرقت Bybit در ارتباط است.
- تطبیق زمانی: اسکرین‌شات‌های به دست آمده با تراکنش‌های THORChain از نظر زمان و مبلغ کاملاً مطابقت داشتند.
- خوشه‌های کیف پول: از طریق سه آدرس در شبکه Solana، خوشه‌ای از کیف پول‌ها شناسایی شد که بیش از ۱۲ میلیون دلار از وجوه Bybit را در اختیار داشتند.
- جابه‌جایی بین شبکه‌ای: وجوه مسروقه بین شبکه‌های Bitcoin، Ethereum، Solana و Tron جابه‌جا شده بودند تا رد آن‌ها دشوار شود (Chain-hopping).
نتایج و اقدامات حفاظتی
در پی این تحقیقات، شرکت Tether مبلغ ۴۴۲,۰۰۰ USDT مرتبط با این خوشه را مسدود کرد. همچنین اطلاعات جمع‌آوری شده در اختیار نهادهای اجرای قانون قرار گرفت تا مسدودسازی‌های بیشتری صورت گیرد. طبق گزارش‌ها، این محقق از سال ۲۰۲۲ تاکنون به مسدود شدن بیش از ۷۵ میلیون دلار از وجوه مرتبط با حملات کره شمالی کمک کرده است.
لازم به ذکر است که FBI در هشدار خود، سرقت Bybit در تاریخ ۲۱ فوریه ۲۰۲۵ را به کره شمالی نسبت داده و این فعالیت را تحت نام TraderTraitor شناسایی کرده است.
