Hoe volg je geld dat zijn uiterste best doet om te verdwijnen? De bekende on-chain-speurder ZachXBT koos een opvallende route: hij werd zelf klant. Hij deed zich voor als afnemer van een Chinees crimineel netwerk dat cryptogeld witwast, en kon zo van binnenuit zien hoe de buit van de Noord-Koreaanse Lazarus Group uit de Bybit-hack werd doorgesluisd. Dat kostte hem wel iets: in totaal schoof hij 349.700 dollar naar voren.
Wie is Lazarus, en wat heeft Bybit ermee te maken?
Lazarus is een hackersgroep die wordt gelinkt aan Noord-Korea. De groep staat bekend om grote aanvallen op cryptobedrijven, met als doel geld binnen te halen voor een land dat door sancties grotendeels van het internationale financiele systeem is afgesloten.
De hack op beurs Bybit geldt als een van de grootste diefstallen uit de cryptogeschiedenis. Maar stelen is voor zulke groepen pas de helft van het werk. Gestolen crypto is namelijk goed te volgen op de blockchain. Elke transactie blijft openbaar zichtbaar, een beetje zoals voetstappen in verse sneeuw. Wie het geld echt wil uitgeven, moet die sporen zien uit te wissen.
De witwassers als schakel in de keten
Daar komen de Chinese witwasnetwerken in beeld. Je kunt ze zien als een ondergronds wisselkantoor. Ze nemen crypto aan, schuiven het door een kluwen van tussenrekeningen en betalen het uiteindelijk uit in een vorm die moeilijk terug te koppelen is aan de oorspronkelijke diefstal. Voor die dienst rekenen ze een flinke commissie.
Precies die commissie betaalde ZachXBT ook. Op elke order die hij plaatste, leverde hij 5 procent in. Hij nam dat verlies bewust voor lief: alleen als betalende klant kreeg hij toegang tot de adressen en routes die het netwerk gebruikte. Zo kon hij in realtime meekijken met welke wallets de Bybit-gelden in contact kwamen.
Hij deelde zijn bevindingen zelf op X.
Waarom zo’n duur experiment?
Een bedrag van bijna 350.000 dollar uitgeven om criminelen te betalen klinkt misschien vreemd. Toch is de logica helder. Van buitenaf zie je op de blockchain alleen losse puzzelstukjes. Van binnenuit zie je hoe ze in elkaar passen.
Het is vergelijkbaar met een undercoveragent die een kleine aankoop doet om het hele distributienetwerk in kaart te brengen. De aankoop zelf is niet het doel. Het gaat om de informatie die je ermee binnenhaalt: welke rekeningen samenwerken, welke stablecoins worden gebruikt en via welke platforms het geld wordt uitbetaald.
Bevroren tegoeden en een verboden marktplaats
Dat soort informatie heeft al concrete gevolgen gehad. Er werd 442.000 USDT bevroren dat aan het netwerk gekoppeld is. Dat kan omdat een stablecoin als USDT centraal wordt uitgegeven: de uitgever kan saldo op een specifiek adres blokkeren, iets wat bij bijvoorbeeld Bitcoin niet mogelijk is.
De netwerken leunden daarnaast zwaar op Telegram, waar zogeheten garantiemarkten draaiden. Dat zijn marktplaatsen waar een tussenpersoon borg staat voor deals tussen partijen die elkaar niet vertrouwen. Telegram heeft zo’n marktplaats inmiddels verboden. Analysebedrijf TRM Labs beschrijft in een uitgebreide analyse hoe het verbod op Huione en Xinbi dat landschap heeft opgeschud. Verdwenen zijn die diensten niet, ze verplaatsen zich eerder.
Een kat-en-muisspel dat doorgaat
Het werk van ZachXBT laat zien hoe ver onafhankelijke onderzoekers gaan om gestolen geld terug te vinden. Tegelijk blijft het dweilen met de kraan open. Elke keer dat een route wordt blootgelegd, zoeken witwassers een nieuwe uitweg via andere apps, andere tussenpersonen of andere munten.
De vraag is nu wat beurzen, stablecoin-uitgevers en opsporingsdiensten met deze nieuwe gegevens doen. Hoe sneller zij adressen blokkeren en tegoeden bevriezen, hoe lastiger het voor Lazarus wordt om de Bybit-buit daadwerkelijk te verzilveren.
