Um die Beute aus dem Bybit-Hack zu verfolgen, hat sich der On-Chain-Ermittler ZachXBT als Kunde eines chinesischen Geldwäsche-Netzes ausgegeben. Dafür setzte er 349.700 USD aufs Spiel. Das Netz soll für Nordkoreas Hackergruppe Lazarus mehr als 1 Mrd. USD aus mehreren Angriffen gewaschen haben, berichtet The Block.
ZachXBT verfolgt gestohlene Kryptowerte über die Daten, die auf einer Blockchain für jeden sichtbar sind. Seine Hinweise aus dem verdeckten Einsatz halfen nach eigenen Angaben, einen Teil der Bybit-Beute einzufrieren. Der Fall zeigt, wie gestohlene Coins nach einem Hack weiterwandern. Und wie wenig davon wieder eingefangen wird.
Wie ZachXBT zum Kunden der Geldwäscher wurde
Im Februar 2025 erbeuteten Angreifer bei der Kryptobörse Bybit rund 1,5 Mrd. USD. Der Angriff wird der nordkoreanischen Hackergruppe Lazarus zugerechnet. Wie die Täter an die Coins kamen, zeigt unser Überblick über die großen Fälle des Kryptobetrugs.
Nach dem Angriff fiel ZachXBT ein Muster auf. In Gruppen auf Telegram und Discord suchten mehr als 15 Konten Hilfe bei Aufträgen, die mit dem gestohlenen Geld zu tun hatten. Er fing an zu ermitteln. Von innen.
Als angeblicher Kunde lud er eine neue Adresse auf Ethereum mit 349.700 USDC auf, einem an den US-Dollar gekoppelten Stablecoin. Damit machte er mehrere Geschäfte mit einem Händler, der sich Jimmy Green nannte. Im März 2025 gab Jimmy ihm eine Empfangsadresse: Dorthin gingen die USDC, zurück kamen USDT auf der Blockchain Tron, der Stablecoin von Tether.
Billig war das nicht. Auf jeden Auftrag verlor ZachXBT nach eigenen Angaben rund 5 %. Eine Garantie, dass Jimmy nicht einfach mit dem Geld verschwindet, gab es auch nicht. Er machte trotzdem weiter, um so schnell wie möglich an verwertbare Hinweise zu kommen, und nennt das selbst eine Wette. Was er herausfand, beschreibt er jetzt in einem ausführlichen Thread auf X.
Was der Händler über die Bybit-Beute verriet
Einen Hinweis lieferte schon die Empfangsadresse. Damit eine Adresse auf Ethereum Geld weiterschicken kann, braucht sie ein kleines Guthaben für die Gebühren, das sogenannte Gas. Dieses Guthaben kam laut ZachXBT aus einer Wallet, die sich direkt zur Bybit-Beute zurückverfolgen ließ. Die Wallet stand sogar auf der öffentlichen Sperrliste, die Bybit für die gestohlenen Gelder führt.
Jimmy redete offen. Schon vor den Geschäften sprach er davon, Bybit-Gelder für Nordkorea zu bewegen, und erzählte von seiner Gruppe in Hongkong und Festlandchina. Einmal kündigte er an, die Gelder gingen auf die Blockchain Solana. Am nächsten Tag lagen sie dort. Den Großteil der 1,5 Mrd. USD aus dem Bybit-Hack habe sein Team gewaschen, behauptete Jimmy. Das passte laut ZachXBT zu den Mustern auf der Blockchain.
Auch andere Angaben ließen sich prüfen. Ein Screenshot vom 12. März zeigte eine Überweisung über eine Bridge, also einen Dienst, der Coins von einer Blockchain auf eine andere bringt. Er passte zu einem Auftrag bei THORChain, angelegt binnen Minuten. Drei Solana-Adressen aus den Chats führten zu einem Geflecht von Wallets mit mehr als 12 Mio. USD Bybit-Beute, getauscht zwischen Bitcoin, Ether, Solana und Tron. Tether fror später 442.000 USDT ein, die mit diesem Geflecht verbunden waren.
Die rund 300.000 USD, die laut Jimmy 2024 eingefroren wurden, fanden sich ebenfalls wieder: als 332.000 USDC aus dem Angriff auf die Börse Poloniex. Und 3 Mio. USD Betrugsgeld, die er für einen anderen Kunden gewaschen haben wollte, verfolgte ZachXBT bis zu einer Wallet von Huione Guarantee, einem bereits sanktionierten Dienst.
Zwischendurch wurde geplaudert. Über Mahjong, die Jagd auf Wildkaninchen, Diätessen, die Familie und Urlaub bei Disney.
Warum Krypto-Diebe Geldwäscher brauchen
Geldwäsche heißt, Geld aus Straftaten so durch den Kreislauf zu schleusen, dass seine Herkunft verschwimmt. Auf einer Blockchain ist das schwerer als mit Bargeld, denn jede Überweisung bleibt öffentlich sichtbar. Wer Adressen und Zahlungen verknüpft, kann Geld über viele Stationen verfolgen. Wie man solche Daten liest, zeigt unser Leitfaden zu On-Chain-Daten.
Für die Täter beginnt das Problem direkt nach dem Hack. Bybit hat die Adressen, über die die Beute lief, öffentlich gemacht. Wer Coins von dort annimmt, kann also wissen, woher sie stammen. Deshalb zerlegen die Täter die Beute und schicken sie über Bridges von Blockchain zu Blockchain. Jeder Sprung macht die Spur länger und das Verfolgen aufwendiger.
Irgendwann braucht das Geld einen Abnehmer. Genau dafür gibt es Netze wie das von Jimmy. Sie nehmen Aufträge entgegen, behalten eine Gebühr und finden ihre Kunden in Chatgruppen. Wie das Geschäft im Detail läuft, beschreibt der Bericht nicht. Eine naheliegende Lesart: Der Kunde liefert unverdächtige USDC und bekommt USDT auf einer anderen Blockchain zurück. Beim Netz landen saubere Coins, beim Kunden womöglich Beute.
Was der Fall für Anleger bedeutet
Die Größenordnung ernüchtert. Gestohlen wurden bei Bybit rund 1,5 Mrd. USD. Aus dem Geflecht, das ZachXBT aufspürte, fror Tether 442.000 USDT ein, etwa 0,03 % der Beute. Selbst die 75 Mio. USD, die ZachXBT nach eigenen Angaben seit 2022 in Fällen mit Nordkorea-Bezug einzufrieren half, entsprechen nur rund 5 % dieses einen Hacks. Einfrieren bremst die Täter. Den Schaden macht es nicht wett.
Die Sperre hat eine zweite Seite. Tether kann USDT an einzelnen Adressen einfrieren, das hilft gegen Diebe. Es heißt aber auch: Wer USDT hält, hängt an den Entscheidungen des Herausgebers. Landen Coins aus einem Hack auf deiner Adresse, kann auch dein Guthaben gesperrt werden.
Dazu passt, wo das Netz seine Kunden fand, nämlich in Gruppen auf Telegram und Discord. Wer dort mit Unbekannten Stablecoins tauscht, weiß nicht, woher das Geld kommt. Im schlimmsten Fall stammt es aus einem Hack und wird später eingefroren. Woran du unseriöse Angebote erkennst, zeigt unser Ratgeber Krypto-Betrug erkennen.
Kurz erklärt
- On-Chain-Analyse: Auswertung der Transaktionen, die auf einer Blockchain öffentlich gespeichert sind. So lassen sich Geldflüsse über viele Stationen verfolgen, auch ohne die Menschen dahinter zu kennen.
- Bridge: Dienst, der Werte von einer Blockchain auf eine andere bringt, etwa von Ethereum zu Bitcoin. THORChain ist ein solcher Dienst.
Was jetzt zählt
Am Zug sind die Behörden. ZachXBT hat seine Erkenntnisse nach eigenen Angaben sofort an Strafverfolger gegeben und erst jetzt veröffentlicht, weil die Ermittlungen heikel waren. Ob daraus Anklagen, Sanktionen oder Beschlagnahmen gegen das Netz werden, ist offen. Einen Termin gibt es nicht.
Häufige Fragen zum Bybit-Hack und zu ZachXBT
Wer ist ZachXBT?
Ein bekannter On-Chain-Ermittler. Er verfolgt Diebstähle und Betrug im Kryptomarkt anhand der Transaktionen, die auf Blockchains öffentlich einsehbar sind. Nach eigenen Angaben hat er seit 2022 geholfen, 75 Mio. USD aus Vorfällen mit Nordkorea-Bezug einzufrieren. Den Fall des chinesischen Geldwäsche-Netzes hat er in einem Thread auf X öffentlich gemacht.
Was ist die Lazarus-Gruppe?
Eine Hackergruppe, die Nordkorea zugerechnet wird. Ihr werden mehrere große Angriffe auf Kryptofirmen zugeschrieben, darunter der Hack der Börse Bybit im Februar 2025 mit rund 1,5 Mrd. USD. Laut ZachXBT hat allein das chinesische Netz um den Händler mit dem Decknamen Jimmy Green mehr als 1 Mrd. USD aus solchen Angriffen für Lazarus gewaschen.
Dieser Beitrag dient der allgemeinen Information und stellt keine Anlage-, Rechts- oder Steuerberatung dar. Der Handel mit Finanzinstrumenten ist mit erheblichen Risiken verbunden und kann zum Totalverlust des eingesetzten Kapitals führen.
Hinweis: Das Titelbild dieses Beitrags wurde mit Künstlicher Intelligenz erstellt.