أمضى محقق البلوكتشين ZachXBT عدة أشهر متظاهراً بأنه محتال عبر Telegram للتغلغل داخل شبكة صينية لغسيل الأموال، والتي يقول إنها تعاملت مع معظم مبلغ الـ 1.5 مليار دولار المسروق من منصة Bybit في فبراير 2025 — وهي غنيمة مرتبطة بكوريا الشمالية. وقد دفع 349,700 دولار من أمواله الخاصة لتنفيذ العملية، واقتطع عمولة بنسبة 5% على كل طلب، ما يعني أن الأشخاص الذين كان يحقق معهم كانوا يدفعون له أموالاً في واقع الأمر.
وساعدت الأدلة التي جمعها السلطات في تجميد الأموال وتحديد مسارات تدفقات Bybit. وجاء نشر هذه السلسلة بعد 19 شهراً من حادثة الاختراق، نظراً لأنه سلّم جميع التفاصيل أولاً إلى محققين خصوصيين وأجهزة إنفاذ القانون.
كيف نجحت قصة الغطاء والتمويه
كانت نقطة انطلاق ZachXBT قائمة على مشكلة بسيطة وشائكة: حيث أخبر الشبكة بأن لديه عملات ETH موسومة ومحددة من أداة الخصوصية Railgun وتحتاج إلى تحويلها إلى عملات USDT نظيفة على شبكة Tron. وتعد هذه المشكلة عقبة شائعة لمبيضي الأموال، وهو ما جعل الشبكة تبتلع الطعم وتصدق الرواية.
استخدم أحد مبيضي الأموال الاسم المستعار "Jimmy Green" ونشر معاملة عالقة في المحادثة الجماعية لمجتمع THORChain التي تضم 10,845 عضواً. وكان الوصف التعريفي لحساب Jimmy Green على Telegram يروج لمعالجة عملات BTC وETH وSOL وTRX الموسومة عبر خدمة خلط عملات (Mixing Service) — وهو عرض صريح وعلني للغاية لنشاط يتوقف بقاؤه على البقاء بعيداً عن الأنظار. وكان حسابه يحمل رقماً هاتفياً أمريكياً برمز منطقة تابع لولاية فرجينيا.
حدد Jimmy Green السعر المتداول: 5%. وجاءت نتيجة طلب اختباري مبكر بمبلغ 23,750 USDT، أي بعد خصم عمولة قدرها 5% من أصل 25,000 دولار.
مباهاة، ومحافظ رقمية، وجولة عبر Solana
لم يكن مبيض الأموال متحفظاً، بل أشار إلى Kim Jong-un بالاسم، معاملاً الزعيم الكوري الشمالي كمورد متقلب المزاج. وادعى أن فريقه قام بغسيل كل مبالغ Bybit تقريباً البالغة 1.5 مليار دولار من عملة ETH — رغم أن هذا الرقم يظل ادعاءً شخصياً ولم يتم التحقق منه رسمياً.
وكان الأمر الأكثر فائدة للمحققين هو المرات التي أعلن فيها عما ستتضمنه عمليات كوريا الشمالية القادمة؛ حيث صرح بأنها ستبدأ "غداً" وأن Bitcoin ستعود إلى شبكة Solana. وفي اليوم التالي بالفعل، تحركت الأموال نحو Solana.
في 12 مارس 2025، أرسل Jimmy Green لقطة شاشة لعملية جسر (Bridging) قام بها لتحويل 1.192 BTC إلى ETH. وطابقها ZachXBT مع أمر عبر THORChain تم إنشاؤه بعد ذلك بدقائق معدودة. وهذا التوقيت غير الدقيق هو تحديداً ما يُطيح بمثل هذه العمليات.
كما كشف Jimmy Green عن ثلاثة عناوين على شبكة Solana، والتي أظهرت بدورها مجموعة عناوين تضم 12 مليون دولار أو أكثر من أموال Bybit يجري تدويرها عبر BTC وETH وSOL وTron. وجمدت شركة Tether لاحقاً 442,000 USDT مرتبطة بتلك المجموعة.
وذكر أن هناك فريقاً جُمّد له قرابة 300,000 دولار في عام 2024. وعثر ZachXBT على ذلك عبر البلوكتشين (On-chain): 332,000 USDC ناجمة عن حادثة استغلال ثغرة منصة Poloniex. كما قادت مباهاة أخرى بغسيل 3 ملايين دولار من عائدات الاحتيال إلى محفظة ساخنة في Huione Guarantee، وهي السوق الكمبودية التي فُرضت عليها عقوبات لاحقاً واعتُقل رئيس مجلس إدارتها السابق.
التفاصيل الشخصية التي أوقعت به
أرسل Jimmy Green صوراً لوجبات طعام، وسأل عما إذا كان ZachXBT يجيد لعب الماهجونغ الصينية (Mahjong)، وشارك تفاصيل شخصية. وأظهرت إحدى الصور هاتفه يعرض محفظة تحتوي على قرابة 1.2 مليون USDT، بينما ظهر خلفه حاسوب محمول يستخدم تطبيق Google Translate.
وحدد ZachXBT ما لا يقل عن 15 حساباً في مجموعات عامة على Telegram وDiscord تطلب المساعدة في تنفيذ طلبات مرتبطة بأموال مسروقة؛ فالشبكة لم تكن تختبئ في زوايا مظلمة، بل كانت تطلب الأعمال عبر قنوات مفتوحة للجميع.
لماذا تأخر نشر المعلومات — وما الخطوة التالية
وقع اختراق Bybit في فبراير 2025، لكن الرواية الكاملة لم تُنشر للعلن إلا هذا الأسبوع؛ لأن ZachXBT فضّل إحالتها إلى محققين خصوصيين وجهات إنفاذ القانون قبل النشر. ويمثل ذلك فارقاً زمنياً مدته 19 شهراً بين السرقة والمحاسبة العلنية، وهو ما يفسر سبب إخفاء بعض الآثار أو تجميدها بالفعل.
أما المسألة التي لم تُحسم بعد، فهي حجم الأموال التي مرت بالفعل عبر هذه الشبكة بالتحديد من أصل الـ 1.5 مليار دولار؛ فادعاء Jimmy Green بأن فريقه تولى أمر المبلغ بالكامل تقريباً ليس سوى ادعاء من شخص أراد تضخيم صورته. وتظل الأجزاء المؤكدة أضيق نطاقاً — وهي مبلغ 442,000 USDT المجمد، ومجموعة الـ 12 مليون دولار، و332,000 USDC المرتبطة باختراق Poloniex. كما لم توضح جهات إنفاذ القانون ما إذا كان رقم فرجينيا أو الاسم المستعار "Jimmy Green" قد قادا إلى الكشف عن هويته الحقيقية.
