Blockchainový vyšetřovatel ZachXBT strávil měsíce vydáváním se za podvodníka na Telegramu, aby se dostal do čínské skupiny pro praní špinavých peněz, o níž tvrdí, že zpracovala většinu z 1,5 miliardy dolarů ukradených z Bybit v únoru 2025 – lupu spojeného se Severní Koreou. Na operaci vynaložil 349 700 dolarů z vlastní kapsy a z každé zakázky si účtoval 5% provizi, což znamená, že lidé, které vyšetřoval, mu platili.
Důkazy, které shromáždil, pomohly úřadům zmrazit prostředky a přiřknout toky z Bybit. Veřejné vlákno přišlo 19 měsíců po hacku, protože nejprve vše předal soukromým vyšetřovatelům a orgánům činným v trestním řízení.
Jak krycí příběh fungoval
ZachXBTovým vstupním bodem byl jednoduchý, ošklivý problém: skupině řekl, že má označené ETH z nástroje pro soukromí Railgun, které potřebuje proměnit na čisté USDT na Tronu. To je pro pračky peněz běžná noční můra a skupina mu to uvěřila.
Jeden z praček peněz používal přezdívku „Jimmy Green“ a zveřejnil zaseknutou transakci v komunitním chatu THORChain s 10 845 členy. Jimmy Green ve svém telegramovém profilu inzeroval zpracování označených BTC, ETH, SOL a TRX prostřednictvím mixovací služby – poměrně otevřená nabídka pro byznys, který stojí a padá na tom, že si ho nikdo nevšimne. Jeho účet měl americké telefonní číslo s předvolbou Virginie.
Jimmy Green uvedl obvyklou sazbu: 5 %. Raná testovací objednávka se vrátila jako 23 750 USDT, což je 5% srážka z 25 000 dolarů.
Chlubí se, peněženky a cesta přes Solanu
Pračka peněz nebyl plachý. Zmínil Kim Čong-una jménem a zacházel s vůdcem Severní Koreje jako s náladovým dodavatelem. Tvrdil, že jeho tým vypral téměř všechny ETH z Bybit v hodnotě 1,5 miliardy dolarů – i když toto číslo zůstává jeho vlastním tvrzením, nikoli ověřeným údajem.
Pro vyšetřovatele byly užitečnější okamžiky, kdy oznámil, co bude práce pro Severní Koreu zahrnovat. Řekl, že začne „zítra“ a že se Bitcoin vrátí na Solanu. Následující den se prostředky přesunuly na Solanu.
Dne 12. března 2025 poslal Jimmy Green snímek obrazovky, na kterém přemosťuje 1,192 BTC do ETH. ZachXBT to přiřadil k objednávce THORChain vytvořené o několik minut později. Takové nedbalé načasování je přesně to, co tyto operace potápí.
Jimmy Green také předal tři adresy na Solaně. Ty odhalily cluster 12 milionů dolarů nebo více z prostředků Bybit, které procházely přes BTC, ETH, SOL a Tron. Tether později zmrazil 442 000 USDT spojených s tímto clusterem.
Zmínil tým s přibližně 300 000 dolary zmrazenými v roce 2024. ZachXBT to našel on-chain: 332 000 USDC z exploitace Poloniex. Samostatné chlubení o vyprání 3 milionů dolarů z výnosů podvodů vedlo k horké peněžence na Huione Guarantee, kambodžském tržišti, které bylo od té doby sankcionováno a jehož bývalý předseda byl zatčen.
Lidské detaily, které ho prozradily
Jimmy Green posílal fotografie jídel, ptal se, zda si ZachXBT může zahrát čínský mahjong, a sdílel osobní podrobnosti. Na jedné fotografii byl jeho telefon zobrazující peněženku s přibližně 1,2 milionu USDT a za ním laptop s běžícím Google Translate.
ZachXBT identifikoval 15 nebo více účtů ve veřejných skupinách na Telegramu a Discordu, které hledaly pomoc s objednávkami spojenými s ukradenými prostředky. Skupina se neskrývala v temných koutech – žadonila o byznys v otevřených kanálech.
Proč je vlákno pozdě – a co bude dál
Hack Bybit se stal v únoru 2025. Úplný popis byl zveřejněn teprve tento týden, protože ZachXBT se rozhodl nejprve ho předat soukromým vyšetřovatelům a orgánům činným v trestním řízení. To je 19měsíční mezera mezi krádeží a veřejným zúčtováním, což vysvětluje, proč část stopy už byla vyčištěna – nebo zmrazena.
Nevyřešeno zůstává, kolik z 1,5 miliardy dolarů skutečně prošlo touto konkrétní skupinou. Tvrzení Jimmyho Greena, že jeho tým zpracoval téměř všechno, je jen to: tvrzení muže, který chtěl vypadat důležitě. Ověřené části jsou užší – zmrazených 442 000 USDT, cluster 12 milionů dolarů, 332 000 USDC spojených s Poloniex. Orgány činné v trestním řízení neřekly, zda číslo z Virginie nebo přezdívka „Jimmy Green“ vedly k skutečné identitě.
