Blockchain-efterforskeren ZachXBT tilbragte måneder med at udgive sig for at være svindler på Telegram for at infiltrere et kinesisk hvidvasknetværk, som han hævder håndterede størstedelen af de 1,5 milliarder dollar, der blev stjålet fra Bybit i februar 2025 — et udbytte med forbindelser til Nordkorea. Han lagde 349.700 dollar ud af egen lomme til operationen og opkrævede et gebyr på 5 % for hver ordre, hvilket betød, at personerne, han efterforskede, betalte ham.
Det indsamlede bevismateriale hjalp myndighederne med at indefryse midler og kortlægge Bybit-pengestrømmene. Den offentlige tråd blev først offentliggjort 19 måneder efter hacket, da han overlod alt til private efterforskere og politimyndigheder først.
Sådan fungerede dækhistorien
ZachXBT's indgangsvinkel var et simpelt, prekært problem: Han fortalte netværket, at han havde mærkede ETH fra privatlivsværktøjet Railgun, som skulle veksles til rene USDT på Tron. Det er en velkendt hovedpine for hvidvaskere, og gruppen hoppede på den.
En af hvidvaskerne benyttede dæknavnet »Jimmy Green« og delte en fastlåst transaktion i THORChains fællesskabschat med 10.845 medlemmer. Jimmy Greens Telegram-bio reklamerede med behandling af flaggede BTC, ETH, SOL og TRX via en mixing-tjeneste — en temmelig åbenlys fremgangsmåde for en forretning, der er afhængig af ikke at blive bemærket. Hans konto var tilknyttet et amerikansk telefonnummer med et områdenummer fra Virginia.
Jimmy Green oplyste standardprisen: 5 %. En tidlig testordre kom tilbage som 23.750 USDT, et fradrag på 5 % af 25.000 dollar.
Pral, wallets og en tur over Solana
Hvidvaskeren holdt sig ikke tilbage. Han omtalte Kim Jong-un ved navn og behandlede den nordkoreanske leder som en lunefuld leverandør. Han hævdede, at hans gruppe havde vasket næsten alle Bybits 1,5 milliarder dollar i ETH — selvom det tal forbliver hans egen påstand og ikke er et bekræftet tal.
Mere nyttigt for efterforskerne var de tidspunkter, hvor han afslørede, hvad Nordkoreas næste træk ville indebære. Han sagde, at det ville starte »i morgen«, og at Bitcoin ville vende tilbage til Solana. Dagen efter blev midlerne flyttet til Solana.
Den 12. marts 2025 sendte Jimmy Green et screenshot af sig selv, der bridgedede 1,192 BTC til ETH. ZachXBT matchede det med en THORChain-ordre oprettet få minutter senere. Den form for sjusket timing er præcis det, der fælder sådanne operationer.
Jimmy Green udleverede desuden tre Solana-adresser. De afslørede en klynge på mindst 12 millioner dollar i Bybit-midler, der cirkulerede gennem BTC, ETH, SOL og Tron. Tether indefros senere 442.000 USDT med tilknytning til den klynge.
Han nævnte et team med omkring 300.000 dollar indefrosset i 2024. ZachXBT fandt det on-chain: 332.000 USDC fra Poloniex-hacket. Et særskilt praleri om hvidvask af 3 millioner dollar fra svindel førte til en hot wallet hos Huione Guarantee, den cambodjanske markedsplads, der siden er blevet sanktioneret, og hvis tidligere formand blev anholdt.
De menneskelige detaljer, der afslørede ham
Jimmy Green sendte billeder af måltider, spurgte om ZachXBT kunne spille kinesisk mahjong, og delte personlige oplysninger. Ét billede viste hans telefon med en wallet, der indeholdt omkring 1,2 millioner USDT, mens en bærbar computer i baggrunden kørte Google Translate.
ZachXBT identificerede mindst 15 konti i offentlige Telegram- og Discord-grupper, der søgte hjælp til ordrer forbundet med stjålne midler. Gruppen gemte sig ikke i mørke afkroge — den efterspurgte forretning i åbne kanaler.
Hvorfor tråden lod vente på sig — og hvad der nu sker
Bybit-hacket fandt sted i februar 2025. Den fulde beretning blev først offentliggjort i denne uge, fordi ZachXBT valgte at sende den videre til private efterforskere og retshåndhævende myndigheder før offentliggørelsen. Det giver et spænd på 19 måneder mellem tyveriet og det offentlige opgør, hvilket forklarer, hvorfor dele af sporet allerede er blevet slettet — eller indefrosset.
Det uafklarede spørgsmål er, hvor stor en del af de 1,5 milliarder dollar der reelt bevægede sig gennem netop denne gruppe. Jimmy Greens påstand om, at hans team håndterede næsten det hele, er netop kun dét: en påstand fra en mand, der ville gøre sig bemærket. De bekræftede brikker er mere beskedne — de indefrosne 442.000 USDT, klyngen på 12 millioner dollar og de 332.000 USDC med relation til Poloniex. Myndighederne har ikke oplyst, hvorvidt nummeret fra Virginia eller dæknavnet »Jimmy Green« har ført til en reel identitet.
