Der Blockchain-Ermittler ZachXBT gab sich monatelang auf Telegram als Betrüger aus, um in eine chinesische Geldwäschebande einzudringen, die laut seiner Aussage den Großteil der 1,5 Milliarden Dollar verwaltete, die im Februar 2025 von Bybit gestohlen wurden – eine Beute, die mit Nordkorea in Verbindung gebracht wird. Er streckte 349.700 Dollar aus eigener Tasche für die Operation vor und kassierte bei jeder Order eine Gebühr von 5 %, was bedeutet, dass die Leute, die er untersuchte, ihn bezahlten.
Die von ihm gesammelten Beweise halfen den Behörden, Gelder einzufrieren und die Bybit-Zuflüsse zuzuordnen. Der öffentliche Thread erschien 19 Monate nach dem Hack, weil er zuerst alles privaten Ermittlern und Strafverfolgungsbehörden übergab.
Wie die Tarnstory funktionierte
ZachXBTs Einstiegspunkt war ein einfaches, unschönes Problem: Er erzählte der Bande, er habe ETH aus dem Privacy-Tool Railgun markiert, das zu sauberem USDT auf Tron werden müsse. Das ist ein häufiges Kopfzerbrechen für Geldwäscher, und die Bande kaufte es ihm ab.
Einer der Geldwäscher verwendete das Pseudonym „Jimmy Green“ und postete eine hängende Transaktion im 10.845 Mitglieder starken Community-Chat von THORChain. Jimmy Greens Telegram-Bio bewarb die Verarbeitung von markiertem BTC, ETH, SOL und TRX über einen Mixing-Dienst – ein ziemlich offenes Angebot für ein Geschäft, das davon lebt oder stirbt, nicht bemerkt zu werden. Sein Konto trug eine US-Telefonnummer mit Vorwahl aus Virginia.
Jimmy Green nannte den üblichen Satz: 5 %. Eine frühe Testbestellung kam als 23.750 USDT zurück, ein Abschlag von 5 % auf 25.000 Dollar.
Angeberei, Wallets und eine Reise durch Solana
Der Geldwäscher war nicht schüchtern. Er nannte Kim Jong-un beim Namen und behandelte den nordkoreanischen Führer wie einen launischen Lieferanten. Er behauptete, sein Team habe fast alle 1,5 Milliarden Dollar in ETH von Bybit gewaschen – wobei diese Zahl seine eigene Behauptung bleibt, keine verifizierte Angabe.
Nützlicher für die Ermittler waren die Momente, in denen er ankündigte, was Nordkoreas Arbeit beinhalten würde. Er sagte, sie würde „morgen“ beginnen und dass Bitcoin zu Solana zurückkehren würde. Am nächsten Tag wurden Gelder nach Solana bewegt.
Am 12. März 2025 schickte Jimmy Green einen Screenshot von sich selbst, wie er 1,192 BTC in ETH überbrückte. ZachXBT ordnete ihn einer Minuten später erstellten THORChain-Order zu. Diese Art von schlampigem Timing ist genau das, was solche Operationen zum Scheitern bringt.
Jimmy Green übergab außerdem drei Solana-Adressen. Diese legten einen Cluster von 12 Millionen Dollar oder mehr an Bybit-Geldern offen, die durch BTC, ETH, SOL und Tron zirkulierten. Tether fror später 442.000 USDT ein, die mit diesem Cluster verbunden waren.
Er erwähnte ein Team mit etwa 300.000 Dollar, die 2024 eingefroren wurden. ZachXBT fand es on-chain: 332.000 USDC aus dem Poloniex-Exploit. Eine separate Angeberei über das Waschen von 3 Millionen Dollar an Betrugserlösen führte zu einer Hot Wallet bei Huione Guarantee, dem kambodschanischen Marktplatz, der inzwischen sanktioniert wurde und dessen ehemaliger Vorsitzender festgenommen wurde.
Die menschlichen Details, die ihn verrieten
Jimmy Green schickte Fotos von Mahlzeiten, fragte, ob ZachXBT chinesisches Mahjong spielen könne, und teilte persönliche Details. Ein Foto zeigte sein Telefon mit einer Wallet, die etwa 1,2 Millionen USDT enthielt, dahinter ein Laptop, auf dem Google Translate lief.
ZachXBT identifizierte 15 oder mehr Konten in öffentlichen Telegram- und Discord-Gruppen, die um Hilfe bei Aufträgen im Zusammenhang mit gestohlenen Geldern baten. Die Bande versteckte sich nicht in dunklen Ecken – sie bat in offenen Kanälen um Geschäfte.
Warum der Thread verspätet ist – und was als Nächstes kommt
Der Bybit-Hack ereignete sich im Februar 2025. Der vollständige Bericht wurde erst diese Woche öffentlich, weil ZachXBT beschloss, ihn vor der Veröffentlichung an private Ermittler und Strafverfolgungsbehörden weiterzuleiten. Das ist eine Lücke von 19 Monaten zwischen dem Diebstahl und der öffentlichen Abrechnung, und es erklärt, warum ein Teil der Spur bereits bereinigt – oder eingefroren – wurde.
Ungeklärt bleibt, wie viel der 1,5 Milliarden Dollar tatsächlich durch diese spezifische Bande geflossen sind. Jimmy Greens Behauptung, sein Team habe fast alles abgewickelt, ist genau das: eine Behauptung von einem Mann, der groß erscheinen wollte. Die verifizierten Teile sind enger – die eingefrorenen 442.000 USDT, der 12-Millionen-Dollar-Cluster, die 332.000 USDC im Zusammenhang mit Poloniex. Die Strafverfolgungsbehörden haben nicht gesagt, ob die Nummer aus Virginia oder das Pseudonym „Jimmy Green“ zu einer echten Identität geführt hat.
