El investigador de blockchain ZachXBT pasó meses haciéndose pasar por un estafador en Telegram para infiltrarse en una banda china de lavado de dinero que, según él, manejó la mayor parte de los $1.5 mil millones robados a Bybit en febrero de 2025 — un botín vinculado a Corea del Norte. Adelantó $349,700 de su propio dinero para la operación y cobró una comisión del 5% en cada pedido, lo que significa que las personas a las que investigaba le pagaban.
La evidencia que reunió ayudó a las autoridades a congelar fondos y atribuir los flujos de Bybit. El hilo público se publicó 19 meses después del hackeo porque primero entregó todo a investigadores privados y a las fuerzas del orden.
Cómo funcionó la tapadera
El punto de entrada de ZachXBT fue un problema simple y desagradable: le dijo al grupo que tenía ETH marcado de la herramienta de privacidad Railgun que necesitaba convertirse en USDT limpio en Tron. Ese es un dolor de cabeza común para los lavadores, y el grupo se lo creyó.
Uno de los lavadores usó el alias "Jimmy Green" y publicó una transacción atascada en el chat comunitario de THORChain, que tiene 10,845 miembros. La biografía de Telegram de Jimmy Green anunciaba el procesamiento de BTC, ETH, SOL y TRX marcados a través de un servicio de mezcla — un anuncio bastante abierto para un negocio que vive o muere por no ser notado. Su cuenta tenía un número de teléfono estadounidense con código de área de Virginia.
Jimmy Green cotizó la tarifa vigente: 5%. Un pedido de prueba inicial regresó como 23,750 USDT, un recorte del 5% sobre $25,000.
Fanfarronadas, billeteras y un viaje por Solana
El lavador no era tímido. Se refirió a Kim Jong-un por su nombre, tratando al líder norcoreano como a un proveedor malhumorado. Afirmó que su equipo había lavado casi todos los $1.5 mil millones en ETH de Bybit — aunque esa cifra sigue siendo su propia afirmación, no un número verificado.
Más útil para los investigadores fueron las veces que anunció en qué consistiría el trabajo de Corea del Norte. Dijo que comenzaría "mañana" y que Bitcoin regresaría a Solana. Al día siguiente, los fondos se movieron a Solana.
El 12 de marzo de 2025, Jimmy Green envió una captura de pantalla de sí mismo haciendo un puente de 1.192 BTC a ETH. ZachXBT lo relacionó con una orden de THORChain creada minutos después. Ese tipo de sincronización descuidada es exactamente lo que hunde estas operaciones.
Jimmy Green también entregó tres direcciones de Solana. Estas expusieron un grupo de $12 millones o más en fondos de Bybit circulando a través de BTC, ETH, SOL y Tron. Tether posteriormente congeló 442,000 USDT vinculados a ese grupo.
Mencionó un equipo con alrededor de $300,000 congelados en 2024. ZachXBT lo encontró en la cadena: 332,000 USDC del exploit de Poloniex. Otra fanfarronada sobre lavar $3 millones en ganancias fraudulentas condujo a una hot wallet en Huione Guarantee, el mercado camboyano que desde entonces ha sido sancionado y cuyo expresidente fue arrestado.
Los detalles humanos que lo delataron
Jimmy Green envió fotos de comidas, preguntó si ZachXBT podía jugar al mahjong chino y compartió detalles personales. Una foto mostraba su teléfono mostrando una billetera con aproximadamente 1.2 millones de USDT, con una laptop detrás ejecutando Google Translate.
ZachXBT identificó 15 o más cuentas en grupos públicos de Telegram y Discord que buscaban ayuda con pedidos vinculados a fondos robados. La banda no se escondía en rincones oscuros — pedía negocios en canales abiertos.
Por qué el hilo llega tarde — y qué sigue
El hackeo de Bybit ocurrió en febrero de 2025. El relato completo se hizo público solo esta semana porque ZachXBT eligió enviarlo a investigadores privados y a las fuerzas del orden antes de publicarlo. Eso es un lapso de 19 meses entre el robo y el ajuste de cuentas público, y explica por qué parte del rastro ya ha sido limpiado — o congelado.
Lo que queda sin resolver es cuánto de los $1.5 mil millones realmente pasó por este grupo específico. La afirmación de Jimmy Green de que su equipo manejó casi todo es solo eso: una afirmación de un hombre que quería parecer importante. Las piezas verificadas son más limitadas — los 442,000 USDT congelados, el grupo de $12 millones, los 332,000 USDC vinculados a Poloniex. Las fuerzas del orden no han dicho si el número de Virginia o el alias "Jimmy Green" han llevado a una identidad real.
