زک‌ایکس‌بی‌تی، محقق بلاکچین، ماه‌ها با جعل هویت یک کلاهبردار در تلگرام وقت گذاشت تا به داخل یک گروه پولشویی چینی نفوذ کند؛ گروهی که به گفته او بیشتر ۱.۵ میلیارد دلار دزدیده‌شده از بای‌بیت در فوریه ۲۰۲۵ را جابه‌جا کرده است — مبلغی که به کره شمالی مرتبط است. او ۳۴۹,۷۰۰ دلار از پول خودش را برای این عملیات پیش پرداخت کرد و ۵٪ کمیسیون روی هر سفارش می‌گرفت، یعنی همان افرادی که در حال تحقیق درباره‌شان بود، به او پول می‌دادند.
شواهدی که او جمع‌آوری کرد به مقامات کمک کرد تا وجوه را مسدود کنند و جریان‌های بای‌بیت را نسبت دهند. رشته‌توییت عمومی ۱۹ ماه پس از هک منتشر شد، چون او ابتدا همه چیز را به محققان خصوصی و مجریان قانون تحویل داده بود.
داستان پوششی چگونه کار کرد
نقطه ورود زک‌ایکس‌بی‌تی یک مشکل ساده و زشت بود: او به گروه گفت که اتریوم علامت‌خورده از ابزار حریم خصوصی Railgun دارد که باید به USDT تمیز روی ترون تبدیل شود. این یک دردسر رایج برای پولشوهاست و گروه باور کرد.
یکی از پولشوها با نام مستعار «جیمی گرین» یک تراکنش گیرکرده را در چت اجتماعی ۱۰,۸۴۵ نفره THORChain منتشر کرد. بیوگرافی تلگرام جیمی گرین تبلیغ پردازش BTC، ETH، SOL و TRX علامت‌خورده را از طریق یک سرویس میکسینگ نشان می‌داد — پیشنهادی نسبتاً آشکار برای کسب‌وکاری که بقایش به دیده‌نشدن بستگی دارد. حساب او یک شماره تلفن آمریکایی با کد منطقه ویرجینیا داشت.
جیمی گرین نرخ رایج را اعلام کرد: ۵٪. یک سفارش آزمایشی اولیه به ۲۳,۷۵۰ USDT برگشت، یعنی ۵٪ کسر از ۲۵,۰۰۰ دلار.
لاف‌زنی‌ها، کیف‌پول‌ها و سفری از سولانا
پولشو خجالتی نبود. او کیم جونگ اون را با نام صدا می‌زد و رهبر کره شمالی را مثل یک تأمین‌کننده بدقلق رفتار می‌کرد. او ادعا کرد تیمش تقریباً تمام ۱.۵ میلیارد دلار اتریوم بای‌بیت را شسته است — هرچند این رقم ادعای خودش است، نه عددی تأییدشده.
برای محققان مفیدتر، زمان‌هایی بود که او اعلام می‌کرد کار کره شمالی شامل چه چیزهایی خواهد بود. او گفت «فردا» شروع می‌شود و بیت‌کوین به سولانا برمی‌گردد. روز بعد، وجوه به سولانا منتقل شد.
در ۱۲ مارس ۲۰۲۵، جیمی گرین اسکرین‌شاتی از خودش فرستاد که ۱.۱۹۲ BTC را به ETH پل می‌زد. زک‌ایکس‌بی‌تی آن را با سفارش THORChain که چند دقیقه بعد ایجاد شده بود مطابقت داد. این نوع زمان‌بندی شلخته دقیقاً همان چیزی است که این عملیات را غرق می‌کند.
جیمی گرین همچنین سه آدرس سولانا ارائه داد. آن‌ها خوشه‌ای از ۱۲ میلیون دلار یا بیشتر از وجوه بای‌بیت را که از BTC، ETH، SOL و ترون عبور می‌کرد، افشا کردند. تتر بعداً ۴۴۲,۰۰۰ USDT مرتبط با آن خوشه را مسدود کرد.
او به تیمی با حدود ۳۰۰,۰۰۰ دلار مسدودشده در سال ۲۰۲۴ اشاره کرد. زک‌ایکس‌بی‌تی آن را روی زنجیره پیدا کرد: ۳۳۲,۰۰۰ USDC از هک پولونی‌اکس. یک لاف‌زنی جداگانه درباره شستن ۳ میلیون دلار از درآمدهای کلاهبرداری به یک کیف‌پول داغ در Huione Guarantee منجر شد، بازار کامبوجی که از آن زمان تحریم شده و رئیس سابقش بازداشت شده است.
جزئیات انسانی که او را لو داد
جیمی گرین عکس‌هایی از وعده‌های غذایی فرستاد، پرسید آیا زک‌ایکس‌بی‌تی می‌تواند ماه‌جونگ چینی بازی کند و جزئیات شخصی به اشتراک گذاشت. یک عکس گوشی او را نشان می‌داد که کیف‌پولی با حدود ۱.۲ میلیون USDT را نمایش می‌داد، و پشت آن لپ‌تاپی در حال اجرای گوگل ترنسلیت بود.
زک‌ایکس‌بی‌تی ۱۵ حساب یا بیشتر را در گروه‌های عمومی تلگرام و دیسکورد شناسایی کرد که برای سفارش‌های مرتبط با وجوه دزدیده‌شده درخواست کمک می‌کردند. گروه در گوشه‌های تاریک پنهان نشده بود — در کانال‌های باز درخواست کسب‌وکار می‌کرد.
چرا رشته‌توییت دیر منتشر شد — و بعدش چه می‌شود
هک بای‌بیت در فوریه ۲۰۲۵ رخ داد. گزارش کامل فقط این هفته عمومی شد چون زک‌ایکس‌بی‌تی تصمیم گرفت آن را قبل از انتشار به محققان خصوصی و مجریان قانون ارجاع دهد. این یک فاصله ۱۹ ماهه بین سرقت و افشای عمومی است، و توضیح می‌دهد چرا بخشی از رد قبلاً پاک‌سازی شده — یا مسدود شده است.
چیزی که حل‌نشده باقی مانده این است که چه مقدار از ۱.۵ میلیارد دلار واقعاً از این گروه خاص عبور کرده است. ادعای جیمی گرین که تیمش تقریباً همه آن را جابه‌جا کرده، فقط یک ادعاست: ادعای مردی که می‌خواست بزرگ به نظر برسد. قطعات تأییدشده محدودترند — ۴۴۲,۰۰۰ USDT مسدودشده، خوشه ۱۲ میلیون دلاری، ۳۳۲,۰۰۰ USDC مرتبط با پولونی‌اکس. مجریان قانون نگفته‌اند که آیا شماره ویرجینیا یا نام مستعار «جیمی گرین» به هویت واقعی منجر شده است.
