Lohkoketjututkija ZachXBT vietti kuukausia esiintyen huijarina Telegramissa päästäkseen sisään kiinalaiseen rahanpesuryhmään, jonka hän väittää käsitelleen suurimman osan Bybitistä helmikuussa 2025 varastetusta 1,5 miljardista dollarista – saalis, joka liitetään Pohjois-Koreaan. Hän sijoitti operaatiota varten omia rahojaan 349 700 dollaria ja peri 5 prosentin palkkion jokaisesta tilauksesta, eli ihmiset, joita hän tutki, maksoivat hänelle.
Hänen keräämänsä todisteet auttoivat viranomaisia jäädyttämään varoja ja jäljittimään Bybitin varoja. Julkinen ketju julkaistiin 19 kuukautta hakkerointia myöhemmin, koska hän luovutti kaiken ensin yksityisille tutkijoille ja lainvalvontaviranomaisille.
Miten peitetarina toimi
ZachXBT:n sisäänpääsy perustui yksinkertaiseen, rumaan ongelmaan: hän kertoi ryhmälle, että hänellä oli merkittyä ETH:tä yksityisyystyökalu Railgunista, joka piti muuttaa puhtaaksi USDT:ksi Tronissa. Tämä on yleinen päänsärky rahanpesijöille, ja ryhmä uskoi sen.
Yksi rahanpesijöistä käytti peitenimeä "Jimmy Green" ja julkaisi jumiutuneen transaktion THORChainin 10 845 jäsenen yhteisöchatissa. Jimmy Greenin Telegram-bio mainosti merkittyjen BTC:n, ETH:n, SOL:n ja TRX:n käsittelyä sekoituspalvelun kautta – melko avoin tarjous liiketoiminnalle, joka elää tai kuolee sen mukaan, ettei sitä huomata. Hänen tilillään oli yhdysvaltalainen puhelinnumero Virginian suuntanumerolla.
Jimmy Green ilmoitti käyvän hinnan: 5 %. Varhainen testitilaus palautui 23 750 USDT:nä, eli 5 %:n leikkaus 25 000 dollarista.
Kerskumista, lompakoita ja matka Solanan kautta
Rahanpesijä ei ollut ujo. Hän viittasi Kim Jong-unin nimeltä kohdellen Pohjois-Korean johtajaa kuin oikukasta toimittajaa. Hän väitti tiiminsä pestäneen lähes kaikki Bybitin 1,5 miljardin dollarin ETH:t – vaikka luku on edelleen hänen oma väitteensä, ei vahvistettu.
Tutkijoille hyödyllisempiä olivat hetket, jolloin hän ilmoitti, mitä Pohjois-Korean työ sisältäisi. Hän sanoi sen alkavan "huomenna" ja että Bitcoin palaisi Solanaan. Seuraavana päivänä varat siirtyivät Solanaan.
12. maaliskuuta 2025 Jimmy Green lähetti kuvakaappauksen itsestään siirtämässä 1,192 BTC:tä ETH:ksi. ZachXBT yhdisti sen THORChain-tilaukseen, joka luotiin minuutteja myöhemmin. Sellainen huolimaton ajoitus on juuri se, mikä upottaa nämä operaatiot.
Jimmy Green luovutti myös kolme Solana-osoitetta. Ne paljastivat klusterin, jossa oli vähintään 12 miljoonaa dollaria Bybitin varoja kiertämässä BTC:n, ETH:n, SOL:n ja Tronin kautta. Tether jäädytti myöhemmin 442 000 USDT:tä, jotka liittyivät tähän klusteriin.
Hän mainitsi tiimin, jolla oli noin 300 000 dollaria jäädytettynä vuonna 2024. ZachXBT löysi sen ketjusta: 332 000 USDC:tä Poloniex-hyökkäyksestä. Erillinen kerskuminen 3 miljoonan dollarin petoshyödyn pesemisestä johti hot walletiin Huione Guaranteessa, kambodžalaisessa markkinapaikassa, joka on sittemmin asetettu pakotteiden alaiseksi ja jonka entinen puheenjohtaja pidätettiin.
Inhimilliset yksityiskohdat, jotka paljastivat hänet
Jimmy Green lähetti kuvia aterioista, kysyi voisiko ZachXBT pelata kiinalaista mahjongia ja jakoi henkilökohtaisia yksityiskohtia. Yhdessä kuvassa hänen puhelimensa näytti lompakkoa, jossa oli noin 1,2 miljoonaa USDT:tä, ja taustalla kannettava tietokone, jossa oli auki Google Translate.
ZachXBT tunnisti 15 tai useampia tilejä julkisissa Telegram- ja Discord-ryhmissä, jotka etsivät apua varastettuihin varoihin liittyvissä tilauksissa. Ryhmä ei piileskellyt pimeissä nurkissa – se pyysi liiketoimintaa avoimilla kanavilla.
Miksi ketju on myöhässä – ja mitä seuraavaksi
Bybit-hakkerointi tapahtui helmikuussa 2025. Koko kertomus tuli julkiseksi vasta tällä viikolla, koska ZachXBT päätti ohjata sen yksityisille tutkijoille ja lainvalvontaviranomaisille ennen julkaisua. Varkauden ja julkisen selvittelyn välillä on 19 kuukauden aukko, mikä selittää, miksi osa jäljistä on jo puhdistettu – tai jäädytetty.
Ratkaisematta on, kuinka paljon 1,5 miljardista dollarista todella kulki tämän nimenomaisen ryhmän kautta. Jimmy Greenin väite, että hänen tiiminsä käsitteli lähes kaiken, on juuri sitä: väite mieheltä, joka halusi näyttää suurelta. Vahvistetut osat ovat kapeampia – jäädytetyt 442 000 USDT:tä, 12 miljoonan dollarin klusteri, 332 000 USDC:tä Poloniexiin liittyen. Lainvalvontaviranomaiset eivät ole kertoneet, onko Virginian numero tai "Jimmy Green" -peitenimi johtanut todelliseen henkilöllisyyteen.
