L'enquêteur blockchain ZachXBT a passé des mois à se faire passer pour un escroc sur Telegram afin de s'infiltrer dans un réseau chinois de blanchiment d'argent qui, selon lui, a traité la majeure partie des 1,5 milliard de dollars volés à Bybit en février 2025 — un butin lié à la Corée du Nord. Il a avancé 349 700 dollars de sa propre poche pour l'opération et a perçu une commission de 5 % sur chaque commande, ce qui signifie que les personnes qu'il enquêtait le payaient.
Les preuves qu'il a recueillies ont aidé les autorités à geler des fonds et à attribuer les flux de Bybit. Le fil public est apparu 19 mois après le piratage parce qu'il a d'abord tout remis à des enquêteurs privés et aux forces de l'ordre.
Comment la couverture a fonctionné
Le point d'entrée de ZachXBT était un problème simple et laid : il a dit au réseau qu'il avait des ETH marqués provenant de l'outil de confidentialité Railgun qui devaient être convertis en USDT propres sur Tron. C'est un casse-tête courant pour les blanchisseurs, et le réseau l'a cru.
L'un des blanchisseurs utilisait le pseudonyme « Jimmy Green » et a publié une transaction bloquée dans le chat communautaire de THORChain comptant 10 845 membres. La biographie Telegram de Jimmy Green annonçait le traitement de BTC, ETH, SOL et TRX signalés via un service de mixage — une offre assez ouverte pour une activité qui vit ou meurt de ne pas être remarquée. Son compte comportait un numéro de téléphone américain avec un indicatif régional de Virginie.
Jimmy Green a cité le tarif en vigueur : 5 %. Une première commande test est revenue à 23 750 USDT, soit une décote de 5 % sur 25 000 dollars.
Fanfaronnades, portefeuilles et un passage par Solana
Le blanchisseur n'était pas timide. Il a mentionné Kim Jong-un par son nom, traitant le dirigeant nord-coréen comme un fournisseur lunatique. Il a affirmé que son équipe avait blanchi presque la totalité des 1,5 milliard de dollars en ETH de Bybit — bien que ce chiffre reste sa propre affirmation, et non un nombre vérifié.
Plus utile pour les enquêteurs étaient les moments où il annonçait ce que le travail de la Corée du Nord impliquerait. Il a dit que cela commencerait « demain » et que Bitcoin reviendrait sur Solana. Le lendemain, les fonds ont été déplacés vers Solana.
Le 12 mars 2025, Jimmy Green a envoyé une capture d'écran de lui-même en train de pontage de 1,192 BTC en ETH. ZachXBT l'a associée à un ordre THORChain créé quelques minutes plus tard. Ce genre de timing négligé est exactement ce qui fait couler ces opérations.
Jimmy Green a également fourni trois adresses Solana. Celles-ci ont exposé un groupe de 12 millions de dollars ou plus en fonds de Bybit circulant via BTC, ETH, SOL et Tron. Tether a ensuite gelé 442 000 USDT liés à ce groupe.
Il a mentionné une équipe avec environ 300 000 dollars gelés en 2024. ZachXBT l'a trouvée sur la chaîne : 332 000 USDC provenant de l'exploit Poloniex. Une autre fanfaronnade sur le blanchiment de 3 millions de dollars de produits de fraude a mené à un portefeuille chaud chez Huione Guarantee, la place de marché cambodgienne qui a depuis été sanctionnée et dont l'ancien président a été arrêté.
Les détails humains qui l'ont trahi
Jimmy Green a envoyé des photos de repas, a demandé si ZachXBT pouvait jouer au mahjong chinois, et a partagé des détails personnels. Une photo montrait son téléphone affichant un portefeuille contenant environ 1,2 million d'USDT, avec un ordinateur portable derrière exécutant Google Translate.
ZachXBT a identifié 15 comptes ou plus dans des groupes publics Telegram et Discord cherchant de l'aide pour des commandes liées à des fonds volés. Le réseau ne se cachait pas dans des coins sombres — il demandait des affaires dans des canaux ouverts.
Pourquoi le fil est en retard — et ce qui suit
Le piratage de Bybit a eu lieu en février 2025. Le récit complet n'est devenu public que cette semaine parce que ZachXBT a choisi de le transmettre à des enquêteurs privés et aux forces de l'ordre avant de publier. Cela représente un écart de 19 mois entre le vol et le règlement de comptes public, et cela explique pourquoi une partie de la piste a déjà été nettoyée — ou gelée.
Ce qui reste non résolu, c'est la part des 1,5 milliard de dollars qui a réellement transité par ce réseau spécifique. L'affirmation de Jimmy Green selon laquelle son équipe en a traité presque la totalité n'est que cela : une affirmation d'un homme qui voulait paraître important. Les éléments vérifiés sont plus restreints — les 442 000 USDT gelés, le groupe de 12 millions de dollars, les 332 000 USDC liés à Poloniex. Les forces de l'ordre n'ont pas dit si le numéro de Virginie ou le pseudonyme « Jimmy Green » ont conduit à une identité réelle.
