חוקר הבלוקצ'יין ZachXBT בילה חודשים בהתחזות לרמאי בטלגרם כדי לחדור לכנופיית הלבנת הון סינית שלדבריו טיפלה ברוב 1.5 מיליארד הדולר שנגנבו מ-Bybit בפברואר 2025 — שלל הקשור לצפון קוריאה. הוא מימן 349,700 דולר מכספו שלו עבור המבצע וגבה עמלה של 5% על כל הזמנה, כלומר האנשים שהוא חקר שילמו לו.
הראיות שאסף סייעו לרשויות להקפיא כספים ולייחס את תזרימי Bybit. השרשור הפומבי פורסם 19 חודשים לאחר הפריצה, מכיוון שהוא העביר תחילה את הכל לחוקרים פרטיים ולרשויות אכיפת החוק.
איך עבד סיפור הכיסוי
נקודת הכניסה של ZachXBT הייתה בעיה פשוטה ומכוערת: הוא סיפר לכנופיה שהיו לו ETH מסומנים מכלי הפרטיות Railgun שצריכים להפוך ל-USDT נקיים על Tron. זה כאב ראש נפוץ למלביני כספים, והכנופיה האמינה לו.
אחד המלבינים השתמש בשם הבדוי "ג'ימי גרין" ופרסם עסקה תקועה בצ'אט הקהילתי של THORChain, שבו 10,845 חברים. הביו של ג'ימי גרין בטלגרם פרסם עיבוד של BTC, ETH, SOL ו-TRX מסומנים דרך שירות מיקסינג — הצעה די גלויה לעסק שחי או מת על כך שלא שמים לב אליו. החשבון שלו נשא מספר טלפון אמריקאי עם קידומת אזור של וירג'יניה.
ג'ימי גרין ציטט את התעריף המקובל: 5%. הזמנת בדיקה מוקדמת החזירה 23,750 USDT, קיצוץ של 5% על 25,000 דולר.
התרברבות, ארנקים ומסע דרך סולנה
המלבין לא היה ביישן. הוא התייחס לקים ג'ונג-און בשמו, והתייחס למנהיג צפון קוריאה כאל ספק הפכפך. הוא טען שהצוות שלו הלבין כמעט את כל 1.5 מיליארד הדולר ב-ETH של Bybit — אם כי נתון זה נותר טענתו שלו בלבד, ולא מספר מאומת.
שימושי יותר לחוקרים היו הפעמים שבהן הודיע מה תכלול העבודה של צפון קוריאה. הוא אמר שזה יתחיל "מחר" ושהביטקוין יחזור לסולנה. למחרת, הכספים עברו לסולנה.
ב-12 במרץ 2025, ג'ימי גרין שלח צילום מסך של עצמו מגשר 1.192 BTC ל-ETH. ZachXBT התאים אותו להזמנת THORChain שנוצרה דקות לאחר מכן. סוג כזה של תזמון רשלני הוא בדיוק מה שמפיל מבצעים כאלה.
ג'ימי גרין גם מסר שלוש כתובות סולנה. אלה חשפו אשכול של 12 מיליון דולר או יותר מכספי Bybit שעברו מחזור דרך BTC, ETH, SOL ו-Tron. מאוחר יותר Tether הקפיאה 442,000 USDT הקשורים לאותו אשכול.
הוא הזכיר צוות עם כ-300,000 דולר שהוקפאו ב-2024. ZachXBT מצא זאת בשרשרת: 332,000 USDC מפרשת Poloniex. התרברבות נפרדת על הלבנת 3 מיליון דולר מתמורת מרמה הובילה לארנק חם ב-Huione Guarantee, השוק הקמבודי שמאז הוטלו עליו סנקציות ושמי שהיה יושב הראש שלו נעצר.
הפרטים האנושיים שהסגירו אותו
ג'ימי גרין שלח תמונות של ארוחות, שאל אם ZachXBT יכול לשחק מהג'ונג סיני, ושיתף פרטים אישיים. באחת התמונות נראה הטלפון שלו מציג ארנק המחזיק כ-1.2 מיליון USDT, עם מחשב נייד מאחוריו שמריץ את Google Translate.
ZachXBT זיהה 15 חשבונות או יותר בקבוצות פומביות בטלגרם ובדיסקורד שחיפשו עזרה עם הזמנות הקשורות לכספים גנובים. הכנופיה לא הסתתרה בפינות אפלות — היא ביקשה עסקים בערוצים פתוחים.
למה השרשור מאחר — ומה הלאה
פריצת Bybit התרחשה בפברואר 2025. הדיווח המלא פורסם רק השבוע מכיוון ש-ZachXBT בחר להעביר אותו לחוקרים פרטיים ולרשויות אכיפת החוק לפני הפרסום. זה פער של 19 חודשים בין הגניבה לחשבון הפומבי, והוא מסביר מדוע חלק מהעקבות כבר טוהרו — או הוקפאו.
מה שנותר לא פתור הוא כמה מ-1.5 מיליארד הדולר באמת עבר דרך הכנופיה הספציפית הזו. הטענה של ג'ימי גרין שהצוות שלו טיפל בכמעט כל הסכום היא בדיוק זו: טענה של אדם שרצה להיראות גדול. החלקים המאומתים מצומצמים יותר — 442,000 USDT המוקפאים, האשכול של 12 מיליון דולר, 332,000 USDC הקשורים ל-Poloniex. רשויות אכיפת החוק לא אמרו אם המספר מווירג'יניה או הכינוי "ג'ימי גרין" הובילו לזהות אמיתית.
