A blockchain-nyomozó ZachXBT hónapokon át szélhámosnak adta ki magát a Telegramon, hogy bejusson egy kínai pénzmosó bandába, amely állítása szerint a 2025 februárjában a Bybit-től ellopott 1,5 milliárd dollár nagy részét kezelte – az összeg Észak-Koreához köthető. Saját pénzéből 349 700 dollárt tett ki az akcióra, és minden megbízás után 5%-os díjat kapott, ami azt jelenti, hogy akiket vizsgált, fizettek neki.
A gyűjtött bizonyítékok segítettek a hatóságoknak befagyasztani az összegeket és a Bybit-tranzakciókat azonosítani. A nyilvános bejegyzés 19 hónappal a hack után jelent meg, mert először mindent átadott a magánnyomozóknak és a bűnüldöző szerveknek.
Hogyan működött a fedősztori
ZachXBT belépési pontja egy egyszerű, csúnya probléma volt: azt mondta a bandának, hogy megjelölt ETH-je van a Railgun adatvédelmi eszközből, amit tiszta USDT-vé kell alakítania a Tronon. Ez gyakori fejfájás a pénzmosóknak, és a banda elhitte.
Az egyik pénzmosó a „Jimmy Green” álnevet használta, és egy elakadt tranzakciót tett közzé a THORChain 10 845 tagú közösségi csetjében. Jimmy Green Telegram-bioja megjelölt BTC, ETH, SOL és TRX feldolgozását hirdette egy keverőszolgáltatáson keresztül – elég nyílt ajánlat egy olyan üzlethez, amely azon áll vagy bukik, hogy nem veszik észre. Fiókjához egy amerikai telefonszám tartozott Virginia körzetszámmal.
Jimmy Green az aktuális árfolyamot mondta: 5%. Egy korai próbamegrendelés 23 750 USDT-vel tért vissza, ami 5%-os levonás a 25 000 dollárból.
Dicsekvések, tárcák és egy utazás a Solanán
A pénzmosó nem volt szégyenlős. Nevén nevezte Kim Dzsongunt, mintha az észak-koreai vezető egy szeszélyes beszállító lenne. Azt állította, hogy csapata a Bybit 1,5 milliárd dollárnyi ETH-jének szinte teljes egészét kimosta – bár ez a szám csak az ő állítása, nem ellenőrzött adat.
A nyomozóknak hasznosabbak voltak azok az alkalmak, amikor bejelentette, hogy Észak-Korea munkája mit fog tartalmazni. Azt mondta, „holnap” kezdődik, és hogy a Bitcoin visszatér a Solanára. Másnap a pénzeszközök a Solanára kerültek.
2025. március 12-én Jimmy Green elküldte egy képernyőképet, amelyen 1,192 BTC-t hidalt át ETH-be. ZachXBT ezt összevetette egy perccel később létrehozott THORChain-megrendeléssel. Az ilyen hanyag időzítés az, ami pontosan elsüllyeszti ezeket az akciókat.
Jimmy Green három Solana-címet is átadott. Ezek lelepleztek egy 12 millió dollár vagy annál nagyobb Bybit-összeget, amely BTC, ETH, SOL és Tron között forgott. A Tether később befagyasztott 442 000 USDT-t, amely ehhez a klaszterhez kapcsolódott.
Említett egy csapatot, amelynek körülbelül 300 000 dollárját fagyasztották be 2024-ben. ZachXBT megtalálta a láncon: 332 000 USDC a Poloniex exploitból. Egy külön dicsekvés 3 millió dollárnyi csalási bevétel mosásáról egy hot wallethez vezetett a Huione Guarantee-nél, a kambodzsai piactérnél, amelyet azóta szankcionáltak, és amelynek korábbi elnökét letartóztatták.
Az emberi részletek, amelyek elárulták
Jimmy Green étkezésekről küldött fotókat, megkérdezte, tud-e ZachXBT kínai mahjongot játszani, és személyes részleteket osztott meg. Az egyik fotón a telefonja egy körülbelül 1,2 millió USDT-t tartó tárcát mutatott, mögötte egy laptop futott a Google Translate-tel.
ZachXBT 15 vagy több fiókot azonosított nyilvános Telegram- és Discord-csoportokban, amelyek segítséget kértek a lopott pénzeszközökhöz kapcsolódó megrendelésekhez. A banda nem sötét zugokban bujkált – nyílt csatornákon kért üzletet.
Miért késik a bejegyzés – és mi következik
A Bybit-hack 2025 februárjában történt. A teljes beszámoló csak ezen a héten vált nyilvánossá, mert ZachXBT úgy döntött, hogy először magánnyomozókhoz és a bűnüldöző szervekhez juttatja el, és csak utána publikálja. Ez 19 hónapos szakadék a lopás és a nyilvános elszámoltatás között, és ez magyarázza, hogy a nyom egy részét már megtisztították – vagy befagyasztották.
Ami nem tisztázott, hogy az 1,5 milliárd dollárból mennyi ment át valójában ezen a konkrét csapaton. Jimmy Green állítása, hogy csapata szinte az egészet kezelte, csak ennyi: egy olyan ember állítása, aki nagynak akart látszani. Az ellenőrzött részek szűkebbek – a befagyasztott 442 000 USDT, a 12 millió dolláros klaszter, a Poloniexhez kapcsolódó 332 000 USDC. A bűnüldöző szervek nem nyilatkoztak arról, hogy a Virginia-i szám vagy a „Jimmy Green” álnév valódi személyazonossághoz vezetett-e.
