Investigator blockchain ZachXBT menghabiskan berbulan-bulan menyamar sebagai penipu di Telegram untuk masuk ke dalam kelompok pencucian uang Tiongkok yang menurutnya menangani sebagian besar dari $1,5 miliar yang dicuri dari Bybit pada Februari 2025 — hasil curian yang terkait dengan Korea Utara. Ia mengeluarkan $349.700 dari uangnya sendiri untuk operasi tersebut dan mengambil komisi 5% dari setiap pesanan, yang berarti orang-orang yang ia selidiki membayarnya.
Bukti yang ia kumpulkan membantu pihak berwenang membekukan dana dan mengaitkan aliran dana Bybit. Thread publik tersebut muncul 19 bulan setelah peretasan karena ia menyerahkan semuanya terlebih dahulu kepada penyelidik swasta dan penegak hukum.
Bagaimana cerita penyamaran itu bekerja
Titik masuk ZachXBT adalah masalah sederhana dan jelek: ia memberi tahu kelompok itu bahwa ia memiliki ETH yang ditandai dari alat privasi Railgun yang perlu diubah menjadi USDT bersih di Tron. Itu adalah masalah umum bagi para pencuci uang, dan kelompok itu mempercayainya.
Salah satu pencuci uang menggunakan alias "Jimmy Green" dan memposting transaksi yang macet di obrolan komunitas THORChain yang beranggotakan 10.845 orang. Bio Telegram Jimmy Green mengiklankan pemrosesan BTC, ETH, SOL, dan TRX yang ditandai melalui layanan pencampuran — tawaran yang cukup terbuka untuk bisnis yang hidup atau mati dengan tidak diperhatikan. Akunnya mencantumkan nomor telepon AS dengan kode area Virginia.
Jimmy Green menyebutkan tarif yang berlaku: 5%. Pesanan uji coba awal kembali sebagai 23.750 USDT, potongan 5% dari $25.000.
Pamer, dompet, dan perjalanan melalui Solana
Pencuci uang itu tidak malu. Ia menyebut Kim Jong-un dengan nama, memperlakukan pemimpin Korea Utara itu seperti pemasok yang moody. Ia mengklaim timnya telah mencuci hampir semua $1,5 miliar ETH milik Bybit — meskipun angka itu tetap klaimnya sendiri, bukan angka yang terverifikasi.
Yang lebih berguna bagi penyelidik adalah saat-saat ia mengumumkan apa yang akan melibatkan pekerjaan Korea Utara. Ia mengatakan itu akan dimulai "besok" dan bahwa Bitcoin akan kembali ke Solana. Keesokan harinya, dana berpindah ke Solana.
Pada 12 Maret 2025, Jimmy Green mengirim tangkapan layar dirinya menjembatani 1,192 BTC ke ETH. ZachXBT mencocokkannya dengan pesanan THORChain yang dibuat beberapa menit kemudian. Waktu yang ceroboh seperti itu justru yang menenggelamkan operasi semacam ini.
Jimmy Green juga menyerahkan tiga alamat Solana. Alamat-alamat itu mengungkap sekelompok dana Bybit senilai $12 juta atau lebih yang berputar melalui BTC, ETH, SOL, dan Tron. Tether kemudian membekukan 442.000 USDT yang terkait dengan kluster tersebut.
Ia menyebutkan tim dengan sekitar $300.000 yang dibekukan pada 2024. ZachXBT menemukannya di on-chain: 332.000 USDC dari eksploitasi Poloniex. Pamer terpisah tentang mencuci $3 juta hasil penipuan mengarah ke hot wallet di Huione Guarantee, pasar Kamboja yang sejak itu dikenai sanksi dan mantan ketuanya ditangkap.
Detail manusiawi yang membocorkannya
Jimmy Green mengirim foto-foto makanan, bertanya apakah ZachXBT bisa bermain mahjong Tiongkok, dan membagikan detail pribadi. Salah satu foto menunjukkan ponselnya menampilkan dompet yang berisi sekitar 1,2 juta USDT, dengan laptop di belakangnya menjalankan Google Translate.
ZachXBT mengidentifikasi 15 atau lebih akun di grup Telegram dan Discord publik yang mencari bantuan dengan pesanan yang terkait dengan dana curian. Kelompok itu tidak bersembunyi di sudut gelap — mereka meminta bisnis di saluran terbuka.
Mengapa thread-nya terlambat — dan apa selanjutnya
Peretasan Bybit terjadi pada Februari 2025. Kisah lengkapnya baru dipublikasikan minggu ini karena ZachXBT memilih untuk mengarahkannya ke penyelidik swasta dan penegak hukum sebelum menerbitkan. Itu adalah jeda 19 bulan antara pencurian dan perhitungan publik, dan itu menjelaskan mengapa sebagian jejaknya sudah dibersihkan — atau dibekukan.
Yang belum terselesaikan adalah berapa banyak dari $1,5 miliar yang sebenarnya bergerak melalui kelompok khusus ini. Klaim Jimmy Green bahwa timnya menangani hampir semuanya hanyalah itu: klaim dari seorang pria yang ingin terlihat besar. Bagian yang terverifikasi lebih sempit — 442.000 USDT yang dibekukan, kluster $12 juta, 332.000 USDC yang terkait dengan Poloniex. Penegak hukum belum mengatakan apakah nomor Virginia atau alias "Jimmy Green" telah mengarah pada identitas asli.
