L'investigatore blockchain ZachXBT ha trascorso mesi fingendosi un truffatore su Telegram per infiltrarsi in una banda cinese di riciclaggio di denaro che, secondo lui, ha gestito la maggior parte degli 1,5 miliardi di dollari rubati a Bybit a febbraio 2025 — un bottino legato alla Corea del Nord. Ha anticipato 349.700 dollari di tasca propria per l'operazione e ha incassato una commissione del 5% su ogni ordine, il che significa che le persone che stava indagando lo pagavano.
Le prove raccolte hanno aiutato le autorità a congelare fondi e attribuire i flussi di Bybit. Il thread pubblico è arrivato 19 mesi dopo l'hack perché ha consegnato tutto prima a investigatori privati e forze dell'ordine.
Come ha funzionato la copertura
Il punto di ingresso di ZachXBT è stato un problema semplice e sgradevole: ha detto alla banda di avere ETH marcati dallo strumento per la privacy Railgun che dovevano diventare USDT puliti su Tron. Questo è un grattacapo comune per i riciclatori, e la banda ci ha creduto.
Uno dei riciclatori usava l'alias "Jimmy Green" e ha pubblicato una transazione bloccata nella chat community di THORChain con 10.845 membri. La bio Telegram di Jimmy Green pubblicizzava l'elaborazione di BTC, ETH, SOL e TRX segnalati attraverso un servizio di mixing — un'offerta piuttosto aperta per un'attività che vive o muore se non viene notata. Il suo account aveva un numero di telefono statunitense con prefisso della Virginia.
Jimmy Green ha quotato la tariffa corrente: 5%. Un ordine di prova iniziale è tornato come 23.750 USDT, un taglio del 5% su 25.000 dollari.
Vanti, wallet e un viaggio attraverso Solana
Il riciclatore non era timido. Si riferiva a Kim Jong-un per nome, trattando il leader nordcoreano come un fornitore lunatico. Ha affermato che la sua squadra aveva riciclato quasi tutti gli 1,5 miliardi di dollari in ETH di Bybit — anche se quella cifra rimane una sua affermazione, non un numero verificato.
Più utili per gli investigatori sono state le volte in cui ha annunciato cosa avrebbe comportato il lavoro della Corea del Nord. Ha detto che sarebbe iniziato "domani" e che Bitcoin sarebbe tornato su Solana. Il giorno successivo, i fondi si sono spostati su Solana.
Il 12 marzo 2025, Jimmy Green ha inviato uno screenshot di se stesso mentre convertiva 1,192 BTC in ETH. ZachXBT lo ha abbinato a un ordine THORChain creato pochi minuti dopo. Quel tipo di tempistica sciatta è esattamente ciò che affonda queste operazioni.
Jimmy Green ha anche fornito tre indirizzi Solana. Questi hanno esposto un cluster di 12 milioni di dollari o più in fondi Bybit che circolavano attraverso BTC, ETH, SOL e Tron. Tether in seguito ha congelato 442.000 USDT collegati a quel cluster.
Ha menzionato una squadra con circa 300.000 dollari congelati nel 2024. ZachXBT l'ha trovata on-chain: 332.000 USDC dall'exploit di Poloniex. Un altro vanto sul riciclaggio di 3 milioni di dollari in proventi fraudolenti ha portato a un hot wallet presso Huione Guarantee, il mercato cambogiano che da allora è stato sanzionato e il cui ex presidente è stato arrestato.
I dettagli umani che lo hanno tradito
Jimmy Green ha inviato foto di pasti, ha chiesto se ZachXBT sapesse giocare a mahjong cinese e ha condiviso dettagli personali. Una foto mostrava il suo telefono con un wallet contenente circa 1,2 milioni di USDT, con un laptop dietro che eseguiva Google Translate.
ZachXBT ha identificato 15 o più account in gruppi pubblici Telegram e Discord che cercavano aiuto con ordini legati a fondi rubati. La banda non si nascondeva in angoli bui — chiedeva affari in canali aperti.
Perché il thread è in ritardo — e cosa c'è dopo
L'hack di Bybit è avvenuto a febbraio 2025. Il resoconto completo è diventato pubblico solo questa settimana perché ZachXBT ha scelto di indirizzarlo a investigatori privati e forze dell'ordine prima di pubblicare. Si tratta di un intervallo di 19 mesi tra il furto e il resoconto pubblico, e spiega perché parte della pista è già stata ripulita — o congelata.
Ciò che rimane irrisolto è quanto degli 1,5 miliardi di dollari sia effettivamente passato attraverso questa specifica banda. L'affermazione di Jimmy Green che la sua squadra ne abbia gestito quasi tutto è solo questo: un'affermazione di un uomo che voleva sembrare importante. I pezzi verificati sono più ristretti — i 442.000 USDT congelati, il cluster da 12 milioni di dollari, i 332.000 USDC collegati a Poloniex. Le forze dell'ordine non hanno detto se il numero della Virginia o l'alias "Jimmy Green" abbiano portato a un'identità reale.
