ブロックチェーン調査官のZachXBTは、2025年2月にBybitから盗まれた15億ドルの大部分を処理したとされる中国の資金洗浄グループに潜入するため、数ヶ月にわたりTelegram上で詐欺師を装っていた。北朝鮮に関連するこの盗難事件で、彼は自費で349,700ドルを立て替え、注文ごとに5%の手数料を受け取っていた。つまり、彼が調査していた人々が彼に報酬を支払っていたのだ。
彼が収集した証拠は、当局が資金を凍結し、Bybitの資金の流れを特定するのに役立った。ハッキングから19ヶ月後に公開されたのは、彼がすべてをまず民間の調査機関と法執行機関に提出していたためだ。
偽装工作の仕組み
ZachXBTの侵入経路は、単純で厄介な問題だった。彼はグループに対し、プライバシーツールRailgunからマークされたETHを、Tron上のクリーンなUSDTに換える必要があると伝えた。これは資金洗浄業者にとってよくある悩みの種であり、グループはそれを信じた。
洗浄業者の一人は「Jimmy Green」という偽名を使い、THORChainの10,845人のコミュニティチャットでスタックしたトランザクションを投稿した。Jimmy GreenのTelegramのプロフィールには、ミキシングサービスを通じてフラグ付きのBTC、ETH、SOL、TRXの処理を宣伝していた。これは、気付かれないことで成り立つビジネスとしてはかなり露骨な売り込みだった。彼のアカウントには、バージニア州の市外局番を持つ米国の電話番号が添えられていた。
Jimmy Greenは相場として5%を提示した。初期のテスト注文は23,750 USDTで返ってきており、25,000ドルから5%が差し引かれていた。
自慢話、ウォレット、そしてSolanaを経由した旅
洗浄業者は控えめではなかった。彼は金正恩を名前で呼び、北朝鮮の指導者を気まぐれな供給業者のように扱った。彼は自分のチームがBybitの15億ドル相当のETHのほぼすべてを洗浄したと主張したが、この数字は彼自身の主張に過ぎず、検証されたものではない。
調査官にとってより有用だったのは、北朝鮮の作業が何を含むかを彼が発表した時のことだった。彼はそれが「明日」始まると述べ、ビットコインはSolanaに戻ると述べた。翌日、資金はSolanaに移動した。
2025年3月12日、Jimmy Greenは1.192 BTCをETHにブリッジした自分のスクリーンショットを送った。ZachXBTはそれを数分後に作成されたTHORChainの注文と照合した。このようなずさんなタイミングは、こうした作戦を台無しにする典型的なものだ。
Jimmy Greenはまた、3つのSolanaアドレスを提供した。それらは、BTC、ETH、SOL、Tronを循環する1200万ドル以上のBybit資金のクラスターを暴露した。その後、Tetherはそのクラスターに関連する442,000 USDTを凍結した。
彼は2024年に約30万ドルが凍結されたチームについて言及した。ZachXBTはそれをオンチェーンで発見した。Poloniexのエクスプロイトによる332,000 USDCである。不正な収益300万ドルを洗浄したという別の自慢話は、その後制裁を受け、元会長が逮捕されたカンボジアのマーケットプレイス、Huione Guaranteeのホットウォレットにつながった。
彼を露見させた人間的な詳細
Jimmy Greenは食事の写真を送り、ZachXBTに中国の麻雀ができるか尋ね、個人的な詳細を共有した。ある写真では、彼の携帯電話に約120万USDTを保持するウォレットが表示され、その背後にあるラップトップでGoogle翻訳が実行されていた。
ZachXBTは、盗まれた資金に関連する注文の支援を求める公開のTelegramおよびDiscordグループ内の15以上のアカウントを特定した。グループは暗い隅に隠れていたわけではなく、オープンチャネルでビジネスを求めていた。
スレッドが遅れた理由 — そして次に何が起こるか
Bybitのハッキングは2025年2月に発生した。完全な説明が今週になって公開されたのは、ZachXBTが公開前にそれを民間の調査機関と法執行機関に回すことを選んだためだ。これは盗難と公の清算の間に19ヶ月のギャップがあり、そのため追跡の一部がすでに消去されているか、凍結されている理由を説明している。
未解決なのは、15億ドルのうちどれだけが実際にこの特定のグループを通って移動したかである。Jimmy Greenのチームがほぼすべてを処理したという主張は、まさにそれに過ぎない。大きく見せたかった男の主張である。検証された部分はより狭い — 凍結された442,000 USDT、1200万ドルのクラスター、Poloniexに関連する332,000 USDCである。法執行機関は、バージニア州の番号や「Jimmy Green」という偽名が実際の身元につながったかどうかについては述べていない。
