블록체인 조사관 ZachXBT는 2025년 2월 Bybit에서 탈취된 15억 달러 대부분을 처리했다고 주장하는 중국 자금세탁 조직에 잠입하기 위해 텔레그램에서 사기꾼으로 위장하며 수개월을 보냈다. 이 탈취 자금은 북한과 연루되어 있다. 그는 이 작전을 위해 자신의 돈 349,700달러를 선지급했고, 모든 주문에 대해 5% 수수료를 받았다. 즉, 그가 조사하던 사람들이 그에게 돈을 지불한 셈이다.
그가 수집한 증거는 당국이 자금을 동결하고 Bybit 자금 흐름을 특정하는 데 도움이 되었다. 공개 스레드는 해킹 후 19개월 만에 올라왔는데, 그가 모든 것을 먼저 민간 조사관과 법 집행 기관에 넘겼기 때문이다.
위장 신분이 어떻게 통했는가
ZachXBT의 진입점은 간단하고 추한 문제였다. 그는 조직에게 프라이버시 도구 Railgun에서 나온 ETH에 마킹이 되어 있어 트론에서 깨끗한 USDT로 바꿔야 한다고 말했다. 이는 세탁업자들에게 흔한 골칫거리이며, 조직은 이를 믿었다.
세탁업자 중 한 명은 '지미 그린'이라는 가명을 사용했고, THORChain의 10,845명이 있는 커뮤니티 채팅에 막힌 거래를 게시했다. 지미 그린의 텔레그램 바이오에는 믹싱 서비스를 통해 플래그된 BTC, ETH, SOL, TRX를 처리한다고 광고했다. 이는 주목받지 않는 것에 목숨이 달린 사업에 대한 상당히 공개적인 제안이었다. 그의 계정에는 버지니아 지역 번호를 가진 미국 전화번호가 있었다.
지미 그린은 현재 요율로 5%를 제시했다. 초기 테스트 주문은 23,750 USDT로 돌아왔는데, 이는 25,000달러에서 5%를 뗀 금액이다.
자랑, 지갑, 그리고 솔라나를 거친 여정
세탁업자는 부끄러워하지 않았다. 그는 김정은을 이름으로 언급하며 북한 지도자를 변덕스러운 공급자처럼 대했다. 그는 자신의 팀이 Bybit의 15억 달러 ETH 거의 전부를 세탁했다고 주장했지만, 이 수치는 검증된 숫자가 아니라 그의 주장일 뿐이다.
조사관들에게 더 유용한 것은 그가 북한의 작업이 무엇을 포함할지 알린 때였다. 그는 그것이 '내일' 시작될 것이라고 말했고 비트코인이 솔라나로 돌아올 것이라고 했다. 다음 날, 자금은 솔라나로 이동했다.
2025년 3월 12일, 지미 그린은 자신이 1.192 BTC를 ETH로 브릿지하는 스크린샷을 보냈다. ZachXBT는 이를 몇 분 후 생성된 THORChain 주문과 일치시켰다. 이런 허술한 타이밍이 바로 이런 작전을 망치는 원인이다.
지미 그린은 또한 세 개의 솔라나 주소를 넘겼다. 그것들은 BTC, ETH, SOL, 트론을 순환하는 1,200만 달러 이상의 Bybit 자금 클러스터를 드러냈다. 테더는 나중에 그 클러스터와 연결된 442,000 USDT를 동결했다.
그는 2024년에 약 30만 달러가 동결된 팀을 언급했다. ZachXBT는 이를 온체인에서 찾았다. Poloniex 익스플로잇에서 나온 332,000 USDC였다. 300만 달러의 사기 수익을 세탁했다는 별도의 자랑은 후에 제재를 받고 전 회장이 체포된 캄보디아 마켓플레이스 Huione Guarantee의 핫 월렛으로 이어졌다.
그를 드러나게 한 인간적인 세부 사항
지미 그린은 식사 사진을 보내고, ZachXBT에게 중국식 마작을 할 수 있는지 물었으며, 개인적인 세부 사항을 공유했다. 한 사진에는 약 120만 USDT를 보유한 지갑이 표시된 그의 휴대폰과 뒤에 구글 번역이 실행 중인 노트북이 있었다.
ZachXBT는 공개 텔레그램과 디스코드 그룹에서 도난 자금과 관련된 주문에 도움을 요청하는 15개 이상의 계정을 확인했다. 조직은 어두운 구석에 숨어 있지 않았다. 공개 채널에서 사업을 요청하고 있었다.
스레드가 늦은 이유 — 그리고 다음 단계
Bybit 해킹은 2025년 2월에 발생했다. 전체 내용은 ZachXBT가 출판 전에 민간 조사관과 법 집행 기관에 넘기기로 선택했기 때문에 이번 주에야 공개되었다. 이는 도난과 공개적인 심판 사이에 19개월의 격차가 있으며, 일부 흔적이 이미 정리되었거나 동결된 이유를 설명한다.
해결되지 않은 것은 15억 달러 중 얼마나 많은 금액이 실제로 이 특정 조직을 통해 이동했는지이다. 지미 그린이 자신의 팀이 거의 전부를 처리했다는 주장은 그저 그렇다. 크게 보이고 싶어 했던 남자의 주장일 뿐이다. 검증된 부분은 더 좁다. 동결된 442,000 USDT, 1,200만 달러 클러스터, Poloniex와 연결된 332,000 USDC. 법 집행 기관은 버지니아 번호나 '지미 그린'이라는 가명이 실제 신원으로 이어졌는지 밝히지 않았다.
