Penyiasat blockchain ZachXBT menghabiskan berbulan-bulan menyamar sebagai penipu di Telegram untuk menyusup ke dalam kumpulan pengubahan wang haram China yang katanya mengendalikan sebahagian besar daripada $1.5 bilion yang dicuri dari Bybit pada Februari 2025 — hasil curian yang dikaitkan dengan Korea Utara. Dia mengeluarkan $349,700 daripada wangnya sendiri untuk operasi itu dan mengenakan bayaran 5% pada setiap pesanan, bermakna orang yang dia siasat sedang membayarnya.
Bukti yang dikumpulkannya membantu pihak berkuasa membekukan dana dan mengaitkan aliran Bybit. Benang awam itu muncul 19 bulan selepas penggodaman kerana dia menyerahkan semuanya kepada penyiasat persendirian dan penguatkuasa undang-undang terlebih dahulu.
Bagaimana cerita penyamaran itu berfungsi
Titik masuk ZachXBT adalah masalah mudah yang buruk: dia memberitahu kumpulan itu bahawa dia mempunyai ETH bertanda dari alat privasi Railgun yang perlu ditukar menjadi USDT bersih di Tron. Itu masalah biasa bagi pengubah wang haram, dan kumpulan itu mempercayainya.
Salah seorang pengubah wang haram menggunakan alias "Jimmy Green" dan menyiarkan transaksi tersekat dalam sembang komuniti THORChain yang mempunyai 10,845 ahli. Bio Telegram Jimmy Green mengiklankan pemprosesan BTC, ETH, SOL dan TRX yang ditandakan melalui perkhidmatan pencampuran — tawaran yang agak terbuka untuk perniagaan yang hidup atau mati bergantung pada tidak diperhatikan. Akaunnya membawa nombor telefon AS dengan kod kawasan Virginia.
Jimmy Green menyebut kadar semasa: 5%. Pesanan ujian awal dikembalikan sebagai 23,750 USDT, potongan 5% daripada $25,000.
Membanggakan diri, dompet, dan perjalanan melalui Solana
Pengubah wang haram itu tidak malu. Dia merujuk Kim Jong-un dengan nama, menganggap pemimpin Korea Utara itu seperti pembekal yang moody. Dia mendakwa pasukannya telah membasuh hampir semua $1.5 bilion ETH Bybit — walaupun angka itu kekal sebagai dakwaannya sendiri, bukan angka yang disahkan.
Lebih berguna untuk penyiasat ialah apabila dia mengumumkan apa yang akan melibatkan kerja Korea Utara. Dia berkata ia akan bermula "esok" dan Bitcoin akan kembali ke Solana. Keesokan harinya, dana berpindah ke Solana.
Pada 12 Mac 2025, Jimmy Green menghantar tangkapan skrin dirinya menjambatani 1.192 BTC ke ETH. ZachXBT memadankannya dengan pesanan THORChain yang dibuat beberapa minit kemudian. Masa yang cuai seperti itu adalah tepat apa yang menenggelamkan operasi ini.
Jimmy Green juga menyerahkan tiga alamat Solana. Itu mendedahkan sekumpulan $12 juta atau lebih dana Bybit yang berputar melalui BTC, ETH, SOL dan Tron. Tether kemudian membekukan 442,000 USDT yang dikaitkan dengan kelompok itu.
Dia menyebut pasukan dengan sekitar $300,000 dibekukan pada 2024. ZachXBT menemuinya secara on-chain: 332,000 USDC daripada eksploit Poloniex. Satu lagi bualan tentang membasuh $3 juta hasil penipuan membawa kepada hot wallet di Huione Guarantee, pasar Kemboja yang sejak itu dikenakan sekatan dan bekas pengerusinya ditangkap.
Butiran manusia yang mendedahkannya
Jimmy Green menghantar gambar makanan, bertanya sama ada ZachXBT boleh bermain mahjong Cina, dan berkongsi butiran peribadi. Satu gambar menunjukkan telefonnya memaparkan dompet yang memegang kira-kira 1.2 juta USDT, dengan komputer riba di belakangnya menjalankan Google Translate.
ZachXBT mengenal pasti 15 atau lebih akaun dalam kumpulan Telegram dan Discord awam yang mencari bantuan dengan pesanan yang berkaitan dengan dana curi. Kumpulan itu tidak bersembunyi di sudut gelap — ia meminta perniagaan di saluran terbuka.
Mengapa benang itu lambat — dan apa seterusnya
Penggodaman Bybit berlaku pada Februari 2025. Akaun penuh itu hanya menjadi awam minggu ini kerana ZachXBT memilih untuk menyalurkannya kepada penyiasat persendirian dan penguatkuasa undang-undang sebelum menerbitkan. Itu jurang 19 bulan antara kecurian dan perhitungan awam, dan ia menjelaskan mengapa sebahagian jejak itu telah dibersihkan — atau dibekukan.
Yang belum diselesaikan ialah berapa banyak daripada $1.5 bilion itu sebenarnya bergerak melalui kumpulan khusus ini. Dakwaan Jimmy Green bahawa pasukannya mengendalikan hampir semuanya hanyalah itu: dakwaan daripada seorang lelaki yang mahu kelihatan hebat. Bahagian yang disahkan lebih sempit — 442,000 USDT yang dibekukan, kelompok $12 juta, 332,000 USDC yang dikaitkan dengan Poloniex. Penguatkuasa undang-undang tidak menyatakan sama ada nombor Virginia atau alias "Jimmy Green" telah membawa kepada identiti sebenar.
