Blockchain-onderzoeker ZachXBT deed zich maandenlang voor als een scammer op Telegram om binnen te dringen in een Chinese witwaspraktijk die volgens hem het grootste deel van de $1,5 miljard die in februari 2025 van Bybit werd gestolen, heeft verwerkt — een buit die aan Noord-Korea wordt gelinkt. Hij schoot $349.700 van zijn eigen geld voor voor de operatie en inde een commissie van 5% op elke order, wat betekent dat de mensen die hij onderzocht hem betaalden.
Het bewijs dat hij verzamelde, hielp autoriteiten om fondsen te bevriezen en de Bybit-stromen toe te schrijven. De openbare thread verscheen 19 maanden na de hack omdat hij alles eerst aan privéonderzoekers en wetshandhavers had overhandigd.
Hoe het dekmantelverhaal werkte
Het aanknopingspunt van ZachXBT was een simpel, lelijk probleem: hij vertelde de groep dat hij ETH uit de privacy-tool Railgun had gemarkeerd dat moest worden omgezet in schone USDT op Tron. Dat is een veelvoorkomende hoofdpijn voor witwassers, en de groep trapte erin.
Een van de witwassers gebruikte het alias "Jimmy Green" en plaatste een vastgelopen transactie in de 10.845 leden tellende community-chat van THORChain. De Telegram-bio van Jimmy Green adverteerde met het verwerken van gemarkeerde BTC, ETH, SOL en TRX via een mixingservice — een tamelijk openlijke aanbieding voor een bedrijf dat leeft of sterft door niet op te vallen. Zijn account had een Amerikaans telefoonnummer met een netnummer uit Virginia.
Jimmy Green noemde het gangbare tarief: 5%. Een vroege testorder kwam terug als 23.750 USDT, een korting van 5% op $25.000.
Opschepperij, wallets en een reis door Solana
De witwasser was niet verlegen. Hij noemde Kim Jong-un bij naam en behandelde de Noord-Koreaanse leider als een humeurige leverancier. Hij beweerde dat zijn team bijna alle $1,5 miljard aan ETH van Bybit had witgewassen — hoewel dat cijfer zijn eigen bewering blijft, geen geverifieerd aantal.
Nuttiger voor onderzoekers waren de momenten waarop hij aankondigde wat het werk van Noord-Korea zou inhouden. Hij zei dat het "morgen" zou beginnen en dat Bitcoin zou terugkeren naar Solana. De volgende dag werden fondsen naar Solana verplaatst.
Op 12 maart 2025 stuurde Jimmy Green een screenshot van zichzelf terwijl hij 1,192 BTC naar ETH bridge-de. ZachXBT matchte het met een THORChain-order die minuten later werd aangemaakt. Dat soort slordige timing is precies wat dit soort operaties ten onder doet gaan.
Jimmy Green overhandigde ook drie Solana-adressen. Die legden een cluster bloot van $12 miljoen of meer aan Bybit-fondsen die door BTC, ETH, SOL en Tron circuleerden. Tether bevroor later 442.000 USDT die aan dat cluster gelinkt was.
Hij noemde een team met ongeveer $300.000 bevroren in 2024. ZachXBT vond het on-chain: 332.000 USDC van de Poloniex-exploit. Een aparte opschepperij over het witwassen van $3 miljoen aan fraudeproceeds leidde naar een hot wallet bij Huione Guarantee, de Cambodjaanse marktplaats die sindsdien is gesanctioneerd en waarvan de voormalige voorzitter is gearresteerd.
De menselijke details die hem verraadden
Jimmy Green stuurde foto's van maaltijden, vroeg of ZachXBT Chinees mahjong kon spelen en deelde persoonlijke details. Op een foto was zijn telefoon te zien met een wallet met ongeveer 1,2 miljoen USDT, met daarachter een laptop waarop Google Translate liep.
ZachXBT identificeerde 15 of meer accounts in openbare Telegram- en Discord-groepen die hulp zochten bij orders die aan gestolen fondsen gelinkt waren. De groep verborg zich niet in donkere hoekjes — ze vroeg om zaken in open kanalen.
Waarom de thread laat is — en wat nu
De Bybit-hack vond plaats in februari 2025. Het volledige verslag werd pas deze week openbaar omdat ZachXBT ervoor koos het eerst naar privéonderzoekers en wetshandhavers te sturen voordat hij publiceerde. Dat is een gat van 19 maanden tussen de diefstal en de publieke afrekening, en het verklaart waarom een deel van het spoor al is opgeruimd — of bevroren.
Wat onopgelost is, is hoeveel van de $1,5 miljard daadwerkelijk via deze specifieke groep is verplaatst. De bewering van Jimmy Green dat zijn team bijna alles heeft afgehandeld, is precies dat: een bewering van een man die groot wilde lijken. De geverifieerde stukken zijn smaller — de bevroren 442.000 USDT, het cluster van $12 miljoen, de 332.000 USDC die aan Poloniex gelinkt is. Wetshandhavers hebben niet gezegd of het nummer uit Virginia of het alias "Jimmy Green" tot een echte identiteit heeft geleid.
