Blokkjedeetterforskeren ZachXBT brukte måneder på å utgi seg for å være en svindler på Telegram for å komme inn i en kinesisk hvitvaskingsgruppe som han sier håndterte mesteparten av de 1,5 milliardene som ble stjålet fra Bybit i februar 2025 — et utbytte knyttet til Nord-Korea. Han la ut 349 700 dollar av egne penger for operasjonen og tok en avgift på 5 % på hver ordre, noe som betyr at de han etterforsket, betalte ham.
Bevisene han samlet inn hjalp myndighetene med å fryse midler og tilskrive Bybit-strømmene. Den offentlige tråden kom 19 måneder etter hacket fordi han først overleverte alt til private etterforskere og rettshåndhevelse.
Hvordan dekkhistorien fungerte
ZachXBTs inngangspunkt var et enkelt, stygt problem: han fortalte gruppen at han hadde merket ETH fra personvernverktøyet Railgun som trengte å bli ren USDT på Tron. Det er en vanlig hodepine for hvitvaskere, og gruppen bet på det.
En av hvitvaskerne brukte aliaset «Jimmy Green» og la ut en fastlåst transaksjon i THORChains fellesskapschat med 10 845 medlemmer. Jimmy Greens Telegram-bio annonserte behandling av flagget BTC, ETH, SOL og TRX gjennom en mixing-tjeneste — en ganske åpen annonse for en virksomhet som lever eller dør på å ikke bli lagt merke til. Kontoen hans hadde et amerikansk telefonnummer med retningsnummer for Virginia.
Jimmy Green oppgav gjeldende pris: 5 %. En tidlig testordre kom tilbake som 23 750 USDT, et avslag på 5 % på 25 000 dollar.
Skryt, lommebøker og en tur gjennom Solana
Hvitvaskeren var ikke sjenert. Han refererte til Kim Jong-un ved navn og behandlet den nordkoreanske lederen som en lunefull leverandør. Han hevdet at teamet hans hadde vasket nesten alle Bybits 1,5 milliarder dollar i ETH — selv om dette tallet forblir hans egen påstand, ikke et verifisert tall.
Mer nyttig for etterforskere var gangene han kunngjorde hva Nord-Koreas arbeid ville innebære. Han sa det ville starte «i morgen» og at Bitcoin ville komme tilbake til Solana. Dagen etter flyttet midler seg til Solana.
12. mars 2025 sendte Jimmy Green et skjermbilde av seg selv som broet 1,192 BTC til ETH. ZachXBT matchet det med en THORChain-ordre opprettet minutter senere. Den slags slurvete timing er nettopp det som senker disse operasjonene.
Jimmy Green overleverte også tre Solana-adresser. De avslørte en klynge på 12 millioner dollar eller mer i Bybit-midler som sirkulerte gjennom BTC, ETH, SOL og Tron. Tether frøs senere 442 000 USDT knyttet til den klyngen.
Han nevnte et team med rundt 300 000 dollar frosset i 2024. ZachXBT fant det på kjeden: 332 000 USDC fra Poloniex-utnyttelsen. Et separat skryt om å ha vasket 3 millioner dollar i svindelutbytte førte til en hot wallet hos Huione Guarantee, det kambodsjanske markedet som siden er sanksjonert, og hvis tidligere styreleder ble arrestert.
Menneskelige detaljer som røpet ham
Jimmy Green sendte bilder av måltider, spurte om ZachXBT kunne spille kinesisk mahjong og delte personlige detaljer. Et bilde viste telefonen hans som viste en lommebok med rundt 1,2 millioner USDT, med en laptop bak som kjørte Google Translate.
ZachXBT identifiserte 15 eller flere kontoer i offentlige Telegram- og Discord-grupper som søkte hjelp med ordrer knyttet til stjålne midler. Gruppen gjemte seg ikke i mørke kroker — den ba om forretninger i åpne kanaler.
Hvorfor tråden er sen — og hva som skjer videre
Bybit-hacket skjedde i februar 2025. Den fullstendige redegjørelsen ble offentliggjort først denne uken fordi ZachXBT valgte å rute den til private etterforskere og rettshåndhevelse før publisering. Det er et gap på 19 måneder mellom tyveriet og det offentlige oppgjøret, og det forklarer hvorfor noe av sporet allerede er ryddet opp — eller frosset.
Det som er uavklart, er hvor mye av de 1,5 milliardene som faktisk gikk gjennom denne spesifikke gruppen. Jimmy Greens påstand om at teamet hans håndterte nesten alt, er nettopp det: en påstand fra en mann som ønsket å virke stor. De verifiserte delene er snevrere — de frosne 442 000 USDT, klyngen på 12 millioner dollar, de 332 000 USDC knyttet til Poloniex. Rettshåndhevelse har ikke sagt om Virginia-nummeret eller aliaset «Jimmy Green» har ført til en reell identitet.
