Analityk blockchain ZachXBT spędził miesiące, podając się za oszusta na Telegramie, aby dostać się do wnętrza chińskiej grupy zajmującej się praniem pieniędzy, która – jak twierdzi – przetworzyła większość z 1,5 miliarda dolarów skradzionych z Bybit w lutym 2025 roku – łupu powiązanego z Koreą Północną. Na potrzeby operacji wyłożył z własnej kieszeni 349 700 dolarów i pobierał 5% prowizji od każdego zlecenia, co oznacza, że ludzie, których inwigilował, płacili mu.
Zgromadzone przez niego dowody pomogły władzom zamrozić środki i przypisać przepływy związane z Bybit. Publiczny wątek pojawił się 19 miesięcy po ataku, ponieważ najpierw przekazał wszystko prywatnym detektywom i organom ścigania.
Jak działała przykrywka
Punktem wejścia ZachXBT był prosty, brzydki problem: powiedział grupie, że ma oznaczone ETH z narzędzia prywatności Railgun, które trzeba zamienić na czyste USDT na Tronie. To częsty ból głowy dla pracujących przy praniu pieniędzy, a grupa to kupiła.
Jeden z pracowników pralni używał pseudonimu „Jimmy Green” i opublikował zablokowaną transakcję na czacie społeczności THORChain liczącej 10 845 członków. Bio Jimmy’ego Greena na Telegramie reklamowało przetwarzanie oznaczonych BTC, ETH, SOL i TRX przez usługę mieszającą – dość otwarta oferta dla biznesu, który żyje lub umiera w zależności od tego, czy nie zostanie zauważony. Jego konto miało amerykański numer telefonu z numerem kierunkowym Wirginii.
Jimmy Green podał obowiązującą stawkę: 5%. Wczesne zlecenie testowe zwróciło 23 750 USDT, czyli 5% potrącenia od 25 000 dolarów.
Przechwałki, portfele i podróż przez Solanę
Pracownik pralni nie był nieśmiały. Wymienił Kim Dzong Una z imienia i nazwiska, traktując północnokoreańskiego przywódcę jak humorzastego dostawcę. Twierdził, że jego zespół wyprał prawie całe 1,5 miliarda dolarów w ETH z Bybit – choć ta liczba pozostaje jego własnym twierdzeniem, a nie zweryfikowaną wartością.
Bardziej przydatne dla śledczych były momenty, w których ogłaszał, co będzie obejmować praca Korei Północnej. Powiedział, że zacznie się „jutro” i że Bitcoin wróci na Solanę. Następnego dnia środki przeniesiono na Solanę.
12 marca 2025 roku Jimmy Green wysłał zrzut ekranu, na którym przenosi 1,192 BTC na ETH. ZachXBT dopasował go do zlecenia THORChain utworzonego kilka minut później. Ten rodzaj niedbałego wyczucia czasu jest dokładnie tym, co pogrąża takie operacje.
Jimmy Green przekazał również trzy adresy Solana. Ujawniły one klaster o wartości 12 milionów dolarów lub więcej w środkach z Bybit krążących przez BTC, ETH, SOL i Tron. Później Tether zamroził 442 000 USDT powiązanych z tym klastrem.
Wspomniał o zespole z około 300 000 dolarów zamrożonych w 2024 roku. ZachXBT znalazł to on-chain: 332 000 USDC z exploitu Poloniex. Osobna przechwałka o praniu 3 milionów dolarów z dochodów z oszustw doprowadziła do gorącego portfela w Huione Guarantee, kambodżańskim rynku, który od tego czasu został objęty sankcjami, a jego były przewodniczący został aresztowany.
Szczegóły, które go zdradziły
Jimmy Green wysyłał zdjęcia posiłków, pytał, czy ZachXBT potrafi grać w chińskiego mahjonga, i dzielił się osobistymi szczegółami. Jedno zdjęcie pokazywało jego telefon wyświetlający portfel zawierający około 1,2 miliona USDT, a za nim laptop z uruchomionym Google Translate.
ZachXBT zidentyfikował 15 lub więcej kont w publicznych grupach na Telegramie i Discordzie szukających pomocy przy zleceniach związanych ze skradzionymi środkami. Grupa nie ukrywała się w ciemnych zakątkach – prosiła o interesy na otwartych kanałach.
Dlaczego wątek pojawił się późno – i co dalej
Atak na Bybit miał miejsce w lutym 2025 roku. Pełna relacja upubliczniła się dopiero w tym tygodniu, ponieważ ZachXBT zdecydował się przekazać ją prywatnym detektywom i organom ścigania przed publikacją. To 19-miesięczna luka między kradzieżą a publicznym rozliczeniem, co wyjaśnia, dlaczego część śladu została już wyczyszczona – lub zamrożona.
Nierozstrzygnięte pozostaje, jaka część z 1,5 miliarda dolarów faktycznie przeszła przez tę konkretną grupę. Twierdzenie Jimmy’ego Greena, że jego zespół obsłużył prawie całość, jest właśnie tym: twierdzeniem człowieka, który chciał wyglądać na wielkiego. Zweryfikowane elementy są węższe – zamrożone 442 000 USDT, klaster o wartości 12 milionów dolarów, 332 000 USDC powiązane z Poloniex. Organy ścigania nie ujawniły, czy numer z Wirginii lub pseudonim „Jimmy Green” doprowadziły do prawdziwej tożsamości.
