O investigador de blockchain ZachXBT passou meses se passando por um golpista no Telegram para se infiltrar em um grupo chinês de lavagem de dinheiro que, segundo ele, lidou com a maior parte dos US$ 1,5 bilhão roubados da Bybit em fevereiro de 2025 — um butim ligado à Coreia do Norte. Ele adiantou US$ 349.700 do próprio bolso para a operação e cobrou uma taxa de 5% em cada pedido, o que significa que as pessoas que ele estava investigando estavam pagando a ele.
As evidências que ele reuniu ajudaram as autoridades a congelar fundos e atribuir os fluxos da Bybit. A thread pública saiu 19 meses após o hack porque ele entregou tudo primeiro a investigadores particulares e às forças da lei.
Como a história de cobertura funcionou
O ponto de entrada de ZachXBT foi um problema simples e desagradável: ele disse ao grupo que tinha ETH marcado da ferramenta de privacidade Railgun que precisava se tornar USDT limpo na Tron. Essa é uma dor de cabeça comum para lavadores, e o grupo acreditou.
Um dos lavadores usava o alias "Jimmy Green" e postou uma transação travada no chat comunitário de 10.845 membros da THORChain. A bio do Telegram de Jimmy Green anunciava o processamento de BTC, ETH, SOL e TRX sinalizados através de um serviço de mixagem — um anúncio bastante aberto para um negócio que vive ou morre por não ser notado. Sua conta tinha um número de telefone dos EUA com código de área da Virgínia.
Jimmy Green citou a taxa vigente: 5%. Um pedido de teste inicial voltou como 23.750 USDT, um corte de 5% sobre US$ 25.000.
Gabolices, carteiras e uma passagem pela Solana
O lavador não era tímido. Ele se referiu a Kim Jong-un pelo nome, tratando o líder norte-coreano como um fornecedor mal-humorado. Ele afirmou que sua equipe havia lavado quase todos os US$ 1,5 bilhão em ETH da Bybit — embora esse número continue sendo uma alegação dele, não um número verificado.
Mais útil para os investigadores foram as vezes em que ele anunciou o que o trabalho da Coreia do Norte envolveria. Ele disse que começaria "amanhã" e que o Bitcoin retornaria à Solana. No dia seguinte, os fundos foram movidos para a Solana.
Em 12 de março de 2025, Jimmy Green enviou uma captura de tela de si mesmo fazendo a ponte de 1,192 BTC para ETH. ZachXBT combinou isso com uma ordem na THORChain criada minutos depois. Esse tipo de timing descuidado é exatamente o que afunda essas operações.
Jimmy Green também entregou três endereços Solana. Eles expuseram um cluster de US$ 12 milhões ou mais em fundos da Bybit circulando por BTC, ETH, SOL e Tron. A Tether posteriormente congelou 442.000 USDT ligados a esse cluster.
Ele mencionou uma equipe com cerca de US$ 300.000 congelados em 2024. ZachXBT encontrou isso on-chain: 332.000 USDC do exploit da Poloniex. Uma gabolice separada sobre lavar US$ 3 milhões em produtos de fraude levou a uma hot wallet na Huione Guarantee, o mercado cambojano que desde então foi sancionado e cujo ex-presidente foi preso.
Os detalhes humanos que o entregaram
Jimmy Green enviou fotos de refeições, perguntou se ZachXBT podia jogar mahjong chinês e compartilhou detalhes pessoais. Uma foto mostrava seu telefone exibindo uma carteira com cerca de 1,2 milhão de USDT, com um laptop atrás rodando o Google Translate.
ZachXBT identificou 15 ou mais contas em grupos públicos de Telegram e Discord buscando ajuda com pedidos ligados a fundos roubados. O grupo não estava se escondendo em cantos escuros — estava pedindo negócios em canais abertos.
Por que a thread está atrasada — e o que vem a seguir
O hack da Bybit aconteceu em fevereiro de 2025. O relato completo só se tornou público esta semana porque ZachXBT escolheu encaminhá-lo a investigadores particulares e às forças da lei antes de publicar. Isso representa uma lacuna de 19 meses entre o roubo e o acerto de contas público, e explica por que parte da trilha já foi limpa — ou congelada.
O que permanece sem resolução é quanto dos US$ 1,5 bilhão realmente passou por esse grupo específico. A alegação de Jimmy Green de que sua equipe lidou com quase tudo é apenas isso: uma alegação de um homem que queria parecer grande. As peças verificadas são mais estreitas — os 442.000 USDT congelados, o cluster de US$ 12 milhões, os 332.000 USDC ligados à Poloniex. As forças da lei não disseram se o número da Virgínia ou o alias "Jimmy Green" levaram a uma identidade real.
