Блокчейн-исследователь ZachXBT месяцами выдавал себя за мошенника в Telegram, чтобы проникнуть в китайскую группировку по отмыванию денег, которая, по его словам, обработала большую часть $1,5 млрд, украденных у Bybit в феврале 2025 года — добыча, связанная с Северной Кореей. Он вложил $349 700 своих собственных денег в операцию и взимал 5% комиссии с каждого заказа, то есть люди, которых он расследовал, платили ему.
Собранные им доказательства помогли властям заморозить средства и атрибутировать потоки Bybit. Публичный тред появился через 19 месяцев после взлома, потому что сначала он передал всё частным следователям и правоохранительным органам.
Как работала легенда
Точкой входа ZachXBT стала простая и неприятная проблема: он сказал группировке, что у него есть помеченные ETH из инструмента приватности Railgun, которые нужно превратить в чистые USDT на Tron. Это обычная головная боль для отмывателей, и группировка купилась.
Один из отмывателей использовал псевдоним «Jimmy Green» и опубликовал информацию о зависшей транзакции в чате сообщества THORChain на 10 845 участников. В биографии Jimmy Green в Telegram рекламировалась обработка помеченных BTC, ETH, SOL и TRX через сервис микширования — довольно открытое предложение для бизнеса, который живёт или умирает от того, что его не замечают. Его аккаунт был привязан к американскому номеру телефона с кодом Вирджинии.
Jimmy Green назвал текущую ставку: 5%. Ранний тестовый заказ вернулся как 23 750 USDT — скидка 5% от $25 000.
Хвастовство, кошельки и путешествие через Solana
Отмыватель не стеснялся. Он называл Ким Чен Ына по имени, относясь к северокорейскому лидеру как к капризному поставщику. Он утверждал, что его команда отмыла почти все $1,5 млрд в ETH из Bybit — хотя эта цифра остаётся его собственным заявлением, а не подтверждённым числом.
Более полезными для следователей были моменты, когда он объявлял, что будет включать работа Северной Кореи. Он сказал, что это начнётся «завтра» и что Bitcoin вернётся в Solana. На следующий день средства переместились в Solana.
12 марта 2025 года Jimmy Green отправил скриншот, на котором он переводил 1,192 BTC в ETH. ZachXBT сопоставил его с заказом в THORChain, созданным через несколько минут. Такая небрежная синхронизация — именно то, что топит подобные операции.
Jimmy Green также передал три адреса Solana. Они выявили кластер из $12 млн или более в средствах Bybit, циркулирующих через BTC, ETH, SOL и Tron. Позже Tether заморозил 442 000 USDT, связанных с этим кластером.
Он упомянул команду с примерно $300 000, замороженными в 2024 году. ZachXBT нашёл это в блокчейне: 332 000 USDC из эксплойта Poloniex. Отдельное хвастовство об отмывании $3 млн доходов от мошенничества привело к горячему кошельку в Huione Guarantee — камбоджийском маркетплейсе, который с тех пор был подвергнут санкциям, а его бывший председатель арестован.
Человеческие детали, которые его выдали
Jimmy Green присылал фотографии еды, спрашивал, умеет ли ZachXBT играть в китайский маджонг, и делился личными деталями. На одной фотографии его телефон отображал кошелёк с примерно 1,2 млн USDT, а на заднем плане ноутбук с запущенным Google Translate.
ZachXBT выявил 15 или более аккаунтов в публичных группах Telegram и Discord, ищущих помощь с заказами, связанными с украденными средствами. Группировка не пряталась в тёмных углах — она просила о работе в открытых каналах.
Почему тред появился поздно — и что дальше
Взлом Bybit произошёл в феврале 2025 года. Полный отчёт стал публичным только на этой неделе, потому что ZachXBT решил сначала передать его частным следователям и правоохранительным органам. Это 19-месячный разрыв между кражей и публичным разбирательством, и это объясняет, почему часть следа уже была очищена — или заморожена.
Остаётся нерешённым вопрос, какая часть $1,5 млрд на самом деле прошла через эту конкретную группировку. Заявление Jimmy Green о том, что его команда обработала почти всё, — это всего лишь заявление человека, который хотел выглядеть значительным. Подтверждённые фрагменты более узкие — замороженные 442 000 USDT, кластер на $12 млн, 332 000 USDC, связанные с Poloniex. Правоохранительные органы не сообщили, привели ли номер из Вирджинии или псевдоним «Jimmy Green» к реальной личности.
