นักสืบสวนบล็อกเชน ZachXBT ใช้เวลาหลายเดือนปลอมตัวเป็นมิจฉาชีพบน Telegram เพื่อเข้าไปอยู่ในแก๊งฟอกเงินชาวจีนที่เขาเชื่อว่าเกี่ยวข้องกับเงิน 1.5 พันล้านดอลลาร์ที่ถูกขโมยไปจาก Bybit ในเดือนกุมภาพันธ์ 2025 ซึ่งเป็นเงินที่เชื่อมโยงกับเกาหลีเหนือ เขาใช้เงินตัวเอง 349,700 ดอลลาร์สำหรับปฏิบัติการนี้ และเก็บค่าธรรมเนียม 5% จากทุกคำสั่งซื้อ ซึ่งหมายความว่าคนที่เขากำลังสืบสวนอยู่เป็นคนจ่ายเงินให้เขา
หลักฐานที่เขารวบรวมได้ช่วยให้เจ้าหน้าที่อายัดเงินและระบุที่มาของกระแสเงินจาก Bybit กระทู้สาธารณะนี้ปรากฏขึ้น 19 เดือนหลังการแฮ็ก เพราะเขาได้ส่งข้อมูลทั้งหมดให้กับนักสืบสวนเอกชนและหน่วยงานบังคับใช้กฎหมายก่อน
เรื่องราวปกปิดทำงานอย่างไร
จุดเริ่มต้นของ ZachXBT คือปัญหาง่ายๆ ที่น่าเกลียด: เขาบอกกับแก๊งว่าเขามี ETH ที่ถูกทำเครื่องหมายจากเครื่องมือความเป็นส่วนตัว Railgun ซึ่งจำเป็นต้องแปลงเป็น USDT ที่สะอาดบน Tron นั่นเป็นปัญหาปวดหัวทั่วไปสำหรับนักฟอกเงิน และแก๊งก็เชื่อ
หนึ่งในนักฟอกเงินใช้นามแฝงว่า "Jimmy Green" และโพสต์ธุรกรรมที่ค้างอยู่ในแชทชุมชน THORChain ที่มีสมาชิก 10,845 คน ไบโอ Telegram ของ Jimmy Green โฆษณาการประมวลผล BTC, ETH, SOL และ TRX ที่ถูกตั้งค่าสถานะผ่านบริการผสมเงิน ซึ่งเป็นการโฆษณาที่ค่อนข้างเปิดเผยสำหรับธุรกิจที่อยู่หรือตายขึ้นอยู่กับการไม่ถูกสังเกต บัญชีของเขามีหมายเลขโทรศัพท์สหรัฐฯ ที่มีรหัสพื้นที่เวอร์จิเนีย
Jimmy Green เสนอราคาตลาดที่ 5% คำสั่งซื้อทดสอบแรกส่งกลับมาเป็น 23,750 USDT ซึ่งหัก 5% จาก 25,000 ดอลลาร์
การคุยโว กระเป๋าเงิน และการเดินทางผ่าน Solana
นักฟอกเงินไม่ได้ขี้อาย เขาอ้างถึงคิม จองอึนด้วยชื่อ ราวกับว่าผู้นำเกาหลีเหนือเป็นซัพพลายเออร์ที่อารมณ์แปรปรวน เขาอ้างว่าทีมของเขาฟอกเงิน ETH ของ Bybit เกือบทั้งหมด 1.5 พันล้านดอลลาร์ แม้ว่าตัวเลขนั้นยังคงเป็นคำกล่าวอ้างของเขาเอง ไม่ใช่ตัวเลขที่ตรวจสอบแล้ว
สิ่งที่มีประโยชน์มากกว่าสำหรับนักสืบสวนคือเวลาที่เขาประกาศว่างานของเกาหลีเหนือจะเกี่ยวข้องกับอะไร เขาบอกว่ามันจะเริ่ม "พรุ่งนี้" และบิตคอยน์จะกลับไปที่ Solana วันถัดมา เงินก็ย้ายไปที่ Solana
เมื่อวันที่ 12 มีนาคม 2025 Jimmy Green ส่งภาพหน้าจอของตัวเองที่กำลังบริดจ์ 1.192 BTC เป็น ETH ZachXBT จับคู่กับคำสั่งซื้อ THORChain ที่สร้างขึ้นไม่กี่นาทีต่อมา จังหวะเวลาที่สะเพร่าแบบนั้นคือสิ่งที่ทำให้ปฏิบัติการเหล่านี้ล่ม
Jimmy Green ยังให้ที่อยู่ Solana สามแห่ง ซึ่งเปิดเผยกลุ่มเงินทุน Bybit มูลค่า 12 ล้านดอลลาร์หรือมากกว่าที่หมุนเวียนผ่าน BTC, ETH, SOL และ Tron ต่อมา Tether อายัด 442,000 USDT ที่เชื่อมโยงกับกลุ่มนั้น
เขาพูดถึงทีมที่มีเงินถูกอายัดประมาณ 300,000 ดอลลาร์ในปี 2024 ZachXBT พบมันบนเชน: 332,000 USDC จากการโจมตี Poloniex การคุยโวแยกต่างหากเกี่ยวกับการฟอกเงิน 3 ล้านดอลลาร์จากผลประโยชน์ fraudulent นำไปสู่กระเป๋าเงินร้อนที่ Huione Guarantee ตลาดกัมพูชาที่ได้รับการคว่ำบาตรและประธานาธิบดีคนก่อนถูกจับกุม
รายละเอียดของมนุษย์ที่ทำให้เขาถูกเปิดเผย
Jimmy Green ส่งรูปอาหาร ถามว่า ZachXBT เล่นไพ่นกกระจอกจีนได้ไหม และแบ่งปันรายละเอียดส่วนตัว รูปหนึ่งแสดงโทรศัพท์ของเขาที่แสดงกระเป๋าเงินที่มีประมาณ 1.2 ล้าน USDT โดยมีแล็ปท็อปอยู่ข้างหลังที่เปิด Google Translate
ZachXBT ระบุบัญชี 15 บัญชีขึ้นไปในกลุ่ม Telegram และ Discord สาธารณะที่ขอความช่วยเหลือเกี่ยวกับคำสั่งซื้อที่เชื่อมโยงกับเงินที่ถูกขโมย แก๊งไม่ได้ซ่อนอยู่ในมุมมืด แต่กำลังขอธุรกิจในช่องทางเปิด
ทำไมกระทู้จึงล่าช้า — และอะไรต่อไป
การแฮ็ก Bybit เกิดขึ้นในเดือนกุมภาพันธ์ 2025 บันทึกทั้งหมดเปิดเผยต่อสาธารณะเพียงสัปดาห์นี้ เพราะ ZachXBT เลือกที่จะส่งมันไปยังนักสืบสวนเอกชนและหน่วยงานบังคับใช้กฎหมายก่อนที่จะเผยแพร่ นั่นคือช่องว่าง 19 เดือนระหว่างการโจรกรรมและการเปิดเผยต่อสาธารณะ และอธิบายว่าทำไมร่องรอยบางส่วนจึงถูกทำความสะอาดไปแล้ว — หรือถูกอายัด
สิ่งที่ยังไม่คลี่คลายคือเงิน 1.5 พันล้านดอลลาร์นั้นผ่านแก๊งนี้จริงเท่าไร คำกล่าวอ้างของ Jimmy Green ที่ว่าทีมของเขาจัดการเกือบทั้งหมดเป็นเพียงคำกล่าวอ้างจากชายที่อยากดูยิ่งใหญ่ ชิ้นส่วนที่ตรวจสอบแล้วแคบกว่า — 442,000 USDT ที่ถูกอายัด, กลุ่ม 12 ล้านดอลลาร์, 332,000 USDC ที่เชื่อมโยงกับ Poloniex หน่วยงานบังคับใช้กฎหมายยังไม่ได้ระบุว่าหมายเลขเวอร์จิเนียหรือนามแฝง "Jimmy Green" นำไปสู่ตัวตนจริงหรือไม่
