Blockchain araştırmacısı ZachXBT, Şubat 2025'te Bybit'ten çalınan 1,5 milyar doların çoğunu idare ettiğini söylediği ve Kuzey Kore ile bağlantılı olan Çinli bir para aklama çetesinin içine girmek için aylarca Telegram'da dolandırıcı kılığına girdi. Operasyon için kendi parasından 349.700 dolar ön ödeme yaptı ve her siparişten %5 komisyon aldı; yani soruşturduğu kişiler ona para ödüyordu.
Topladığı kanıtlar, yetkililerin fonları dondurmasına ve Bybit akışlarını ilişkilendirmesine yardımcı oldu. Kamuya açık paylaşım, hack'ten 19 ay sonra geldi çünkü her şeyi önce özel soruşturmacılara ve kolluk kuvvetlerine teslim etmişti.
Kapak hikayesi nasıl işledi
ZachXBT'nin giriş noktası basit ve çirkin bir sorundu: çeteye, gizlilik aracı Railgun'dan işaretlenmiş ETH'si olduğunu ve bunun Tron'da temiz USDT'ye dönüştürülmesi gerektiğini söyledi. Bu, aklayıcılar için yaygın bir baş ağrısıdır ve çete buna inandı.
Aklayıcılardan biri "Jimmy Green" takma adını kullandı ve THORChain'in 10.845 üyeli topluluk sohbetinde takılı kalmış bir işlemi paylaştı. Jimmy Green'in Telegram biyografisi, işaretlenmiş BTC, ETH, SOL ve TRX'in bir karıştırma hizmeti aracılığıyla işlendiğini duyuruyordu — fark edilmemek üzerine kurulu bir iş için oldukça açık bir teklif. Hesabında Virginia alan kodlu bir ABD telefon numarası vardı.
Jimmy Green geçerli ücreti açıkladı: %5. Erken bir test siparişi 23.750 USDT olarak geri döndü, yani 25.000 dolardan %5 kesinti.
Övünmeler, cüzdanlar ve Solana üzerinden bir yolculuk
Aklayıcı utangaç değildi. Kim Jong-un'dan adıyla bahsetti ve Kuzey Kore liderine huysuz bir tedarikçi gibi davrandı. Ekibinin Bybit'in 1,5 milyar dolarlık ETH'sinin neredeyse tamamını akladığını iddia etti — ancak bu rakam kendi iddiası olarak kalıyor, doğrulanmış bir sayı değil.
Soruşturmacılar için daha faydalı olan, Kuzey Kore'nin işinin neyi içereceğini duyurduğu anlardı. İşin "yarın" başlayacağını ve Bitcoin'in Solana'ya döneceğini söyledi. Ertesi gün fonlar Solana'ya taşındı.
12 Mart 2025'te Jimmy Green, 1.192 BTC'yi ETH'ye köprülediğine dair bir ekran görüntüsü gönderdi. ZachXBT bunu dakikalar sonra oluşturulan bir THORChain emriyle eşleştirdi. Bu tür özensiz zamanlama, bu operasyonları tam olarak batıran şeydir.
Jimmy Green ayrıca üç Solana adresi verdi. Bunlar, BTC, ETH, SOL ve Tron üzerinden dönen 12 milyon dolar veya daha fazla Bybit fonundan oluşan bir kümeyi ortaya çıkardı. Tether daha sonra bu kümeyle bağlantılı 442.000 USDT'yi dondurdu.
2024'te yaklaşık 300.000 doları dondurulmuş bir ekipten bahsetti. ZachXBT bunu zincir üzerinde buldu: Poloniex istismarından 332.000 USDC. 3 milyon dolarlık dolandırıcılık gelirini akladığına dair ayrı bir övünme, o zamandan beri yaptırım uygulanan ve eski başkanı tutuklanan Kamboçya pazar yeri Huione Guarantee'deki bir sıcak cüzdana yol açtı.
Onu ele veren insani detaylar
Jimmy Green yemek fotoğrafları gönderdi, ZachXBT'ye Çin mahjongu oynayıp oynayamayacağını sordu ve kişisel detaylarını paylaştı. Bir fotoğrafta telefonunda yaklaşık 1,2 milyon USDT tutan bir cüzdan görünüyordu ve arkasındaki dizüstü bilgisayarda Google Translate açıktı.
ZachXBT, halka açık Telegram ve Discord gruplarında çalınan fonlarla bağlantılı siparişler için yardım isteyen 15 veya daha fazla hesap tespit etti. Çete karanlık köşelerde saklanmıyordu — açık kanallarda iş istiyordu.
Paylaşım neden geç geldi — ve sırada ne var
Bybit hack'i Şubat 2025'te gerçekleşti. Tam hesap ancak bu hafta kamuya açıldı çünkü ZachXBT yayınlamadan önce bunu özel soruşturmacılara ve kolluk kuvvetlerine yönlendirmeyi seçti. Bu, hırsızlık ile kamuya açık hesaplaşma arasında 19 aylık bir boşluk anlamına geliyor ve izlerin bir kısmının neden şimdiden temizlendiğini — ya da dondurulduğunu — açıklıyor.
Çözülmemiş olan, 1,5 milyar doların ne kadarının gerçekten bu belirli çeteden geçtiğidir. Jimmy Green'in ekibinin neredeyse tamamını idare ettiği iddiası sadece bir iddiadır: büyük görünmek isteyen bir adamın iddiası. Doğrulanmış parçalar daha dardır — dondurulan 442.000 USDT, 12 milyon dolarlık küme, Poloniex ile bağlantılı 332.000 USDC. Kolluk kuvvetleri, Virginia numarasının veya "Jimmy Green" takma adının gerçek bir kimliğe ulaşıp ulaşmadığını açıklamadı.
