Блокчейн-розслідувач ZachXBT місяцями видавав себе за шахрая в Telegram, щоб проникнути всередину китайського угруповання з відмивання грошей, яке, за його словами, обробило більшу частину $1,5 мільярда, викрадених у Bybit у лютому 2025 року — сума, пов'язана з Північною Кореєю. Він вклав $349 700 власних коштів для операції та брав 5% комісії з кожного замовлення, тобто люди, яких він розслідував, платили йому.
Зібрані ним докази допомогли владі заморозити кошти та встановити причетність до потоків Bybit. Публічний тред з'явився через 19 місяців після злому, оскільки спочатку він передав усе приватним розслідувачам і правоохоронним органам.
Як працювала легенда
Точкою входу ZachXBT була проста й неприємна проблема: він сказав угрупованню, що має позначені ETH з інструменту для приватності Railgun, які потрібно перетворити на чисті USDT у мережі Tron. Це поширений головний біль для відмивачів, і угруповання купилося.
Один із відмивачів використовував псевдонім «Jimmy Green» і опублікував інформацію про завислу транзакцію в чаті спільноти THORChain на 10 845 учасників. У біо Jimmy Green у Telegram рекламувалося оброблення позначених BTC, ETH, SOL і TRX через сервіс змішування — досить відкрита пропозиція для бізнесу, який живе або вмирає залежно від того, чи його помічають. Його акаунт мав американський номер телефону з кодом Вірджинії.
Jimmy Green назвав поточну ставку: 5%. Раннє тестове замовлення повернулося як 23 750 USDT, тобто 5% знижка від $25 000.
Хвастощі, гаманці та подорож через Solana
Відмивач не соромився. Він згадував Кім Чен Ина на ім'я, ставлячись до північнокорейського лідера як до примхливого постачальника. Він стверджував, що його команда відмила майже всі $1,5 мільярда в ETH з Bybit — хоча ця цифра залишається його власним твердженням, а не підтвердженим числом.
Кориснішим для слідчих були моменти, коли він оголошував, що включатиме робота Північної Кореї. Він сказав, що це почнеться «завтра» і що Bitcoin повернеться на Solana. Наступного дня кошти перемістилися на Solana.
12 березня 2025 року Jimmy Green надіслав скріншот, на якому він переводив 1,192 BTC в ETH. ZachXBT зіставив його з ордером THORChain, створеним за кілька хвилин потому. Така недбала синхронізація — саме те, що топить ці операції.
Jimmy Green також передав три адреси Solana. Вони виявили кластер із $12 мільйонів або більше коштів Bybit, що циркулювали через BTC, ETH, SOL і Tron. Пізніше Tether заморозив 442 000 USDT, пов'язаних із цим кластером.
Він згадав команду, у якої близько $300 000 було заморожено у 2024 році. ZachXBT знайшов це на блокчейні: 332 000 USDC з експлойту Poloniex. Окрема похвальба про відмивання $3 мільйонів шахрайських доходів привела до гарячого гаманця в Huione Guarantee — камбоджійського маркетплейсу, який згодом було піддано санкціям, а його колишнього голову заарештовано.
Людські деталі, які його викрили
Jimmy Green надсилав фотографії страв, питав, чи вміє ZachXBT грати в китайський маджонг, і ділився особистими деталями. На одній фотографії було видно його телефон із гаманцем, що містив близько 1,2 мільйона USDT, а позаду — ноутбук із відкритим Google Translate.
ZachXBT ідентифікував 15 або більше акаунтів у публічних групах Telegram і Discord, які шукали допомоги із замовленнями, пов'язаними з викраденими коштами. Угруповання не ховалося в темних куточках — воно просило про роботу у відкритих каналах.
Чому тред з'явився пізно — і що далі
Злом Bybit стався в лютому 2025 року. Повний звіт став публічним лише цього тижня, оскільки ZachXBT вирішив спершу передати його приватним розслідувачам і правоохоронним органам. Це 19-місячний розрив між крадіжкою та публічним розголошенням, і це пояснює, чому частину сліду вже було очищено — або заморожено.
Нез'ясованим залишається те, яка частина з $1,5 мільярда насправді пройшла через це конкретне угруповання. Твердження Jimmy Green про те, що його команда обробила майже все, є саме таким: твердженням від людини, яка хотіла здаватися великою. Підтверджені частини вужчі — заморожені 442 000 USDT, кластер на $12 мільйонів, 332 000 USDC, пов'язані з Poloniex. Правоохоронні органи не повідомили, чи номер із Вірджинії або псевдонім «Jimmy Green» привели до реальної особи.
