ZachXBT si è finto un truffatore per infiltrarsi in un gruppo cinese accusato di riciclare la maggior parte degli 1,5 miliardi di dollari di Bybit per la Corea del Nord. Il suo complice lo ha ripagato con aggiornamenti su Kim Jong-un, foto di cene e un invito a giocare a mahjong.
L'investigatore afferma che le informazioni raccolte hanno contribuito a congelare i fondi e ad attribuire i flussi di Bybit. Ha anticipato 349.700 dollari di tasca propria e ha trattenuto una commissione del 5% su ogni ordine, versandola alle persone che stava indagando.
Dove si trova il riciclatore di denaro della Corea del Nord? Nella chat di assistenza di THORChain
ZachXBT ottiene una pista nel febbraio 2025, pochi giorni dopo l'attacco hacker a Bybit. Individua almeno 15 account in gruppi pubblici di Telegram e Discord che chiedono aiuto per ordini collegati a fondi rubati.
Uno di loro, usando lo pseudonimo di Jimmy Green, aveva segnalato una transazione bloccata nella chat della community di THORChain, composta da 10.845 membri. Un membro del team di THORSwap gli ha risposto chiedendogli dove stesse effettuando lo scambio. I fondi, afferma ZachXBT, erano denaro Bybit che era transitato attraverso THORChain.
La biografia di Jimmy su Telegram era un annuncio di lavoro. Scritta in cinese, offriva di elaborare BTC, ETH, SOL e TRX segnalati tramite un servizio di mixing. Prometteva che nulla sarebbe tornato indietro. L'account utilizzava un numero di telefono statunitense con prefisso della Virginia.
La storia di copertina di ZachXBT era contrassegnata da ETH dello strumento per la privacy Railgun che doveva essere trasformato in USDT pulito su Tron. Jimmy ha citato il 5%. Un ordine iniziale è risultato esattamente di 23.750 USDT, una perdita del 5% su $25.000.
Quante volte può essere menzionato Kim Jong-un in una singola chat?
Jimmy non ha detto "il cliente". Ha detto Kim Jong-un, nominandolo per nome, e lo ha trattato come un fornitore lunatico.
Gli aggiornamenti successivi sembravano bollettini meteorologici. Kim aveva interrotto le operazioni perché le monete restituite erano troppo contaminate e sotto indagine. Kim stava testando Bitcoin perché temeva un blocco di USDT. Dei 50 BTC rilasciati, il team di Jimmy ne ha ricevuti 30.
A un certo punto "gli stranieri" ordinarono una pausa di dieci giorni. Jimmy brontolò perché le forniture nordcoreane erano state sospese e la sua squadra aveva bisogno di più lavoro.
ZachXBT, nei panni del suo personaggio, chiese se Kim Jong-un lo avesse tenuto occupato quel giorno. Jimmy rispose che ormai era occupato tutti i giorni.
Ha presentato la sua azienda come specializzata nel riciclaggio, nell'isolamento e nella prevenzione del congelamento di criptovalute, definendola la più grande della Cina. Poi ha detto a ZachXBT che il suo team aveva riciclato quasi tutti gli 1,5 miliardi di dollari in ETH di Bybit.
ZachXBT afferma che la vanteria corrispondeva agli schemi di riciclaggio che aveva già individuato. Resta un'affermazione di Jimmy, non una cifra verificata. L'investigatore aveva precedentemente indicato un trader OTC cinese per aver movimentato fondi di Lazarus.
Il riciclatore di denaro aveva davvero previsto la prossima mossa?
La cosa più utile che Jimmy abbia fatto è stata parlare prima di agire. Una mattina annunciò che i lavori in Corea del Nord sarebbero iniziati il giorno dopo e che Bitcoin sarebbe tornato a Solana . Il giorno successivo, dice ZachXBT, i fondi sono stati trasferiti a Solana .
Il 12 marzo 2025, Jimmy ha inviato uno screenshot di una transazione in cui convertiva 1,192 BTC in ETH. ZachXBT ha verificato la corrispondenza tra l'importo e la tempistica e un ordine THORChain creato pochi minuti dopo il messaggio.
Jimmy ha inoltre fornito tre indirizzi Solana . Questi hanno rivelato un gruppo di fondi Bybit per un valore di 12 milioni di dollari o più, che circolavano tra BTC, ETH, SOL e Tron. Successivamente, Tether ha congelato 442.000 USDT collegati a tale gruppo.
Ha risolto un vecchio caso per caso. Jimmy ha menzionato un team che conosceva e che aveva circa 300.000 dollari congelati nel 2024. ZachXBT li ha trovati on-chain, sotto forma di 332.000 USDC provenienti dalla vulnerabilità di Poloniex.
Un'altra vanteria riguardante il riciclaggio di 3 milioni di dollari provenienti da frodi ha portato a un sequestro di denaro presso Huione Guarantee. ZachXBT fa notare che il marketplace cambogiano è stato successivamente sanzionato e il suo ex presidente arrestato.
Chi inseguiva chi?
Tra un ordine e l'altro, Jimmy ha mandato le foto di due pentole fumanti di stufato. La carne era di coniglio selvatico e uccello selvatico, cacciati con un fucile. Ha chiesto se ZachXBT sapesse giocare a mahjong cinese.
Altri giorni, invece, gli venivano serviti un pasto ipocalorico, una tazza di caffè americano e lamentele sul freddo. ZachXBT racconta che le chiacchiere vertevano anche sulla vita familiare e sulle vacanze a Disneyland.
Una foto mostrava il telefono di Jimmy con un portafoglio contenente circa 1,2 milioni di USDT. Il portatile alle sue spalle aveva Google Traduttore aperto, il che spiega l'errore grammaticale.
Jimmy è stato chiaro sulla posizione del suo team. "Siamo uomini d'affari onesti", ha affermato, pochi istanti dopo aver inviato un'altra tranche di USDT.
La pausa precedente, ha spiegato, era dovuta al fatto che la sua squadra sospettava che ZachXBT li stesse prendendo in giro. L'integrità, ha affermato, veniva prima di tutto.
Nel frattempo, il detective si faceva desiderare. Jimmy mandò un buongiorno dopo mezzanotte, un saluto un'ora dopo e un unico punto interrogativo prima dell'alba. ZachXBT lo rimproverò.
Jimmy si è scusato e ha detto che la sua squadra aveva un milione di dollari pronti per iniziare in qualsiasi momento.
ZachXBT afferma di aver consegnato tutto a investigatori privati e forze dell'ordine, motivo per cui il thread è arrivato con 19 mesi di ritardo. Stima che i suoi congelamenti di beni legati alla RPDC dal 2022 ammontino a 75 milioni di dollari o più, a fronte di miliardi di dollari rubati.
Lo stesso schema di richieste di assistenza è riemerso il mese scorso. I riciclatori di denaro provenienti dall'attacco hacker da 387 milioni di dollari Bitget hanno chiesto apertamente aiuto in gruppi pubblici. A quanto pare, gli appaltatori nordcoreani hanno ancora bisogno di assistenza clienti.
L'articolo " Il riciclatore di denaro di Kim Jong-un si è fatto un nuovo amico su Telegram: era ZachXBT" è apparso per la prima volta su BeInCrypto.