北朝鮮のBybit資金洗浄者、TelegramでZachXBTと友好関係を築く

ZachXBTは詐欺師を装って中国のグループに潜入した。このグループは、北朝鮮のためにBybitの$1.5 billionのほとんどを洗浄したと非難されている。見返りに、資金洗浄者は彼に金正恩の最新情報、夕食の写真、そして麻雀の招待状を送った。

調査官によると、その情報は資金の凍結とBybitのフローの追跡に役立った。彼は自らの現金$349,700を差し出し、各注文に対して5%の手数料を徴収した。その手数料は彼が調査しているまさにその人々によって支払われた。

北朝鮮の資金洗浄者はどこで見つかるのか？ THORChainのヘルプチャットで

ZachXBTはBybitの侵害の直後、2025年2月に手がかりをつかんだ。彼は公開のTelegramとDiscordグループで、盗まれた資金に関連する注文について支援を求めている15以上のアカウントを特定した。

あるアカウント、別名Jimmy Greenという者は、THORChainのコミュニティチャット（メンバー数10,845人）でスタックしたトランザクションについて投稿していた。THORSwapのチームメンバーが、スワップの出所を尋ねて応答した。ZachXBTによると、その資金はTHORChainを通過したBybitの資金だった。

JimmyのTelegramの自己紹介は求人広告のように機能していた。中国語で書かれており、フラグ付きのBTC、ETH、SOL、TRXをミキシングサービスで処理し、何も戻ってこないことを約束すると提案していた。そのアカウントはバージニア市外局番の米国の電話番号を使用していた。

ZachXBTの偽装話は、Railgunプライバシーツールからのマーク付きETHを、Tron上でクリーンなUSDTに変換する必要があるというものだった。Jimmyは5%を提示した。初期の注文の1つで、正確に23,750 USDTが返ってきて、これは$25,000に対する5%の控除に相当する。

金正恩が一つのチャットで何回登場するのか？

Jimmyは「クライアント」とは言わなかった。彼は金正恩を直接名指しし、予測不能な供給者のように扱った。

後のメッセージは天気予報のようだった。金は、送り返されたコインが汚染されすぎてレビュー中であるため、停止を命じた。金はUSDTの凍結を懸念してBitcoinをテストしていた。解放された50 BTCのうち、Jimmyのチームは30を受け取った。

ある時点で「外国人」が10日間の休止を要求した。Jimmyは北朝鮮の供給が断たれたと不満を述べ、彼のチームはもっと仕事が必要だった。

キャラクターを保ちながら、ZachXBTは金正恩がその日忙しくさせたかどうか尋ねた。Jimmyは今では毎日忙しいと答えた。

彼は自分の組織をプロのコインランドリング、隔離、凍結防止と説明し、中国最大と呼んだ。そして、彼のチームがBybitの$1.5 billion相当のETHのほぼすべてを洗浄したとZachXBTに語った。

ZachXBTによると、この主張は彼がすでに観察していた洗浄パターンと一致していた。これはJimmyの主張であり、確認された数字ではない。調査官は以前、Lazarus資金を移動させたとして中国のOTCトレーダーを名指ししていた。

資金洗浄者は本当に資金の次の動きを予言したのか？

Jimmyの最も価値のある習慣は、行動する前に話すことだった。ある朝、彼は北朝鮮の作業は明日始まり、BitcoinはSolanaに戻ると言った。翌日、ZachXBTの報告によると、資金は確かにSolanaに移動した。

2025年3月12日、Jimmyは1.192 BTCをETHにブリッジしているスクリーンショットを送った。ZachXBTはその金額とタイミングを、メッセージの数分後に作成されたTHORChainの注文と結びつけた。

Jimmyはまた3つのSolanaアドレスを提供した。それらはBybitの資金のうち$12 million以上がBTC、ETH、SOL、Tronを通じて循環しているクラスターを明らかにした。Tetherは後にそれに関連する442,000 USDTを凍結した。

彼は偶然、古い事件を解決した。Jimmyは彼が知っているチームが2024年に約$300,000凍結されたと述べた。ZachXBTはそれをオンチェーンでPoloniexの悪用からの332,000 USDCとして特定した。

詐欺の収益$3 millionを洗浄したという別の自慢話は、Huione Guaranteeのホットウォレットにたどり着いた。ZachXBTは、カンボジアのマーケットプレイスがその後制裁され、元会長が逮捕されたと指摘している。

誰が誰を追っていたのか？

注文の合間に、Jimmyは湯気の立ったシチューの鍋の写真を送ってきた。肉は野生のウサギと野生の鳥で、銃で撃ったものだった。彼はZachXBTに中国の麻雀ができるかどうか尋ねた。

他の日には、彼の減量食、アメリカンコーヒーのカップ、そして寒さについての不満が届いた。ZachXBTによると、雑談は家族のことやディズニー旅行にも及んだ。

ある写真には、約1.2 million USDTを保有するウォレットを表示したJimmyの電話が写っていた。その後ろのラップトップにはGoogle翻訳が開いており、それが文法の説明になった。

Jimmyは自分のチームの立場を明確にしていた。「私たちは正直なビジネスマンです」と彼は別のバッチのUSDTを送信した直後に言った。

その前の休止は、彼のチームがZachXBTに騙されていると疑ったために起こったと彼は説明した。誠実さが第一だと彼は言った。

一方、探偵は焦らしプレイをした。Jimmyは真夜中過ぎに「おはよう」、1時間後に「こんにちは」、夜明け前に疑問符一つを送った。ZachXBTは彼を叱った。

Jimmyは謝罪し、彼のチームはいつでも開始できるよう$1 millionの準備があると言った。

ZachXBTは、すべてを私立探偵と法執行機関に渡したため、スレッドが19ヶ月遅れて公開されたと述べている。彼は2022年以降のDPRK関連の凍結を、盗まれた数十億ドルに対して$75 million以上と見積もっている。

同じサポートチケットのパターンが先月再び現れた。$387 million Bitget hackから資金を移動させている資金洗浄者が、公開グループで公然と助けを求めていた。北朝鮮の請負業者は、やはりカスタマーサービスを必要としているようだ。