ZachXBT menyamar sebagai penipu untuk menyusup ke kelompok Tiongkok yang dituduh mencuci sebagian besar dari $1,5 miliar milik Bybit untuk Korea Utara. Pencuci uang itu membalasnya dengan kabar terbaru tentang Kim Jong-un, foto makan malam, dan undangan bermain mahjong.
Penyelidik itu mengatakan intelijen tersebut membantu membekukan dana dan mengaitkan aliran dana dengan Bybit. Ia mengeluarkan $349.700 dari uangnya sendiri dan mengambil bagian 5% dari setiap transaksi, yang dibayarkan kepada orang-orang yang sedang diselidikinya.
Di Mana Menemukan Pencuci Uang Korea Utara? Di Ruang Bantuan THORChain
ZachXBT mendapat petunjuk pada Februari 2025, beberapa hari setelah peretasan Bybit. Ia menemukan 15 akun atau lebih di grup Telegram dan Discord publik yang mencari bantuan untuk transaksi terkait dana curian.
Salah satunya, yang menggunakan nama samaran Jimmy Green, mengirim pesan tentang transaksi yang macet di obrolan komunitas THORChain yang beranggotakan 10.845 orang. Seorang anggota tim THORSwap membalas dan bertanya ke mana ia menukar asetnya. Menurut ZachXBT, dana tersebut adalah uang Bybit yang telah melewati THORChain.
Bio Telegram Jimmy adalah iklan lowongan kerja. Ditulis dalam bahasa Mandarin, bio itu menawarkan jasa pemrosesan BTC, ETH, SOL, dan TRX yang ditandai melalui layanan pencampur. Dijanjikan bahwa tidak ada dana yang akan dikirim kembali. Akun itu menggunakan nomor telepon AS dengan kode wilayah Virginia.
Dalih ZachXBT adalah bahwa ETH dari alat privasi Railgun perlu diubah menjadi USDT bersih di Tron. Jimmy meminta komisi 5%. Salah satu pesanan awal menghasilkan tepat 23.750 USDT, potongan 5% dari $25.000.
Berapa Kali Kim Jong-un Bisa Muncul dalam Satu Obrolan?
Jimmy tidak mengatakan “klien”. Ia menyebut Kim Jong-un dengan namanya dan memperlakukannya seperti pemasok yang gampang berubah suasana hati.
Pembaruan berikutnya terdengar seperti laporan cuaca. Kim menghentikan sementara kegiatan karena koin yang dikirim kembali terlalu kotor dan sedang diselidiki. Kim sedang menguji Bitcoin karena khawatir USDT dibekukan. Dari 50 BTC yang dilepas, tim Jimmy mendapat 30.
Pada suatu saat, “orang-orang asing” memerintahkan jeda selama sepuluh hari. Jimmy mengeluh bahwa pasokan dari Korea Utara dihentikan dan timnya membutuhkan lebih banyak pekerjaan.
Berakting, ZachXBT bertanya apakah Kim Jong-un membuat Jimmy sibuk hari itu. Jimmy menjawab bahwa sekarang ia sibuk setiap hari.
Ia mempromosikan perusahaannya sebagai jasa pencucian koin, isolasi, dan pencegahan pembekuan yang profesional, serta menyebutnya yang terbesar di Tiongkok. Lalu ia memberi tahu ZachXBT bahwa timnya telah mencuci hampir seluruh ETH senilai $1,5 miliar milik Bybit.
Menurut ZachXBT, bualan tersebut cocok dengan pola pencucian uang yang sebelumnya telah ia lacak. Angka itu tetap merupakan klaim Jimmy, bukan jumlah yang terverifikasi. Penyelidik tersebut sebelumnya pernah menyebut seorang pedagang OTC asal Tiongkok yang memindahkan dana Lazarus.
Hal paling berguna yang dilakukan Jimmy adalah berbicara sebelum bertindak. Suatu pagi, ia mengumumkan bahwa pekerjaan untuk Korea Utara akan dimulai besok dan Bitcoin akan dikembalikan ke Solana. Menurut ZachXBT, keesokan harinya dana itu berpindah ke Solana.
Pada 12 Maret 2025, Jimmy mengirim tangkapan layar dirinya menjembatani 1,192 BTC menjadi ETH. ZachXBT mencocokkan jumlah dan waktunya dengan pesanan THORChain yang dibuat beberapa menit setelah pesan itu.
Jimmy juga memberikan tiga alamat Solana. Alamat-alamat itu mengungkap jaringan dana Bybit senilai $12 juta atau lebih yang berputar melalui BTC, ETH, SOL, dan Tron. Tether kemudian membekukan 442.000 USDT yang terkait dengannya.
Ia memecahkan kasus lama secara tak sengaja. Jimmy menyebut sebuah tim yang ia kenal memiliki sekitar $300.000 yang dibekukan pada 2024. ZachXBT menemukannya di blockchain, berupa 332.000 USDC dari peretasan Poloniex.
Bualan lain tentang pencucian hasil penipuan senilai $3 juta mengarah ke dompet panas di Huione Guarantee. ZachXBT mencatat bahwa pasar Kamboja itu kemudian dikenai sanksi dan mantan ketuanya ditangkap.
Siapa yang Mengejar Siapa?
Di sela-sela pesanan, Jimmy mengirim foto dua panci sup yang mengepul. Dagingnya berasal dari kelinci liar dan burung liar yang ditembak dengan senjata api. Ia bertanya apakah ZachXBT bisa bermain mahjong Tiongkok.
Hari-hari lainnya diisi dengan cerita tentang makanan pelangsingnya, secangkir kopi Amerika, dan keluhan soal cuaca dingin. Menurut ZachXBT, obrolan ringan itu juga mencakup kehidupan keluarga dan liburan ke Disney.
Sebuah foto memperlihatkan layar ponsel Jimmy yang menampilkan dompet berisi sekitar 1,2 juta USDT. Laptop di belakangnya membuka Google Translate, yang menjelaskan tata bahasanya.
Jimmy menjelaskan dengan tegas posisi timnya. “Kami adalah pebisnis jujur,” katanya, sesaat setelah mengirimkan lagi sejumlah USDT.
Ia menjelaskan bahwa jeda sebelumnya terjadi karena timnya curiga ZachXBT sedang memperdaya mereka. Katanya, integritas adalah yang utama.
Sementara itu, si detektif jual mahal. Jimmy mengirim pesan selamat pagi lewat tengah malam, halo sejam kemudian, lalu satu tanda tanya menjelang fajar. ZachXBT menegurnya.
Jimmy meminta maaf dan mengatakan timnya memiliki $1 juta yang siap digunakan kapan saja.
Menurut ZachXBT, ia menyerahkan semuanya kepada penyelidik swasta dan penegak hukum. Itulah sebabnya utas ini baru muncul 19 bulan kemudian. Ia memperkirakan pembekuan dana terkait DPRK sejak 2022 mencapai $75 juta atau lebih, dibandingkan dengan miliaran dolar yang dicuri.
Pola tiket dukungan yang sama muncul lagi bulan lalu. Para pencuci uang yang memindahkan dana dari peretasan Bitget senilai $387 juta terang-terangan meminta bantuan di grup publik. Ternyata, para kontraktor Korea Utara masih membutuhkan layanan pelanggan.