ZachXBT выдал себя за мошенника, чтобы внедриться в китайскую группу, которую обвиняют в отмывании большей части украденных у Bybit 1,5 миллиарда долларов для Северной Кореи. Его сообщник по отмыванию денег отплатил ему новостями о Ким Чен Ыне, фотографиями ужинов и приглашением сыграть в маджонг.
По словам расследователя, полученные сведения помогли заморозить средства и установить связь транзакций с Bybit. Он вложил 349 700 долларов собственных денег и брал 5% с каждого заказа; платили ему те, за кем он следил.
Где найти отмывателя денег из Северной Кореи? В чате поддержки THORChain
В феврале 2025 года, через несколько дней после взлома Bybit, ZachXBT получил наводку. В открытых группах Telegram и Discord он заметил не менее 15 аккаунтов, искавших помощь с заказами, связанными с украденными средствами.
Один из них, под псевдонимом Джимми Грин, написал в чате сообщества THORChain, насчитывавшего 10 845 участников, что его транзакция зависла. Участник команды THORSwap спросил, где тот обменивает средства. По словам ZachXBT, это были деньги Bybit, прошедшие через THORChain.
Биография Джимми в Telegram была объявлением о работе. По-китайски он предлагал прогонять помеченные BTC, ETH, SOL и TRX через сервис-миксер. Он обещал, что ничто не вернётся обратно. Аккаунт был привязан к американскому номеру с кодом штата Вирджиния.
Для отвода глаз ZachXBT рассказал, что у него есть ETH из инструмента для обеспечения конфиденциальности Railgun, который нужно превратить в «чистые» USDT в сети Tron. Джимми запросил 5%. Один из первых ордеров вернулся ровно 23 750 USDT — за вычетом 5% от 25 000 долларов.
Сколько раз Ким Чен Ын может всплыть в одном чате?
Джимми не сказал «клиент». Он назвал Ким Чен Ына по имени и обращался с ним как с поставщиком с переменчивым настроением.
Позднейшие сообщения напоминали сводку погоды. Ким приостановил работу, потому что возвращённые монеты были слишком «грязными» и находились под следствием. Ким тестировал биткоин, опасаясь заморозки USDT. Из 50 BTC, которые удалось вывести, команде Джимми достались 30.
В какой-то момент «иностранцы» приказали сделать перерыв на десять дней. Джимми проворчал, что поставки из Северной Кореи приостановлены и его команде нужно больше работы.
Оставаясь в образе, ZachXBT спросил, не занял ли Ким Чен Ын его сегодня делом. Джимми ответил, что теперь занят каждый день.
Он представил свою фирму как профессиональную компанию по отмыванию монет, изоляции средств и предотвращению их заморозки, назвав её крупнейшей в Китае. А затем сообщил ZachXBT, что его команда отмыла почти весь ETH на 1,5 миллиарда долларов, похищенный у Bybit.
По словам ZachXBT, хвастовство соответствовало схемам отмывания денег, которые он уже отслеживал. Это всё ещё утверждение Джимми, а не подтверждённая цифра. Ранее расследователь называл китайского внебиржевого трейдера, переводившего средства Lazarus.
Самое полезное, что сделал Джимми, — рассказал о планах до того, как приступил к делу. Однажды утром он сообщил, что работа для Северной Кореи начнётся завтра, а биткоин снова переведут в Solana. На следующий день, по словам ZachXBT, средства переместились в Solana.
12 марта 2025 года Джимми прислал скриншот, на котором переводил 1,192 BTC в ETH через мост. ZachXBT сопоставил сумму и время с ордером THORChain, созданным через несколько минут после сообщения.
Джимми также передал три адреса Solana. Они выявили цепочку на 12 миллионов долларов и более из средств Bybit, перемещавшихся между BTC, ETH, SOL и Tron. Позже Tether заморозила связанные с ней 442 000 USDT.
Старое дело он раскрыл случайно. Джимми упомянул команду знакомого, у которой в 2024 году заморозили около 300 000 долларов. ZachXBT обнаружил эти средства в блокчейне: это были 332 000 USDC, связанные со взломом Poloniex.
Отдельное хвастовство тем, что он отмыл 3 миллиона долларов, полученных мошенническим путём, привело к горячему кошельку на Huione Guarantee. ZachXBT отмечает, что камбоджийский маркетплейс с тех пор попал под санкции, а его бывший председатель был арестован.
Кто за кем охотился?
Между ордерами Джимми присылал фотографии двух дымящихся кастрюль с тушёным мясом. Это были дикий кролик и дикая птица, добытые из ружья. Он спросил, умеет ли ZachXBT играть в китайский маджонг.
В другие дни Джимми рассказывал о своём обеде для похудения, чашке американского кофе и жаловался на холод. По словам ZachXBT, светская беседа также касалась семейной жизни и отдыха в Диснейленде.
На одной фотографии на телефоне Джимми был открыт кошелёк примерно с 1,2 миллиона USDT. На ноутбуке позади него была открыта программа Google Translate — отсюда и ошибки в грамматике.
Джимми ясно дал понять, на чьей стороне его команда. «Мы честные бизнесмены», — сказал он через несколько мгновений после того, как отправил ещё одну партию USDT.
Он объяснил, что перед этим команда взяла паузу, потому что заподозрила ZachXBT в обмане. По его словам, честность была на первом месте.
Тем временем сыщик изображал недоступность. Джимми писал ему «доброе утро» уже за полночь, через час — «привет», а перед рассветом отправил одинокий вопросительный знак. ZachXBT сделал ему выговор.
Джимми извинился и сказал, что его команда готова начать в любой момент и у неё наготове 1 миллион долларов.
По словам ZachXBT, он передал всё частным сыщикам и правоохранительным органам — поэтому эта переписка появилась с опозданием на 19 месяцев. С 2022 года связанные с КНДР заморозки, по его оценке, составили не менее 75 миллионов долларов — на фоне миллиардов украденных средств.
В прошлом месяце вновь всплыла та же схема с обращениями в службу поддержки. Отмывавшие деньги, выведенные в результате взлома Bitget на 387 миллионов долларов, открыто просили о помощи в публичных группах. Оказалось, что подрядчикам Северной Кореи всё ещё нужна служба поддержки.