Người rửa tiền của Kim Jong-un kết bạn mới trên Telegram: Đó là ZachXBT

ZachXBT đã giả danh làm scammer để thâm nhập vào một nhóm người Trung Quốc bị cáo buộc rửa hầu hết số tiền 1.5 tỷ USD của Bybit cho Triều Tiên. Người rửa tiền trả ơn anh bằng các cập nhật về Kim Jong-un, ảnh bữa ăn tối và thậm chí mời chơi mạt chược.

Người điều tra cho biết những thông tin này đã giúp đóng băng dòng tiền và xác định được luồng tiền của Bybit. Anh ấy đã ứng trước 349,700 USD tiền cá nhân và nhận mức chiết khấu 5% cho mỗi giao dịch, mà khoản tiền này được trả cho chính những người bị anh đưa vào diện điều tra.

Bạn tìm thấy người rửa tiền cho Triều Tiên ở đâu? Trong nhóm hỗ trợ của THORChain

ZachXBT nhận được một manh mối vào tháng 02/2025, chỉ vài ngày sau vụ hack Bybit. Anh phát hiện có khoảng 15 tài khoản hoặc hơn trong các nhóm Telegram và Discord công khai đang cần hỗ trợ xử lý các giao dịch liên quan tới tiền bị đánh cắp.

Một tài khoản có biệt danh Jimmy Green đã đăng về một giao dịch bị kẹt trong nhóm chat cộng đồng của THORChain, nơi có tới 10,845 thành viên. Một thành viên của đội THORSwap đã trả lời và hỏi anh ta đang swap ở đâu. Theo ZachXBT, số tiền đó là tiền bị đánh cắp từ Bybit, đã chạy qua THORChain.

Phần bio của Jimmy trên Telegram là một bài quảng cáo tuyển dụng. Viết bằng tiếng Trung, anh ta chào mời xử lý BTC, ETH, SOL và TRX bị cờ đỏ thông qua một dịch vụ mixing. Đảm bảo không có đồng nào bị hoàn lại. Tài khoản lại dùng số điện thoại Mỹ, mã vùng Virginia.

Thông tin người dùng của Jimmy Green. Nguồn: ZachXBT

Bí danh của ZachXBT cũng mang câu chuyện tương tự: anh có ETH từ công cụ bảo mật Railgun, nhưng cần đổi sang USDT “sạch” trên Tron. Jimmy báo giá phí 5%. Một giao dịch đầu trả về đúng 23,750 USDT, tức trừ 5% so với 25,000 USD ban đầu.

Kim Jong-un xuất hiện bao nhiêu lần trong một cuộc chat?

Jimmy không dùng cụm từ “khách hàng”. Anh ta nhắc thẳng tên Kim Jong-un, nói về ông như một đối tác khó chiều.

Jimmy nói về Kim Jong-un với ZachXBT (kj). Nguồn: ZachXBT

Các cập nhật sau đó đọc như bản tin thời tiết. Kim cho dừng vì số coin gửi về quá “bẩn” và đang bị điều tra. Kim đang thử Bitcoin thay vì USDT vì sợ USDT bị đóng băng. Trong số 50 BTC được “chia”, đội của Jimmy nhận 30 BTC.

Có thời điểm “người nước ngoài” còn ra lệnh nghỉ 10 ngày. Jimmy than phiền nguồn cung Triều Tiên bị đình trệ, nhóm của anh cần việc mới.

ZachXBT, vẫn đang đóng vai, hỏi Jimmy liệu hôm nay có bận vì Kim Jong-un không. Jimmy đáp rằng bây giờ ngày nào cũng bận rộn.

Anh ta còn quảng bá dịch vụ là chuyên nghiệp, giúp rửa coin, tách biệt và tránh bị đóng băng, thậm chí khẳng định đây là đội rửa tiền lớn nhất Trung Quốc. Rồi tiết lộ rằng nhóm mình đã rửa gần hết số 1.5 tỷ USD Bybit bằng ETH.

ZachXBT cho rằng lời khoe trùng khớp với các mô hình rửa tiền mà anh từng truy vết. Nhưng đây vẫn chỉ là phát biểu một chiều của Jimmy, chưa có số liệu kiểm chứng. Trước đó, ZachXBT từng vạch mặt một trader OTC Trung Quốc từng chuyển tiền cho nhóm Lazarus.

Jimmy Green khoe khoang về việc rửa 1.5 tỷ USD ETH. Nguồn: ZachXBT

Người rửa tiền có thật sự “dự đoán đúng” bước tiếp theo của dòng tiền?

Điều hữu ích nhất Jimmy làm là tiết lộ trước khi thực hiện. Một buổi sáng, anh ta thông báo đợt làm việc cho Triều Tiên sẽ bắt đầu vào ngày mai, Bitcoin sẽ chuyển trở lại Solana. Đúng như vậy, ngay ngày hôm sau, ZachXBT ghi nhận tiền được chuyển sang Solana.

Vào ngày 12/03/2025, Jimmy gửi ảnh chụp màn hình đang bridge 1.192 BTC sang ETH. ZachXBT kiểm tra số lượng, thời điểm và phát hiện khớp với một giao dịch THORChain được tạo ngay vài phút sau tin nhắn đó.

Jimmy bridge 1.192 BTC sang ETH. Nguồn: ZachXBT

Jimmy còn gửi ba địa chỉ Solana cho ZachXBT. Thông tin này giúp phanh phui cả cụm ví có chứa trên 12 triệu USD tiền bybit, xoay vòng qua BTC, ETH, SOL và Tron. Sau đó Tether cũng đã đóng băng 442,000 USDT liên quan.

Jimmy vô tình còn giúp giải một vụ việc cũ. Anh nhắc đến một nhóm từng bị đóng băng khoảng 300,000 USD năm 2024. ZachXBT truy theo onchain và phát hiện chính là 332,000 USDC từ vụ hack Poloniex.

Một hành động khoe khoang riêng về việc rửa 3 triệu USD tiền lừa đảo đã dẫn đến một ví nóng tại Huione Guarantee. ZachXBT cho biết, sàn giao dịch ở Campuchia này sau đó đã bị xử phạt và cựu chủ tịch của họ đã bị bắt giữ.

Ai đang truy đuổi ai?

Trong lúc trao đổi, Jimmy gửi ảnh hai nồi lẩu nghi ngút khói. Thịt là thỏ và chim rừng, anh ấy đi săn được bằng súng. Jimmy hỏi liệu ZachXBT có biết chơi mạt chược Trung Quốc không.

Những ngày khác, Jimmy chia sẻ ảnh bữa ăn giảm cân, một cốc cà phê kiểu Mỹ và than phiền về thời tiết lạnh. ZachXBT kể rằng họ còn nói chuyện về gia đình và chuyến đi nghỉ ở công viên Disney.

Một bức ảnh khác cho thấy điện thoại của Jimmy hiển thị một ví với khoảng 1.2 triệu USDT. Chiếc laptop phía sau có mở Google Dịch, giải thích vì sao cách diễn đạt có phần ngượng nghịu.

Jimmy khẳng định rất rõ vị trí của nhóm mình: “Chúng tôi là doanh nhân đàng hoàng,” anh nói, chỉ vài giây sau khi gửi thêm một khoản USDT nữa.

Khoảng lặng trước đó, Jimmy giải thích rằng do nhóm nghi ZachXBT đang lừa họ. Anh nhấn mạnh sự trung thực phải đặt lên hàng đầu.

Trong khi đó, ZachXBT lại “làm giá” và không vội vàng. Jimmy gửi tin nhắn “chào buổi sáng” lúc nửa đêm, “hello” sau đó một tiếng, rồi hỏi một dấu “?” lúc tờ mờ sáng. ZachXBT đã lên tiếng trách Jimmy.

ZachXBT trách mắng Jimmy. Nguồn: Bài đăng trên X

Jimmy liền xin lỗi và cho biết nhóm của mình đã chuẩn bị sẵn 1 triệu USD để bắt đầu bất cứ lúc nào.

ZachXBT cho biết anh đã chuyển toàn bộ thông tin cho các thám tử tư và cơ quan thực thi pháp luật, lý do khiến bài đăng đến muộn tận 19 tháng. Theo anh, kể từ năm 2022, lượng tài sản liên quan Triều Tiên bị phong tỏa vì anh hỗ trợ đã lên tới hơn 75 triệu USD, dù tổng số tiền bị đánh cắp là hàng tỷ.

Mô-típ gửi yêu cầu hỗ trợ khách hàng như vậy lại xuất hiện hồi tháng trước. Những người rửa tiền liên quan đến vụ hack Bitget trị giá 387 triệu USD công khai tìm kiếm trợ giúp trong các nhóm cộng đồng. Hóa ra, các bên làm thuê cho Triều Tiên vẫn cần dịch vụ chăm sóc khách hàng.