Investigador se passa por cliente e expõe rede que lavou US$ 1 bilhão

Durante semanas, um investigador de criptomoedas fingiu ser um cliente de lavagem de dinheiro. Colocou quase US$ 350 mil do próprio bolso em uma carteira digital, aceitou perder 5% a cada operação e conversou todos os dias com um homem que atendia pelo codinome Jimmy Green. A missão era descobrir por onde passava o dinheiro roubado da corretora Bybit. O ataque, um dos maiores já registrados no setor, levou cerca de US$ 1,5 bilhão em fevereiro de 2025.

O investigador assina como ZachXBT. Ele revelou a operação no dia 5 de outubro, em uma sequência de mensagens na rede X. Segundo o relato, a rede movimentou mais de US$ 1 bilhão em criptomoedas roubadas em ataques atribuídos à Coreia do Norte.

O caminho até essa rede começou pouco depois do roubo. O investigador passou a acompanhar os canais onde os criminosos anunciavam a limpeza do dinheiro desviado.

Em grupos abertos de Telegram e Discord, ele encontrou mais de 15 contas oferecendo ajuda para transformar em dinheiro limpo as ordens ligadas aos fundos desviados. Eram pessoas dispostas a receber o valor roubado e devolvê-lo com outra aparência, em outra moeda e em outra conta. Uma delas usava o codinome Jimmy Green.

Para não ser confundido com policial ou jornalista, o investigador tinha de se comportar como cliente de verdade. E cliente de verdade paga antes. Em 6 de março de 2025, ele abriu uma carteira nova e depositou cerca de US$ 350 mil em uma moeda digital estável, atrelada ao dólar. O combinado era simples. Ele enviava o valor e recebia de volta o equivalente em outro tipo de moeda digital, também estável.

A cada operação, aceitava perder 5% do valor, como se fosse a tarifa do serviço. Foi assim que construiu confiança. O endereço que Jimmy Green mandou para receber o dinheiro já aparecia em uma lista pública de endereços bloqueados pela Bybit.

O investigador estava enviando dinheiro direto para um dos cofres do roubo. A conta usada para pagar as taxas daquela carteira podia ser rastreada até os fundos levados da corretora.

Como o pagamento era real, a conversa avançou. Em pouco tempo, Jimmy Green passou a contar, antes de acontecer, por onde o dinheiro da Bybit iria passar. Em uma das mensagens, avisou que os fundos seriam levados para outro sistema. No dia seguinte, foram. Em outra, descreveu a estrutura da operação, com ramificações em Hong Kong e no continente chinês.

O teste mais claro veio em 12 de março de 2025. Jimmy Green enviou a imagem de uma transferência entre sistemas. ZachXBT comparou o valor e o horário com os registros públicos de uma operação na rede THORChain e achou a mesma transferência, feita minutos depois da mensagem.

Foi nesse ponto que Jimmy Green entregou três endereços. Eles revelaram um conjunto de carteiras com mais de US$ 12 milhões em dinheiro da Bybit, em movimento naquele momento. Os fundos saltavam de um sistema para outro, trocando de moeda e de mãos a cada passo. A empresa Tether, que emite a principal moeda estável do mercado, acabou congelando cerca de US$ 442 mil ligados a esse conjunto.

O investigador ainda conferiu outros detalhes que Jimmy Green deixou escapar. O homem contou que uma equipe conhecida dele tinha cerca de US$ 300 mil congelados desde 2024. ZachXBT foi atrás e achou o bloqueio de US$ 332 mil, retirados da Poloniex em novembro de 2023, em um roubo atribuído à Coreia do Norte.

Em outra conversa, Green disse que havia lavado US$ 3 milhões em fraudes para um cliente diferente. O rastro levou a uma carteira ligada à Huione Guarantee, um mercado online usado por criminosos para vender serviços de lavagem, depois proibido pelos Estados Unidos. A rede também teria usado uma tática menos comum, criando áreas de negociação com moedas de pouca procura em uma plataforma de trocas que funciona sem dono. Misturar dinheiro limpo e sujo nesses espaços torna o rastreamento mais difícil.

Green chegou a afirmar que sua equipe havia lavado a maior fatia do dinheiro que saiu da Bybit, cerca de US$ 1,5 bilhão. ZachXBT não chegou a confirmar esse número por conta própria. Disse que a versão combina com o padrão que ele vinha observando nos registros públicos.

O que os dados confirmam

Apesar do tom de confissão das conversas, o resultado concreto é mais modesto do que o número que abre a história. O US$ 1 bilhão lavado em diferentes ataques é uma estimativa do investigador, que não mostrou como chegou ao total. O rastro que ele detalha com mais precisão leva a um conjunto de carteiras de US$ 12 milhões, das quais cerca de US$ 442 mil foram de fato congelados.

Os laços com Jimmy Green e com o grupo chinês são conclusões do próprio ZachXBT. A atribuição oficial do roubo da Bybit à Coreia do Norte é da polícia federal americana, que chamou a operação de TraderTraitor. Cada lado se sustenta em provas diferentes.

Ele disse ter entregado as informações às equipes de investigação assim que as obteve. A sensibilidade do caso, segundo ele, foi o motivo de esperar até outubro de 2026 para tornar tudo público.

ZachXBT afirma que, desde 2022, ajudou a bloquear mais de US$ 75 milhões ligados a roubos associados à Coreia do Norte. O trabalho é financiado por doações e por bolsas de fundações do setor, e ele pediu apoio para continuar assumindo operações de risco como essa.

O padrão voltou no ataque à Bitget

O esquema descrito pelo investigador reapareceu pouco antes da divulgação. Em setembro de 2026, a corretora Bitget perdeu cerca de US$ 387,5 milhões em um ataque. A empresa de análise Elliptic afirmou que o dinheiro roubado foi para endereços já usados na lavagem do caso Bybit, um sinal de que as mesmas rotas continuam a serviço dos hackers.

A chefe da Bitget, Gracy Chen, apontou a Coreia do Norte como a principal suspeita. ZachXBT listou cinco codinomes envolvidos na lavagem desse ataque. Um deles também teria participado da movimentação de US$ 292 milhões desviados de outro caso, ligado ao projeto Kelp DAO.

O valor da operação está menos no dinheiro recuperado e mais no mapa que ela produziu. ZachXBT descreveu como a rede funciona por dentro, com divisão de tarefas, canais abertos de atendimento e intermediários que servem hackers de Estado sem nunca se encontrar com eles. O congelamento de cerca de US$ 442 mil foi o resultado mais concreto de quase um mês de conversas mantidas por um investigador que se apresentou como quem só queria lavar dinheiro.