Bybits rechtliche Reaktion auf den Hack vom Februar 2025 ist in die US-Bundesgerichtsbarkeit übergegangen und eröffnet damit einen zusätzlichen Weg zur Rückgewinnung von Vermögenswerten. Die Kryptobörse reichte beim U.S. District Court for the District of Columbia eine Zivilklage gegen die Demokratische Volksrepublik Korea (DPRK), das Reconnaissance General Bureau und die Lazarus Group ein. Ein Bundesrichter erließ zudem eine einstweilige Verfügung für identifizierte gestohlene Vermögenswerte, die mit nicht namentlich genannten Beklagten verbunden sind, und untersagte Transfers, Verkäufe oder sonstige Verfügungen, solange das Verfahren läuft.

Bybit sagt, es habe etwa 48,4 Millionen US-Dollar im Zusammenhang mit dem Hack zurückerlangt und weitere 30,5 Millionen US-Dollar auf mehr als 28 Börsen und bei Verwahrstellen eingefroren. Die Gesamtsumme von rund 78,9 Millionen US-Dollar entspricht nur einem Bruchteil des ursprünglichen Verlusts von 1,5 Milliarden US-Dollar. Der Großteil der gestohlenen Kryptowährungen wird weiterhin aktiv nachverfolgt.

Bybit-CEO Ben Zhou kündigte die Entwicklung auf X an:

Since the Lazarus attack in February 2025, Bybit has been working on recovery from every possible angle. Today, we took another step forward. Bybit has filed a civil lawsuit against the DPRK and the Lazarus Group, and secured a preliminary injunction freezing identified stolen… — Ben Zhou (@benbybit) August 8, 2026

Bundesklage richtet sich gegen DPRK, Reconnaissance General Bureau und Lazarus Group

Die Klage nennt die DPRK, das Reconnaissance General Bureau und die Lazarus Group als Beklagte sowie nicht identifizierte Personen und Einheiten, denen vorgeworfen wird, gestohlene Krypto-Vermögenswerte zu halten oder zu bewegen. Ziel der Klage ist es, rückgewinnbare digitale Vermögenswerte zu sichern, während Bybit seine Ansprüche im zivilrechtlichen Bundesverfahren verfolgt. Eine Klage gegen einen ausländischen Staat vor einem US-Gericht bedeutet die Auseinandersetzung mit Fragen der Staatenimmunität, auch wenn bestehende US-Sanktionsdesignationen gegen die DPRK, das Reconnaissance General Bureau und die Lazarus Group den Zuständigkeitsrahmen beeinflussen können.

Die einstweilige Verfügung gilt für identifizierte Vermögenswerte, die mit den nicht namentlich genannten, also John Doe, Beklagten verbunden sind. Bybit sagt, die Anordnung verhindere Transfers oder eine Verwertung, während sich der Fall entwickelt. Das Gericht stellte zudem fest, dass die Börse in dieser Phase eine Wahrscheinlichkeit des Obsiegens in der Sache dargelegt habe, wobei die Anordnung weder das endgültige Eigentum festlegt noch den Rückgewinnungsprozess abschließt.

Der Bybit-Hack ereignete sich am 21. Februar 2025, als Angreifer die Benutzeroberfläche einer Safe-Wallet (ehemals Gnosis Safe) kompromittierten, die für Bybits Ethereum-Cold-Storage verwendet wurde, und Unterzeichner dazu brachten, eine Transaktion zu genehmigen, die fast 1,5 Milliarden US-Dollar in Ether an von den Angreifern kontrollierte Adressen umleitete. Chainalysis bezeichnet den Vorfall als den größten digitalen Diebstahl in der Geschichte der Kryptowährungen.

Bybit betonte, dass die Zivilklage die strafrechtlichen Ermittlungen der US-Behörden nicht ersetzt. Das Unternehmen teilt weiterhin Blockchain-Analysen und Ermittlungsergebnisse mit Behörden, darunter dem FBI, und arbeitet mit Analysefirmen, Börsen, Verwahrstellen und internationalen Strafverfolgungspartnern zusammen.

Nordkoreanischer Kryptodiebstahl erreichte 2025 2,02 Milliarden US-Dollar

Chainalysis schätzt, dass nordkoreanische Hacker im Jahr 2025 mindestens 2,02 Milliarden US-Dollar in Kryptowährungen gestohlen haben, ein Anstieg um 51% gegenüber 2024. Dadurch stieg die geschätzte kumulierte Beute der Gruppe auf 6,75 Milliarden US-Dollar. Der Bybit-Hack machte den Großteil dieser Jahressumme aus. Der Trend unterstreicht, wie staatlich unterstützte Akteure zunehmend zentralisierte Börsen und Cross-Chain-Bridges als primäre Angriffspunkte ins Visier nehmen; frühere prominente Vorfälle waren unter anderem der Ronin-Network-Hack und der Harmony-Bridge-Exploit.

Die Lazarus Group hat nach größeren Kryptowährungsdiebstählen mehrere Wege zur Geldwäsche genutzt. Chainalysis hat Bridge-Dienste, Mixing-Protokolle und kleinere Transaktions-Tranchen als Merkmale nordkoreanischer Geldwäschemuster dokumentiert. Diese Methoden verteilen gestohlene Kryptowährungen über zahlreiche Adressen und Netzwerke und erschweren so die Rückgewinnung.

Durchsetzungsmaßnahmen zielen auf Geldwäsche-Infrastruktur

Bybit weist darauf hin, dass sich Maßnahmen der Strafverfolgung auch gegen Dienste richteten, die angeblich zum Verschieben illegaler Erlöse genutzt wurden. Deutsche Behörden legten die Kryptobörse eXch still, während deutsche und schweizerische Behörden später Cryptomixer.io beeinträchtigten. Bybit verknüpft diese Maßnahmen mit breiteren Bemühungen gegen Geldwäsche-Infrastruktur, die mit gestohlenen Mitteln in Verbindung steht. Diese Eingriffe spiegeln ein zunehmendes Muster wider, bei dem Strafverfolger eher Vermittlungsdienste als einzelne Wallet-Adressen ins Visier nehmen, wie Sanktionen und Schließungen von Mixern wie Tornado Cash gezeigt haben.

Das Einfrieren gestohlener Kryptowährungen führt nicht automatisch zu einer Rückübertragung an eine Börse. Ermittler müssen Vermögenswerte identifizieren, eine Verbindung zum Diebstahl herstellen und mit den Plattformen zusammenarbeiten, die die Mittel halten. Gerichtliche Anordnungen können dann Bewegungen einschränken, während Eigentums- und Rückgewinnungsfragen den Rechtsweg durchlaufen.

Bybit sagt, es werde im Verlauf des Verfahrens weitere gerichtliche Maßnahmen beantragen, einschließlich weiterer Anträge zu Vermögenswerten, die bereits durch Nachverfolgung identifiziert wurden. Die aktuelle einstweilige Verfügung umfasst identifizierte Vermögenswerte, die von in der Klage genannten John-Doe-Beklagten gehalten oder bewegt wurden. Bybit verfolgt weiterhin Wallets, Transaktionen, Börsen, Verwahrstellen und Dienste, die mit den gestohlenen Krypto-Vermögenswerten verbunden sind, während das Bundesverfahren andauert.