Bybit hat vor einem US-Gericht eine Zivilklage gegen Nordkorea und die Lazarus-Gruppe wegen des Diebstahls von 1,5 Milliarden Dollar in Kryptowährungen im Februar 2025 eingereicht. Die Börse hat bereits eine einstweilige Verfügung erwirkt, die gestohlene Gelder einfriert, die von den Ermittlern noch zurückverfolgt werden können. Der Diebstahl, der sich gegen Bybits Ethereum-Cold-Wallet richtete, ist der größte Kryptowährungsraub der bisherigen Geschichte und übertrifft die 620 Millionen Dollar, die 2022 aus dem Ronin Network gestohlen wurden — ein Vorfall, der ebenfalls nordkoreanischen Hackern zugeschrieben wird.

Einzelheiten der Klage

Die Klage wurde beim US-Bezirksgericht für den District of Columbia eingereicht und nennt als Beklagte die Demokratische Volksrepublik Korea, ihr Aufklärungshauptbüro und die Lazarus-Gruppe, laut einer Pressemitteilung von Bybit. Auch nicht identifizierte Personen und Einrichtungen, die die gestohlenen Gelder halten oder bewegen, werden als John-Doe-Beklagte benannt.

Eine Klage gegen einen sanktionierten Staat wie Nordkorea birgt Durchsetzungsprobleme, da es keinen Mechanismus gibt, um die Einhaltung eines Urteils zu erzwingen. Bybit umging dies, indem auch anonyme Wallet-Inhaber und Vermittler als Beklagte aufgenommen wurden, was einen rechtlichen Weg eröffnet, diese zu identifizieren und zurückverfolgbare Vermögenswerte zu bergen. Die Lazarus-Gruppe, eine vom US-Finanzministeriumsamt für Auslandsvermögenskontrolle (OFAC) eingestufte, staatlich geförderte nordkoreanische Hacker-Einheit, wird mit einer Reihe großer Krypto-Einbrüche der letzten Jahre in Verbindung gebracht. Die Vereinten Nationen haben berichtet, dass Pjöngjang gestohlene digitale Vermögenswerte zur Finanzierung seiner Programme für Massenvernichtungswaffen nutzt.

Bybit erklärte, das Gericht habe festgestellt: „Bybit hat eine Erfolgswahrscheinlichkeit in der Hauptsache nachgewiesen.“ Das Gericht bezeichnete den Vorfall bei der Gewährung einer einstweiligen Verfügung auch als „einen der größten Kryptowährungsdiebstähle der Geschichte.“

Ben Zhou, Mitbegründer und CEO von Bybit, bezeichnete den Vorfall als branchenweites Problem und erklärte: „Der Angriff der Lazarus-Gruppe war nicht nur ein Angriff auf Bybit. Er war ein Angriff auf das Vertrauen in unsere Branche.“ Er fügte hinzu, dass die Börse „mit Ermittlern, Börsen, Aufsichtsbehörden, Strafverfolgungsbehörden und nun auch den Gerichten“ zusammengearbeitet habe.

Rückgewinnungsbemühungen

Nach Angaben von Bybit wurden rund 48,4 Millionen Dollar an gestohlenen Vermögenswerten zurückerhalten, und weitere 30,5 Millionen Dollar wurden bei über 28 Börsen und Verwahrern eingefroren, bis weitere Maßnahmen ergriffen werden. Die Börse räumte ein, dass diese Beträge nur einen kleinen Bruchteil der insgesamt gestohlenen 1,5 Milliarden Dollar ausmachen.

In ihrem Juni-Eingabe berichtete Bybit, dass 90,2 % der gestohlenen Vermögenswerte nach Geldwäsche über Mixer, Cross-Chain-Bridges und Over-the-Counter-Händler nicht mehr zurückverfolgbar waren. Nur 9,8 % konnten identifizierbaren Wallets zugeordnet werden, wobei zu diesem Zeitpunkt rund 75,5 Millionen Dollar eingefroren oder zurückerlangt worden waren. Zhou hatte zuvor erklärt, dass fast 69 % der Gelder noch zurückverfolgbar seien, doch spätere Eingaben zeigen, dass sich das Fenster für eine Rückgewinnung rasch geschlossen hat. Die Geschwindigkeit, mit der die Gelder verteilt wurden, entspricht den Taktiken, die von Blockchain-Analyseunternehmen dokumentiert wurden, welche eine zunehmende Nutzung automatisierter Geldwäsche-Pipelines durch nordkoreanische Akteure beobachtet haben, um Geldspuren innerhalb weniger Tage nach einem Einbruch zu verschleiern.

Geldwäsche-Infrastruktur und juristischer Zeitplan

Die Klage stellt den Abschluss eines längerfristigen Rechtsstreits dar. Laut den entsiegelten Gerichtsakten reichte Bybit zunächst am 18. Juni unter Verschluss ein, erwirkte am 19. Juni eine einstweilige Verfügung und ein beschleunigtes Beweisverfahren, ließ die Verfügung am 16. Juli verlängern und erlangte am 30. Juli eine teilweise einstweilige Verfügung.

Die Klage fordert die Rückgabe der gestohlenen Gelder sowie Straf- und Dreifachschadensersatz nach dem US Racketeer Influenced and Corrupt Organizations Act (RICO). Die Anwendung von RICO, eines Gesetzes, das häufiger mit Strafverfahren gegen organisierte Kriminalität in Verbindung gebracht wird, signalisiert ein wachsendes juristisches Instrumentarium zur Verfolgung staatlich geförderter Krypto-Diebstähle, bei denen strafrechtliche Maßnahmen allein oft unzureichend waren.

Teile der Rückgewinnung gingen auf Maßnahmen der Strafverfolgungsbehörden gegen die Geldwäsche-Infrastruktur zurück. Bybit schrieb den deutschen Behörden die Zerschlagung der Börse eXch zu sowie den deutschen und Schweizer Behörden gemeinsam die Störung des Dienstes Cryptomixer.io, die beide zum Verschieben illegaler Erlöse genutzt wurden. eXch wurde beschuldigt, den Hackern das Versilbern der Gelder ermöglicht zu haben, wobei in den Wochen nach dem Einbruch mehr als 90 Millionen Dollar über die Plattform flossen.

Das FBI schrieb den Bybit-Diebstahl am 26. Februar 2025 offiziell Nordkorea zu, bezeichnete die Aktivität mit der Bezeichnung „TraderTraitor“ und warnte davor, dass die Täter gestohlenes Ether über Tausende von Adressen in Bitcoin umwandelten.

Bybit erklärte, dass das Zivilverfahren parallel zu den laufenden strafrechtlichen Ermittlungen verläuft und dass das Unternehmen weiterhin Blockchain-Informationen mit Behörden, darunter dem FBI, teilt.