Bybit a déposé une plainte au civil devant un tribunal américain contre la Corée du Nord et le groupe Lazarus suite au vol de 1,5 milliard de dollars de cryptomonnaies en février 2025. La plateforme d'échange a déjà obtenu une injonction préliminaire gelant les fonds volés que les enquêteurs peuvent encore tracer. Ce vol, qui a ciblé le portefeuille froid Ethereum de Bybit, est le plus grand braquage de cryptomonnaies jamais enregistré, dépassant les 620 millions de dollars volés au Ronin Network en 2022, un incident également attribué à des hackers nord-coréens.

Détails de la plainte

La plainte a été déposée auprès du tribunal de district des États-Unis pour le district de Columbia et nomme la République populaire démocratique de Corée, son Bureau général de renseignement et le groupe Lazarus comme défendeurs, selon le communiqué de presse de Bybit. Des individus et des entités non identifiés détenant ou déplaçant les fonds volés sont également nommés en tant que défendeurs « John Doe ».

Poursuivre un État sanctionné tel que la Corée du Nord pose des problèmes d'exécution, car il n'existe aucun mécanisme pour contraindre cet État à se conformer à un jugement. Bybit a pallié ce problème en incluant des détenteurs de portefeuilles anonymes et des intermédiaires en tant que défendeurs, créant ainsi une voie juridique pour les identifier et récupérer les actifs traçables. Le groupe Lazarus, une unité de piratage informatique commanditée par l'État nord-coréen et désignée par le Bureau de contrôle des actifs étrangers du Trésor américain, a été lié à une série de vols majeurs de cryptomonnaies ces dernières années, et l'ONU a rapporté que Pyongyang utilise les actifs numériques volés pour financer ses programmes d'armes de destruction massive.

Bybit a déclaré que le tribunal a estimé que « Bybit a démontré une probabilité de succès sur le fond ». Le tribunal a également qualifié l'incident de « l'un des plus grands vols de cryptomonnaies de l'histoire » lorsqu'il a accordé une ordonnance restrictive temporaire.

Ben Zhou, cofondateur et PDG de Bybit, a décrit l'incident comme une préoccupation pour l'ensemble de l'industrie, déclarant : « L'attaque du groupe Lazarus n'était pas seulement une attaque contre Bybit. C'était une attaque contre la confiance dans notre industrie. » Il a ajouté que la plateforme d'échange avait collaboré « avec des enquêteurs, des plateformes d'échange, des régulateurs, les forces de l'ordre, et maintenant les tribunaux ».

Efforts de récupération

Selon Bybit, environ 48,4 millions de dollars d'actifs volés ont été récupérés, et 30,5 millions de dollars supplémentaires ont été gelés sur plus de 28 plateformes d'échange et dépositaires dans l'attente d'autres mesures. La plateforme a reconnu que ces montants ne représentent qu'une petite fraction du total des 1,5 milliard de dollars volés.

Dans son dépôt de juin, Bybit a signalé que 90,2 % des actifs volés étaient passés dans la clandestinité après avoir été blanchis via des mixeurs, des ponts inter-chaînes et des courtiers de gré à gré. Seulement 9,8 % ont pu être tracés jusqu'à des portefeuilles identifiables, avec environ 75,5 millions de dollars gelés ou récupérés à ce moment-là. Zhou avait précédemment déclaré que près de 69 % des fonds restaient traçables, mais les dépôts ultérieurs indiquent que la fenêtre de récupération s'est refermée rapidement. La vitesse à laquelle les fonds ont été dispersés reflète les tactiques documentées par les entreprises d'analyse blockchain, qui ont suivi l'utilisation croissante par les opérateurs nord-coréens de pipelines de blanchiment automatisés pour brouiller les traces financières dans les jours suivant une faille de sécurité.

Infrastructure de blanchiment et calendrier juridique

Le procès représente l'aboutissement d'un effort juridique soutenu. Selon des documents judiciaires non scellés, Bybit a d'abord déposé le dossier sous scellé le 18 juin, a obtenu une ordonnance restrictive temporaire et une découverte accélérée le 19 juin, a fait renouveler l'ordonnance le 16 juillet, et a remporté une injonction préliminaire partielle le 30 juillet.

La plainte demande le retour des fonds volés ainsi que des dommages-intérêts punitifs et triples en vertu de la loi américaine sur les organisations influencées et corrompues par le racket (RICO). L'utilisation de la loi RICO, une législation plus généralement associée aux poursuites contre le crime organisé, signale un élargissement de l'arsenal juridique pour poursuivre le vol de cryptomonnaies commandité par un État, là où l'application de la loi pénale à elle seule s'est souvent révélée insuffisante.

Une partie de la récupération est le résultat d'actions menées par les forces de l'ordre ciblant l'infrastructure de blanchiment. Bybit a attribué aux autorités allemandes le démantèlement de la plateforme d'échange eXch, et aux autorités allemandes et suisses la perturbation du service Cryptomixer.io, tous deux utilisés pour déplacer les produits illicites. eXch avait été accusé de permettre aux hackers de convertir leurs biens en argent liquide, avec plus de 90 millions de dollars transférés via la plateforme dans les semaines suivant la violation.

Le FBI a publiquement attribué le vol de Bybit à la Corée du Nord le 26 février 2025, désignant l'activité sous le nom de « TraderTraitor » et avertissant que les auteurs convertissaient l'Ether volé en Bitcoin sur des milliers d'adresses.

Bybit a déclaré que son affaire civile se déroule en parallèle avec les enquêtes criminelles en cours et qu'elle continue de partager des renseignements sur la blockchain avec des agences, dont le FBI.