La risposta legale di Bybit all’hack del febbraio 2025 è passata al tribunale federale statunitense, aprendo un’ulteriore via per il recupero degli asset. L’exchange di criptovalute ha presentato una causa civile contro la Repubblica Popolare Democratica di Corea (DPRK), il suo Reconnaissance General Bureau e il Lazarus Group presso il Tribunale distrettuale degli Stati Uniti per il Distretto di Columbia. Un giudice federale ha concesso un’ingiunzione preliminare relativa ad asset rubati identificati e collegati a imputati non nominati, bloccando trasferimenti, vendite o altre forme di dispersione mentre il contenzioso prosegue.

Bybit afferma di aver recuperato circa 48,4 milioni di dollari collegati all’hack e di averne congelati altri 30,5 milioni presso più di 28 exchange e custodian. Il totale combinato di circa 78,9 milioni di dollari rappresenta solo una frazione della perdita originale di 1,5 miliardi di dollari. La maggior parte della criptovaluta rubata resta oggetto di attività di tracciamento.

Il CEO di Bybit, Ben Zhou, ha annunciato lo sviluppo su X:

Since the Lazarus attack in February 2025, Bybit has been working on recovery from every possible angle. Today, we took another step forward. Bybit has filed a civil lawsuit against the DPRK and the Lazarus Group, and secured a preliminary injunction freezing identified stolen… — Ben Zhou (@benbybit) August 8, 2026

La causa federale prende di mira DPRK, Reconnaissance General Bureau e Lazarus Group

L’atto di citazione nomina come imputati la DPRK, il Reconnaissance General Bureau e il Lazarus Group, oltre a individui ed entità non identificati accusati di detenere o spostare criptovalute rubate. La causa mira a preservare gli asset digitali recuperabili mentre Bybit porta avanti le proprie rivendicazioni attraverso il procedimento civile federale. Citare in giudizio uno Stato estero davanti a un tribunale statunitense comporta la gestione delle dottrine di immunità sovrana, anche se le designazioni sanzionatorie già in vigore negli Stati Uniti contro DPRK, Reconnaissance General Bureau e Lazarus Group possono influenzare il quadro giurisdizionale.

L’ingiunzione preliminare si applica agli asset identificati collegati agli imputati non nominati, o John Doe. Bybit afferma che l’ordine impedisce trasferimenti o dispersione mentre il caso si sviluppa. Il tribunale ha inoltre ritenuto che l’exchange avesse dimostrato, in questa fase, una probabilità di successo nel merito, sebbene l’ordine non determini la proprietà finale né completi il processo di recupero.

L’hack di Bybit è avvenuto il 21 febbraio 2025, quando gli aggressori hanno compromesso l’interfaccia utente di un wallet Safe (in precedenza Gnosis Safe) utilizzato per il cold storage Ethereum di Bybit, inducendo i firmatari ad approvare una transazione che ha deviato quasi 1,5 miliardi di dollari in ether verso indirizzi controllati dagli aggressori. Chainalysis ha descritto l’incidente come il più grande furto digitale nella storia delle criptovalute.

Bybit ha sottolineato che la causa civile non sostituisce le indagini penali condotte dalle autorità statunitensi. L’exchange continua a condividere intelligence blockchain e risultati investigativi con agenzie tra cui l’FBI e collabora con società di analisi, exchange, custodian e partner internazionali delle forze dell’ordine.

Il furto di crypto attribuito alla Corea del Nord ha raggiunto 2,02 miliardi di dollari nel 2025

Chainalysis stima che gli hacker nordcoreani abbiano rubato almeno 2,02 miliardi di dollari in criptovalute durante il 2025, con un aumento del 51% rispetto al 2024. Ciò ha portato il furto cumulativo stimato del gruppo a 6,75 miliardi di dollari. L’hack di Bybit ha rappresentato la maggior parte di tale totale annuale. La tendenza evidenzia come gli attori sostenuti dagli Stati abbiano preso di mira sempre più gli exchange centralizzati e i bridge cross-chain come principali vettori, dopo precedenti episodi di alto profilo tra cui l’hack di Ronin Network e l’exploit di Harmony Bridge.

Il Lazarus Group ha utilizzato più canali di riciclaggio dopo importanti furti di criptovalute. Chainalysis ha documentato servizi di bridge, protocolli di mixing e tranche di transazioni di dimensioni ridotte come elementi tipici dei modelli di riciclaggio nordcoreani. Questi metodi distribuiscono la criptovaluta rubata su numerosi indirizzi e reti, complicandone il recupero.

Le azioni di contrasto colpiscono l’infrastruttura del riciclaggio

Bybit osserva che anche le azioni delle autorità hanno preso di mira servizi presumibilmente usati per spostare proventi illeciti. Le autorità tedesche hanno smantellato l’exchange di criptovalute eXch, mentre successivamente le autorità tedesche e svizzere hanno interrotto Cryptomixer.io. Bybit collega tali interventi a sforzi più ampi contro l’infrastruttura di riciclaggio connessa ai fondi rubati. Queste operazioni riflettono una tendenza crescente delle forze dell’ordine a colpire servizi intermediari anziché singoli indirizzi wallet, come dimostrato da sanzioni e chiusure di mixer quali Tornado Cash.

Congelare criptovalute rubate non significa automaticamente restituirle a un exchange. Gli investigatori devono identificare gli asset, stabilire il collegamento con il furto e coordinarsi con le piattaforme che detengono i fondi. Gli ordini del tribunale possono quindi limitarne il movimento mentre le questioni di proprietà e recupero seguono i canali legali.

Bybit afferma che chiederà ulteriori provvedimenti giudiziari con l’avanzare del caso, incluse altre richieste relative ad asset già identificati tramite il lavoro di tracciamento. L’ingiunzione preliminare copre attualmente gli asset identificati detenuti o spostati dagli imputati John Doe nominati nella causa. Bybit continua a tracciare wallet, transazioni, exchange, custodian e servizi collegati alla criptovaluta rubata mentre il procedimento federale resta attivo.