Bybit ha presentato una causa civile in un tribunale statunitense contro la Corea del Nord e il Gruppo Lazarus per il furto di 1,5 miliardi di dollari in criptovalute avvenuto nel febbraio 2025. Lo scambio ha già ottenuto un'ingiunzione preliminare che blocca i fondi rubati che gli investigatori possono ancora rintracciare. Il furto, che ha colpito il portafoglio freddo Ethereum di Bybit, si classifica come il più grande colpo di criptovalute mai registrato, superando i 620 milioni di dollari rubati alla rete Ronin nel 2022, un incidente anch'esso attribuito a hacker nordcoreani.

Dettagli della denuncia

La denuncia è stata presentata presso il tribunale distrettuale degli Stati Uniti per il Distretto di Columbia e cita come imputati la Repubblica Popolare Democratica di Corea, il suo Ufficio Generale di Ricognizione e il Gruppo Lazarus, secondo il comunicato stampa di Bybit. Anche individui ed entità non identificati che detengono o trasferiscono i fondi rubati sono citati come imputati John Doe.

Citare in giudizio uno Stato soggetto a sanzioni come la Corea del Nord presenta sfide di esecuzione, poiché non esiste alcun meccanismo per imporre il rispetto di eventuali sentenze. Bybit ha affrontato il problema includendo come imputati titolari di wallet anonimi e intermediari, creando una via legale per identificarli e recuperare le attività rintracciabili. Il Gruppo Lazarus, un'unità di hacking sponsorizzata dallo Stato nordcoreano e designata dall'Ufficio per il controllo delle attività estere del Tesoro degli Stati Uniti, è stato collegato a una serie di importanti furti di criptovalute negli ultimi anni, e le Nazioni Unite hanno riferito che Pyongyang utilizza le attività digitali rubate per finanziare i suoi programmi di armi di distruzione di massa.

Bybit ha dichiarato che la corte ha riscontrato che "Bybit ha dimostrato la probabilità di successo nel merito". La corte ha anche descritto l'incidente come "uno dei maggiori furti di criptovalute della storia" al momento della concessione di un'ordinanza restrittiva temporanea.

Ben Zhou, cofondatore e CEO di Bybit, ha descritto l'incidente come una preoccupazione per l'intero settore, dichiarando: "L'attacco di Lazarus non è stato solo un attacco a Bybit. È stato un attacco alla fiducia nel nostro settore." Ha aggiunto che lo scambio ha collaborato "con investigatori, exchange, regolatori, forze dell'ordine e ora con i tribunali."

Sforzi di recupero

Secondo Bybit, sono stati recuperati circa 48,4 milioni di dollari in attività rubate e altri 30,5 milioni di dollari sono stati bloccati presso oltre 28 exchange e custodi in attesa di ulteriori azioni. Lo scambio ha riconosciuto che questi importi rappresentano una piccola frazione dei 1,5 miliardi di dollari totali rubati.

Nella sua presentazione di giugno, Bybit ha riferito che il 90,2% delle attività rubate era diventato irrintracciabile dopo essere stato riciclato attraverso mixer, ponti cross-chain e dealer over-the-counter. Solo il 9,8% è stato rintracciato fino a wallet identificabili, con circa 75,5 milioni di dollari bloccati o recuperati a quel punto. Zhou aveva precedentemente dichiarato che quasi il 69% dei fondi era ancora rintracciabile, ma le presentazioni successive indicano che la finestra di recupero si stava rapidamente chiudendo. La velocità con cui i fondi sono stati dispersi riflette le tattiche documentate dalle società di analisi blockchain, che hanno monitorato l'uso crescente da parte degli operatori nordcoreani di pipeline di riciclaggio automatizzate per oscurare le tracce dei fondi entro giorni dalla violazione.

Infrastruttura di riciclaggio e cronologia legale

La causa rappresenta il culmine di uno sforzo legale prolungato. Secondo i documenti giudiziari non secretati, Bybit ha inizialmente presentato la domanda in forma riservata il 18 giugno, ha ottenuto un'ordinanza restrittiva temporanea e una discovery accelerata il 19 giugno, ha visto l'ordinanza rinnovata il 16 luglio e ha ottenuto un'ingiunzione preliminare parziale il 30 luglio.

La denuncia chiede la restituzione dei fondi rubati insieme a danni punitivi e triplo danno in base al Racketeer Influenced and Corrupt Organizations Act (RICO) degli Stati Uniti. L'utilizzo del RICO, uno statuto più comunemente associato alle azioni penali contro la criminalità organizzata, segnala un arsenale giuridico in espansione per perseguire i furti di criptovalute sponsorizzati da Stati, dove l'applicazione penale da sola si è spesso rivelata insufficiente.

Parte del recupero è derivata dalle azioni delle forze dell'ordine contro l'infrastruttura di riciclaggio. Bybit ha attribuito alle autorità tedesche lo smantellamento dell'exchange eXch e alle autorità tedesche e svizzere l'interruzione del servizio Cryptomixer.io, entrambi utilizzati per trasferire proventi illeciti. eXch era stata accusata di aver permesso agli hacker di monetizzare, con oltre 90 milioni di dollari incanalati attraverso la piattaforma nelle settimane successive alla violazione.

L'FBI ha attribuito pubblicamente il furto a Bybit alla Corea del Nord il 26 febbraio 2025, designando l'attività con l'etichetta "TraderTraitor" e avvertendo che i responsabili stavano convertendo l'Ether rubato in Bitcoin attraverso migliaia di indirizzi.

Bybit ha dichiarato che la sua causa civile procede in parallelo con le indagini penali in corso e che continua a condividere intelligence blockchain con agenzie tra cui l'FBI.