Il exchange di criptovalute Bybit ha presentato una causa civile contro la Repubblica Popolare Democratica di Corea (DPRK), il suo Ufficio Generale di Ricognizione e il Lazarus Group presso il Tribunale Distrettuale degli Stati Uniti per il Distretto di Columbia per il furto di 1,5 miliardi di dollari subito dalla piattaforma a febbraio 2025. Individui ed entità non identificati che detengono o trasferiscono i fondi rubati sono indicati come defendant John Doe.

Un giudice ha concesso un'ingiunzione preliminare che vieta il trasferimento o la dissipazione dei beni rubati identificati durante il procedimento e ha stabilito che Bybit ha probabili probabilità di successo nel merito, come riferito dal exchange venerdì. Nel concedere un precedente ordine restrittivo temporaneo, il tribunale ha definito il furto come uno dei più grandi mai visti nel settore delle criptovalute.

Il Lazarus Group è l'organizzazione di hacking legata allo Stato che le autorità statunitensi ritengono responsabile dell'attacco. Il gruppo è stato collegato a una serie di importanti furti di criptovalute, inclusa la violazione della Ronin Network da 620 milioni di dollari nel 2022, e i rapporti del Panello di Esperti delle Nazioni Unite hanno documentato la crescente dipendenza di Pyongyang dai furti di criptovalute per aggirare le sanzioni internazionali e finanziare i programmi di armamenti.

"È stato un attacco alla fiducia nel nostro settore," ha dichiarato Ben Zhou, cofondatore e CEO di Bybit, in una comunicato giovedì, aggiungendo che il exchange aveva collaborato con investigatori, piattaforme, regolatori e forze dell'ordine prima di rivolgersi ai tribunali.

Bybit ha comunicato che circa 48,4 milioni di dollari sono stati recuperati e circa 30,5 milioni di dollari sono stati congelati su oltre 28 exchange e custodi, rappresentando complessivamente circa il 5% dell'importo totale rubato.

Come si è sviluppato l'attacco

Gli attaccanti hanno prelevato circa 500.000 ETH da un cold wallet di Bybit a febbraio 2025 dopo aver manipolato un'interfaccia di firma che mostrava agli approvatori l'indirizzo di destinazione corretto mentre alterava la logica sottostante del wallet. Zhou ha dichiarato all'epoca che il exchange era rimasto solvibile e in grado di coprire la perdita.

Ad aprile, Zhou ha riferito che circa il 69% dei proventi rimaneva tracciabile, il 28% era diventato irrintracciabile e il 4% era stato congelato. La maggior parte dell'Ethereum rubato era stata convertita in Bitcoin tramite Thorchain e instradata attraverso mixer tra cui Wasabi, Tornado Cash e Railgun. Gli scambi cross-chain tramite protocolli decentralizzati e i mixer per la privacy sono diventati un percorso di riciclaggio standard per le criptovalute rubate, frammentando i fondi su più blockchain e rendendo il recupero dipendente dalla cooperazione di piattaforme distribuite in diverse giurisdizioni.

A giugno, le autorità greche hanno rintracciato una parte dei fondi fino a un wallet su un exchange nazionale e hanno emesso un ordine di sequestro.

Cooperazione in corso

Bybit ha dichiarato che la causa civile procede parallelamente alle indagini penali e che continua a condividere intelligence blockchain con agenzie tra cui l'FBI. Il exchange ha citato la chiusura dell'exchange eXch da parte della Germania e l'interruzione di Cryptomixer.io da parte delle autorità tedesche e svizzere come prova di tale cooperazione.

Citare in giudizio una nazione sovrana in un tribunale federale degli Stati Uniti per furto di criptovalute è inconsueto, sebbene la designazione della DPRK come Stato sponsor del terrorismo crei una via legale per tali rivendicazioni in base a determinate leggi statunitensi.

I procedimenti sono in corso.