Bybit heeft een civiele rechtszaak aangespannen bij een Amerikaanse rechtbank tegen Noord-Korea en de Lazarus Group naar aanleiding van de diefstal van 1,5 miljard dollar aan cryptocurrency in februari 2025. De beurs heeft inmiddels een voorlopig verbod verkregen dat gestolen tegoden bevriest die onderzoekers nog kunnen traceren. De diefstal, die was gericht op de Ethereum cold wallet van Bybit, geldt als de grootste crypto-overval aller tijden en overtreft de 620 miljoen dollar die in 2022 bij het Ronin Network werd gestolen, een incident dat eveneens aan Noord-Koreaanse hackers werd toegeschreven.

Details van de klacht

De klacht is ingediend bij de US District Court for the District of Columbia en noemt de Democratische Volksrepubliek Korea, diens Reconnaissance General Bureau en de Lazarus Group als verweerders, aldus de persverklaring van Bybit. Ook niet-geïdentificeerde personen en entiteiten die het gestolen geld vasthouden of verplaatsen worden als John Doe-verweerders genoemd.

Een rechtszaak aanspannen tegen een gesanctioneerde staat als Noord-Korea levert handhavingsproblemen op, aangezien er geen mechanisme is om naleving van een uitspraak af te dwingen. Bybit omzeilde dit door anonieme wallet-houders en tussenpersonen als verweerders op te nemen, waarmee een juridische route wordt gecreëerd om hen te identificeren en traceerbare tegoeden terug te vorderen. De Lazarus Group, een door Noord-Korea gesponsorde hackeenheid die is aangemerkt door de US Treasury's Office of Foreign Assets Control, is in de afgelopen jaren in verband gebracht met een reeks grote crypto-overvallen. De Verenigde Naties hebben gemeld dat Pyongyang gestolen digitale activa gebruikt om haar programma's voor massavernietigingswapens te financieren.

Bybit verklaarde dat de rechtbank oordeelde dat "Bybit aannemelijk heeft gemaakt dat zij in de zaak zal slagen." De rechtbank omschreef het incident ook als "een van de grootste cryptocurrency-diefstallen uit de geschiedenis" bij het verlenen van een tijdelijk bevel.

Ben Zhou, medeoprichter en CEO van Bybit, omschreef het incident als een branchebreed probleem en verklaarde: "De aanval van Lazarus was niet alleen een aanval op Bybit. Het was een aanval op het vertrouwen in onze branche." Hij voegde eraan toe dat de beurs heeft samengewerkt "met onderzoekers, beurzen, toezichthouders, opsporingsdiensten en nu de rechtbanken."

Terughaalinspanningen

Volgens Bybit is er ongeveer 48,4 miljoen dollar aan gestolen activa teruggehaald en is nog eens 30,5 miljoen dollar bevroren bij meer dan 28 beurzen en bewaarders in afwachting van verdere actie. De beurs erkende dat deze bedragen een klein deel vormen van de totale 1,5 miljard dollar die is gestolen.

In haar indiening van juni meldde Bybit dat 90,2% van de gestolen activa onzichtbaar was geworden nadat deze was witgewassen via mixers, cross-chain bridges en over-the-counter-handelaren. Slechts 9,8% kon worden herleid tot identificeerbare wallets, waarbij op dat moment ongeveer 75,5 miljoen dollar was bevroren of teruggehaald. Zhou had eerder gesteld dat bijna 69% van de middelen nog traceerbaar was, maar latere indieningen tonen aan dat het venster voor terughaalkingen snel sluit. De snelheid waarmee de middelen werden verspreid weerspiegelt tactieken die zijn gedocumenteerd door blockchain-analysebureaus, die hebben waargenomen dat Noord-Koreaanse operatoren in toenemende mate gebruikmaken van geautomatiseerde witwaspijplijnen om sporen binnen enkele dagen na een inbraak te wissen.

Witwasinfrastructuur en juridische tijdlijn

De rechtszaak vormt het sluitstuk van een langdurige juridische inspanning. Volgens openbaar gemaakte rechtsdocumenten diende Bybit aanvankelijk onder versiegeling in op 18 juni, verkreeg een tijdelijk bevel en een versneld bewijsrecht op 19 juni, liet het bevel verlengen op 16 juli en kreeg een gedeeltelijk voorlopig verbod op 30 juli.

De klacht eist teruggave van de gestolen tegoden samen met punitieve en driedubbele schadevergoedingen onder de US Racketeer Influenced and Corrupt Organizations Act (RICO). De inzet van RICO, een wet die vaker wordt geassocieerd met vervolging van georganiseerde misdaad, wijst op een uitdijend juridisch instrumentarium voor het vervolgen van door staten gesponsorde crypto-diefstal, waar strafrechtelijke handhaving alleen vaak onvoldoende is gebleken.

Een deel van het teruggehaalde bedrag is het resultaat van opsporingsacties die waren gericht op de witwasinfrastructuur. Bybit schreef het ontmantelen van de beurs eXch toe aan de Duitse autoriteiten en het verstoren van de dienst Cryptomixer.io aan zowel Duitse als Zwitserse autoriteiten. Beide diensten werden gebruikt om illegale opbrengsten te verplaatsen. eXch werd ervan beschuldigd de hackers in staat te stellen hun geld te verzilveren, waarbij in de weken na de inbraak meer dan 90 miljoen dollar door het platform werd geleid.

De FBI schreef de Bybit-diefstal op 26 februari 2025 publiekelijk toe aan Noord-Korea, waarbij de activiteit onder het label "TraderTraitor" werd gebracht en werd gewaarschuwd dat de daders gestolen Ether naar Bitcoin omzetten over duizenden adressen.

Bybit verklaarde dat de civiele zaak parallel loopt aan lopende strafrechtelijke onderzoeken en dat de beurs blijft delen met instanties, waaronder de FBI.