Cryptobeurs Bybit heeft een civiele rechtszaak aangespannen tegen de Democratische Volksrepubliek Korea (DPRK), diens Reconnaissance General Bureau en de Lazarus Groep bij de U.S. District Court for the District of Columbia over de diefstal van 1,5 miljard dollar bij de beurs in februari 2025. Niet-geïdentificeerde personen en entiteiten die de gestolen fondsen vasthouden of verplaatsen worden als John Doe-verdachten genoemd.

Een rechter heeft een voorlopige injunction verleend die de overdracht of verduistering van geïdentificeerde gestolen activa verbiedt zolang de zaak loopt, en concludeerde dat Bybit waarschijnlijk in het gelijk wordt gesteld, aldus de beurs op vrijdag. Bij het verlenen van een eerdere tijdelijke bevelschriftbeschikking omschreef de rechtbank de diefstal als een van de grootste die de cryptobranche ooit heeft gezien.

De Lazarus Groep is de aan de staat gelinkte hackorganisatie die door Amerikaanse autoriteiten verantwoordelijk wordt gehouden voor de aanval. De groep wordt in verband gebracht met een reeks grote cryptoberovingen, waaronder de inbreuk op het Ronin Network van 620 miljoen dollar in 2022, en rapporten van het Deskundigenpanel van de Verenigde Naties hebben de groeiende afhankelijkheid van Pyongyang van cryptodiefstal gedocumenteerd om internationale sancties te omzeilen en wapenprogramma's te financieren.

"Het was een aanval op het vertrouwen in onze branche," zei Bybit-medoprichter en CEO Ben Zhou in een verklaring op donderdag, eraan toevoegend dat de beurs had samengewerkt met onderzoekers, exchanges, toezichthouders en opsporingsdiensten voordat zij naar de rechtbank stapte.

Bybit meldde dat ongeveer 48,4 miljoen dollar is teruggehaald en ongeveer 30,5 miljoen dollar is bevroren bij meer dan 28 exchanges en bewaarders, samen ongeveer 5% van het totale gestolen bedrag.

Hoe de aanval verliep

Aanvallers sluisden ongeveer 500.000 ETH weg uit een cold wallet van Bybit in februari 2025 nadat zij een handtekeninginterface hadden gemanipuleerd die aan goedkeurders het juiste bestemmingsadres toonde terwijl de onderliggende logica van de wallet werd gewijzigd. Zhou zei destijds dat de beurs solvabel bleef en het verlies kon dekken.

In april rapporteerde Zhou dat ongeveer 69% van de opbrengst nog traceerbaar was, 28% onzichtbaar was geworden en 4% was bevroren. Het grootste deel van het gestolen Ethereum was via Thorchain omgezet naar Bitcoin en geleid door mixers waaronder Wasabi, Tornado Cash en Railgun. Cross-chain swaps via gedecentraliseerde protocollen en privacy-mixers zijn een standaard witwasroute voor gestolen crypto geworden, waarbij fondsen over meerdere blockchains worden verspreid, waardoor terugwinning afhankelijk is van samenwerking tussen venues verspreid over verschillende rechtsgebieden.

In juni traceerden Griekse autoriteiten een deel van de fondsen naar een wallet op een binnenlandse exchange en vaardigden een inbeslagnamebevel uit.

Voortdurende samenwerking

Bybit zei dat de civiele zaak parallel loopt aan strafrechtelijke onderzoeken en dat de beurs blijft delen met instanties waaronder de FBI. De beels wees op de onthulling van de eXch-exchange door Duitsland en de verstorende actie tegen Cryptomixer.io door Duitse en Zwitserse autoriteiten als bewijs van die samenwerking.

Het aanspannen van een rechtszaak tegen een soevereine staat in een Amerikaanse federale rechtbank wegens cryptodiefstal is ongebruikelijk, hoewel de aanwijzing van de DPRK als staatssteunpilaar van terreur een juridische weg opent voor dergelijke vorderingen onder bepaalde Amerikaanse wetten.

De procedures zijn lopende.