Bybit heeft een rechtszaak aangespannen tegen Noord-Korea en de Lazarus Group in verband met een cryptocurrencydiefstal van 1,5 miljard dollar, waardoor de grootst bekende hack van een beurs is geëscaleerd tot een formele juridische strijd over aansprakelijkheid en terugvordering van activa. De Lazarus Group is de belangrijkste door de staat gesteunde cyberspionage-eenheid van Noord-Korea, die eerder door de Amerikaanse autoriteiten in verband is gebracht met miljarden dollars aan gestolen cryptocurrency, waaronder de diefstal van 620 miljoen dollar via de Ronin Bridge in 2022.

Volgens CoinDesk heeft Bybit de juridische stappen ingezet op 7 augustus 2026, ongeveer 18 maanden na de inbraak van februari 2025, en inmiddels via de rechter een bevriezing van activa verkregen. De beurs stelt dat Noord-Korea en de Lazarus Group verantwoordelijk waren voor het uitvoeren van de diefstal en probeert nu activa die mogelijk nog bereikbaar zijn, vast te leggen.

Officiële steun van opsporingsinstanties

De beschuldigingen worden aanzienlijk ondersteund door officiële instanties. Een publieke bekendmaking van de FBI gedateerd 26 februari 2025 schreef de diefstal bij Bybit toe aan cyberactoren uit Noord-Korea en publiceerde Ethereum-adressen die in verband stonden met de witwasoperatie. Dit vormt een bevestiging door de opsporingsinstanties die aanzienlijk verder gaat dan de eigen verklaringen van de beurs.

Bybit houdt een openbare tijdlijn van het beveiligingsincident bij waarin de inbraak en de reactie van het bedrijf zijn gedocumenteerd.

Bevindingen van Chainalysis

Chainalysis koppelde de aanval in haar analyse van februari 2025 aan Noord-Korea, waarmee het incident werd vastgesteld als meer dan een routine-inbraak bij een beurs. Het blockchain-analysebedrijf meldde later dat het bevriezen van tegoeden en inspanningen voor inbeslagname van activa een centraal onderdeel van het herstelproces waren geworden, en stelde dat de inspanningen verder gingen dan eenvoudige tracering van transacties en waren verschoven naar het actief veiligstellen van activa voor mogelijke vorderingen.

Internationale en politieke dimensies

De grensoverschrijdende aard van de zaak onderstreept hoe gestolen cryptocurrency via talloze wallets en rechtsgebieden kan bewegen voordat herstelteams kunnen ingrijpen. Wanneer de vermoedelijke dader wordt gesteund door een staat, wordt de beveiliging van beurzen zowel een kwestie van internationale handhaving als van klantenbescherming. Deskundigenpanels van de Verenigde Naties hebben herhaaldelijk gedocumenteerd dat Noord-Korea gestolen cryptocurrency gebruikt om haar wapenprogramma's te financieren, waardoor zaken als die van Bybit deel uitmaken van een breder veiligheidslandschap in plaats van een geïsoleerd incident.

Cryptodiefstal in verband met Noord-Korea heeft bredere politieke aandacht getrokken. Zo is eerder gemeld dat G7-leiders opriepen tot gezamenlijke actie tegen cryptocurrencydiefstal door Noord-Korea.

De juridische stap komt ook terwijl Bybit haar bredere bedrijfsactiviteiten blijft uitbreiden, waaronder het verkrijgen van een Oostenrijkse EMI-vergunning voor EU-betalingen.

Vooruitzichten voor herstel

De waarschuwing van de FBI en de twee rapporten van Chainalysis komen samen in een belangrijke praktische conclusie: vroege tagging van wallets, snelle afstemming tussen beurzen en autoriteiten, en tijdige bevriezing van activa kunnen de herstelkansen aanzienlijk verbeteren, zelfs na een grote diefstal. Het rapport van CoinDesk dat Bybit een gerechtelijk bevel tot bevriezing van activa heeft verkregen, suggereert dat de aandacht is verschoven van het louter identificeren van verdachte wallets naar het veiligstellen van middelen voor mogelijke vorderingen. Het voor de rechter dagen van een natiestaat is een ongebruikelijke juridische strategie, maar het verkrijgen van een bevriezingsbevel creëert een formeel traject voor vorderingen dat van invloed kan zijn op hoe rechtbanken en beurzen in de toekomst omgaan met door staten gesteunde cryptodiefstal.