Bybit krijgt steun van Amerikaanse rechter om hack van $1,5 miljard te traceren terwijl het merendeel van de gestolen fondsen ontraceerbaar wordt

Bybit heeft steun gekregen van een Amerikaanse rechtbank om informatie na te streven die kan helpen bij het traceren van cryptocurrency die is gestolen tijdens de hack van $1,5 miljard van de beurs, waardoor het bedrijf een extra juridisch middel krijgt in zijn poging om activa terug te vinden die verband houden met de omvangrijke cyberaanval.

De ontwikkeling komt meer dan een jaar na de aanval in februari 2025, die resulteerde in een van de grootste cryptocurrency-diefstallen ooit geregistreerd. De omvang van de diefstal bij Bybit overtrof eerdere grote incidenten in de sector, waaronder de Ronin Network-hack in 2022 in verband met Axie Infinity, waarbij ongeveer $625 miljoen werd gestolen, en de Poly Network-aanval in 2021, waarbij ongeveer $611 miljoen betrokken was voordat de fondsen uiteindelijk werden teruggegeven. Volgens de meest recente rapporten is ongeveer 90% van de gestolen fondsen inmiddels moeilijk of onmogelijk te traceren nadat ze via een complex netwerk van blockchain-adressen en transacties zijn verplaatst.

De gerechtelijke actie kan Bybit toestaan informatie op te vragen bij in de VS gevestigde platforms die mogelijk met de gestolen activa in aanraking zijn gekomen, wat onderzoekers mogelijk extra aanwijzingen geeft over waar een deel van de fondsen naartoe is verplaatst en of een gedeelte nog kan worden bevroren of teruggevonden.

De zaak onderstreept zowel de transparantie als de beperkingen van blockchaintechnologie. Hoewel cryptocurrency-transacties permanent worden vastgelegd op openbare grootboeken, kunnen geavanceerde witwasstrategieën het uiterst moeilijk maken om blockchainadressen te koppelen aan personen of organisaties in de echte wereld.

De Federal Bureau of Investigation schreef de diefstal bij Bybit eerder toe aan Noord-Korea en identificeerde de activiteit als onderdeel van wat het de TraderTraitor-campagne noemt. Het bureau zei dat de aanvallers de gestolen activa snel hebben omgezet en verspreid over duizenden adressen en meerdere blockchains.

Bron: X Post

Hack van $1,5 miljard bij Bybit blijft een belangrijke zaak voor cryptobeveiliging

De aanval op Bybit in februari 2025 schokte de cryptosector vanwege de enorme omvang van de diefstal. Bybit zei dat een enkele Ethereum cold wallet was gecompromitteerd tijdens wat een routinematige overboeking had moeten zijn. De beurs lichtte later toe dat ongeveer $1,46 miljard aan activa uit de wallet werd weggenomen, waaronder ETH en verschillende op Ethereum gebaseerde liquid staking tokens.

De gestolen activa werden snel van de oorspronkelijke adressen verplaatst — een snelheid die een van de kenmerkende eigenschappen van het incident werd. Onderzoekers die de gestolen fondsen volgden, kregen te maken met een voortdurend veranderend netwerk van wallets terwijl de aanvallers activa tussen adressen en blockchainnetwerken verplaatsten. Zodra cryptocurrency is overgedragen, blijft de transactie zelf zichtbaar op de blockchain, maar het identificeren van wie een bepaald adres beheert, vormt een afzonderlijke uitdaging.

Rechterlijk bevel in de VS opent een andere route voor onderzoekers

De meest recente gerechtelijke ontwikkeling is belangrijk omdat blockchainanalyse alleen niet altijd voldoende informatie kan bieden om de mensen achter een wallet te identificeren. Een juridisch proces dat door de rechter wordt ondersteund, kan Bybit mogelijk toegang geven tot informatie die wordt bewaard door bedrijven die binnen de Verenigde Staten actief zijn, waaronder accountgegevens, transactiegeschiedenissen of andere data die onderzoekers kunnen helpen blockchainadressen te koppelen aan specifieke diensten of entiteiten.

Het doel is niet noodzakelijk om de volledige $1,5 miljard terug te krijgen. In plaats daarvan proberen onderzoekers welk deel van de gestolen fondsen nog toegankelijk is te identificeren. Zelfs een relatief kleine terugvordering kan waardevol bewijs opleveren over het witwasnetwerk en de entiteiten die met de gestolen activa in aanraking kwamen.

Ongeveer 90% van de fondsen is naar verluidt ontraceerbaar

Het grootste obstakel voor Bybit is de snelheid waarmee de gestolen activa zijn verplaatst. Recente rapporten geven aan dat ongeveer 90% van de gestolen cryptocurrency ontraceerbaar is geworden. Dat betekent niet noodzakelijk dat de activa van de blockchain zijn verdwenen — eerder kunnen onderzoekers niet langer betrouwbaar vaststellen waar de fondsen worden beheerd of hoe ze verband houden met de oorspronkelijke diefstal.

De activa kunnen door talloze wallets, gedecentraliseerde diensten, cross-chain bruggen en andere mechanismen zijn gegaan die zijn ontworpen om transactiegeschiedenissen moeilijker te volgen te maken. Het Office of Foreign Assets Control van het Amerikaanse ministerie van Financiën sanctioneerde in 2022 eerder de cryptocurrency-mixdienst Tornado Cash vanwege zijn rol bij het witwassen van illegale opbrengsten, waaronder fondsen die door Noord-Koreaanse actoren waren gestolen. Zulke middelen maken een groot verschil tussen het zien van een transactie en het begrijpen ervan. Blockchainregistraties kunnen laten zien dat fondsen zijn verplaatst, maar geven niet automatisch prijs wie elk betrokken adres beheert.

Noord-Korea en de connectie met de Lazarus Group

De Amerikaanse overheid heeft de diefstal bij Bybit formeel aan Noord-Korea toegeschreven. In februari 2025 zei de FBI dat Noord-Koreaanse actoren verantwoordelijk waren voor de diefstal van ongeveer $1,5 miljard aan virtuele activa van Bybit. Het bureau verwees naar de activiteit als TraderTraitor en waarschuwde dat de gestolen activa snel werden omgezet en verspreid. De FBI zei ook dat de aanvallers naar verwachting zouden doorgaan met het witwassen van de activa en uiteindelijk een deel ervan zouden omzetten in fiatvaluta.

Beveiligingsonderzoekers en blockchainonderzoekers hebben de aanval gekoppeld aan de Lazarus Group, een hackorganisatie die algemeen wordt geassocieerd met Noord-Korea. Lazarus is in de loop der jaren in verband gebracht met tal van cryptocurrency-diefstallen en andere cyberoperaties. Bybit zelf beschreef de gestolen fondsen eerder als verbonden aan activiteiten die aan Lazarus Group werden toegeschreven en startte initiatieven gericht op het traceren en terugvinden van de activa.

Rapporten van panelen van de Verenigde Naties schatten dat Noord-Korea in de loop van meerdere jaren miljarden dollars aan inkomsten uit cryptocurrency-diefstal heeft gegenereerd, waarbij de fondsen naar verluidt zijn gebruikt ter ondersteuning van het wapenprogramma van het land. Het incident bij Bybit liet zien hoe groot zulke operaties kunnen worden. Een diefstal van meer dan $1 miljard is niet alleen een incident op het gebied van cryptobeveiliging — het heeft gevolgen voor internationale sancties, cybercriminaliteitsonderzoeken en nationale veiligheid.

Waarom crypto traceren nog steeds moeilijk is

Cryptocurrency wordt vaak beschreven als transparant omdat transacties openbaar worden vastgelegd. Die beschrijving is technisch juist, maar onvolledig. Op een openbare blockchain kunnen onderzoekers transacties tussen adressen zien, maar de uitdaging is te bepalen wie die adressen bezit.

Als gestolen activa in één wallet blijven, kunnen onderzoekers ze mogelijk volgen. De situatie wordt veel ingewikkelder wanneer fondsen worden verdeeld over honderden of duizenden adressen, en de complexiteit neemt verder toe wanneer activa tussen verschillende blockchainnetwerken bewegen. Onderzoekers moeten dan meerdere transactiegeschiedenissen reconstrueren en bepalen of ogenschijnlijk niet-gerelateerde adressen met elkaar verbonden zijn.

De FBI zei dat de gestolen activa werden omgezet in Bitcoin en andere virtuele activa en verspreid over meerdere blockchains. Cross-chain activiteit kan het traceren moeilijker maken omdat onderzoekers fondsen moeten volgen door verschillende netwerken met verschillende transactiestructuren. Cryptocurrency-mixers en andere privacyverhogende diensten kunnen onderzoeken ook bemoeilijken, omdat deze systemen zijn ontworpen om duidelijke verbanden tussen stortingen en opnames te verbreken.

Blockchainanalysebedrijven zoals Chainalysis, TRM Labs en Elliptic werken samen met wetshandhavingsinstanties om illegale cryptocurrencystromen te traceren, maar geavanceerde actoren blijven zich aanpassen. Hoe sneller fondsen worden verspreid, hoe moeilijker het wordt voor beurzen en onderzoekers om ze te bevriezen.

De eerste uren na een hack zijn cruciaal

Een van de belangrijkste lessen uit het Bybit-incident is het belang van snelheid. Wanneer een grote beurs wordt gehackt, beginnen onderzoekers onmiddellijk met het identificeren van de adressen van de aanvaller. Beurzen en bedrijven in blockchaininfrastructuur kunnen vervolgens proberen transacties die aan die adressen zijn gekoppeld te markeren of te bevriezen. Het venster voor interventie kan extreem kort zijn — zodra gestolen activa in een groot netwerk van adressen en diensten terechtkomen, wordt terugvordering aanzienlijk moeilijker.

Bybit zegt dat klantfondsen volledig gedekt bleven

De omvang van de hack riep direct zorgen op over het vermogen van Bybit om solvabel te blijven. De leiding van de beurs zei kort na het incident dat klantactiva volledig gedekt bleven en dat het bedrijf het verlies kon opvangen. De eigen tijdlijn van Bybit vermeldt dat CEO Ben Zhou klanten publiekelijk geruststelde dat de beurs solvabel bleef, zelfs als de gestolen fondsen niet konden worden teruggevonden. Die reactie hielp zorgen over een mogelijke liquiditeitscrisis te temperen. Het incident liet echter zien hoe één gecompromitteerde wallet enorme financiële blootstelling kan creëren.

Cold wallets en multisignature-beveiliging staan voor nieuwe uitdagingen

De aanval riep vragen op over de beveiligingsaannames rond cold storage. Cold wallets worden doorgaans als veiliger beschouwd omdat privésleutels buiten online systemen worden gehouden. Maar het Bybit-incident liet zien dat de beveiliging van het ondertekeningsproces en de omliggende infrastructuur net zo belangrijk is als de fysieke opslag van de sleutels. Volgens de verklaring van Bybit maakten de aanvallers misbruik van het proces rond een Safe multisignature wallet tijdens een routinematige transactie.

Veel grote cryptobedrijven gebruiken multisignature-systemen om te voorkomen dat één persoon de controle over fondsen heeft, waarbij meerdere goedkeuringen nodig zijn voordat een transactie kan worden uitgevoerd. Aanvallers hoeven echter niet noodzakelijk elke privésleutel te stelen — ze kunnen in plaats daarvan proberen de interface, het ondertekeningsproces of het personeel dat betrokken is bij het goedkeuren van transacties te compromitteren. Beveiligingsteams moeten daarom niet alleen privésleutels beschermen, maar ook de systemen eromheen.

De juridische strijd kan tijd kosten

Het door de rechter gesteunde traceerproces garandeert niet dat gestolen fondsen worden teruggevonden. Juridische procedures kunnen tijd kosten, sommige platforms beschikken mogelijk niet over bruikbare informatie en andere activa kunnen al buiten jurisdicties zijn verplaatst waar Amerikaanse rechtbanken gemakkelijk medewerking kunnen afdwingen. Er bestaat ook de mogelijkheid dat sommige fondsen al zijn omgezet in andere activa of fiatvaluta.

Als onderzoekers gestolen cryptocurrency identificeren die wordt aangehouden door een gereguleerd platform, kunnen zij de activa mogelijk bevriezen. Terugvordering kan dan afhangen van aanvullende juridische procedures. Bevroren activa worden niet automatisch aan het slachtoffer teruggegeven — rechtbanken en wetshandhavingsautoriteiten moeten eigendom vaststellen en bepalen hoe de activa moeten worden behandeld, een proces dat aanzienlijk langer kan duren dan simpelweg een blockchainadres identificeren.

Noord-Korea's bredere campagne van cryptodiefstal

De hack bij Bybit past in een breder patroon van cryptocurrency-diefstal dat aan Noord-Koreaanse actoren wordt toegeschreven. Amerikaanse autoriteiten hebben herhaaldelijk gewaarschuwd dat Noord-Korea cybercriminaliteit en cryptocurrency-diefstal gebruikt om inkomsten te genereren. De FBI heeft bedrijven in de private sector, waaronder beurzen, aanbieders van blockchaininfrastructuur en analysetools, aangemoedigd om transacties die verband houden met Noord-Koreaanse witwasactiviteiten te identificeren en te blokkeren. De omvang van deze activiteiten heeft cryptocurrency-diefstal tot een internationale veiligheidskwestie gemaakt, waarbij opeenvolgende Amerikaanse regeringen sancties hebben opgelegd aan personen en entiteiten die met Noord-Koreaanse cyberoperaties in verband worden gebracht.

Het belang van samenwerking tussen beurzen

De strijd tegen grootschalige cryptocurrency-diefstal vereist steeds vaker samenwerking tussen beurzen. Een gestolen asset blijft zelden op het platform waar het is weggenomen — het kan naar een andere beurs, een gedecentraliseerd protocol of een andere blockchain worden verplaatst. Als bedrijven snel informatie delen, hebben zij mogelijk een betere kans om fondsen te bevriezen voordat ze verdwijnen in een groter witwasnetwerk. De zaak-Bitbit liet zien hoe belangrijk die samenwerking kan zijn.

Blockchaintransparantie is zowel een kracht als een zwakte

Er is een belangrijke paradox in het hart van cryptobeveiliging. Blockchains maken transacties zichtbaar, maar zichtbaarheid is niet noodzakelijk gelijk aan verantwoordingsplicht. Onderzoekers kunnen zien waar fondsen naartoe bewegen zonder te weten wie elk adres beheert. Tegelijkertijd kan die permanente transactiegeschiedenis waardevol bewijsmateriaal opleveren lang nadat een aanval heeft plaatsgevonden. Een wallet die vandaag inactief lijkt, kan jaren later alsnog relevant worden als onderzoekers de eigenaar identificeren of deze koppelen aan een ander bekend adres.

Het feit dat ongeveer 90% van de gestolen activa naar verluidt ontraceerbaar is, betekent niet noodzakelijk dat de terugvorderingsinspanningen zijn beëindigd. Blockchainadressen verlopen niet en transacties blijven geregistreerd. Als een beurs, betalingsprovider of ander gereguleerd bedrijf uiteindelijk een van de gestolen adressen identificeert, kunnen autoriteiten mogelijk ingrijpen. Nieuwe analysetechnieken kunnen onderzoekers ook in staat stellen transacties te koppelen die eerder niet aan elkaar gerelateerd leken, waardoor het terugvorderingsproces jaren kan doorgaan.

Wat de gerechtelijke ontwikkeling betekent voor Bybit

Voor Bybit betekent de steun van de Amerikaanse rechtbank een kans om het onderzoek uit te breiden voorbij blockchainanalyse. Toegang tot informatie van in de VS gevestigde bedrijven kan mogelijk helpen bij het identificeren van accounts en transactiepaden die alleen uit openbare blockchaingegevens moeilijk vast te stellen zijn. De informatie kan ook helpen bepalen of aanvullende gestolen activa nog kunnen worden teruggevorderd. Het proces zal echter waarschijnlijk geen onmiddellijke oplossing opleveren en het merendeel van de gestolen fondsen is mogelijk al praktisch onhaalbaar om terug te krijgen.

Gevolgen voor beursbeveiliging en beleggers

De zaak-Bitbit is een herinnering dat cryptobeveiliging niet langer een niche-technisch onderwerp is. Naarmate de waarde van cryptocurrency stijgt, hebben criminele groepen meer prikkels om beurzen, bewaarders en infrastructuuraanbieders aan te vallen. Beveiligingsteams moeten zich verdedigen tegen phishing, malware, gecompromitteerde inloggegevens, interne dreigingen en aanvallen op transactie-infrastructuur. De sector moet blijven investeren in sterkere walletarchitectuur, betere transitiemonitoring, verbeterde beveiliging van medewerkers en snellere samenwerking tussen bedrijven.

De zaak is ook relevant voor cryptobeleggers die activa aanhouden op gecentraliseerde beurzen. De hack bij Bybit laat zien dat beursbeveiliging een cruciale overweging blijft, zelfs wanneer bedrijven geavanceerde bewaarsystemen gebruiken. Beleggers moeten het verschil begrijpen tussen bewaring via een beurs en self-custody en de risico's van elk afwegen.

Eindvooruitzicht

Bybit heeft een nieuw juridisch pad verkregen in zijn poging om cryptocurrency te traceren die werd gestolen tijdens de hack van $1,5 miljard die de beurs in februari 2025 trof. Het door de rechter gesteunde proces kan de beurs toestaan informatie op te vragen bij in de VS gevestigde platforms die mogelijk met de gestolen activa in aanraking zijn gekomen, wat onderzoekers mogelijk helpt fondsen te identificeren die nog kunnen worden teruggevonden.

De ontwikkeling komt terwijl rapporten aangeven dat ongeveer 90% van de gestolen activa inmiddels ontraceerbaar is geworden. De FBI schreef de diefstal eerder toe aan Noord-Koreaanse actoren en waarschuwde dat de gestolen activa snel werden omgezet en verspreid over duizenden adressen en meerdere blockchains.

Het openbare karakter van blockchaintransacties betekent dat het onderzoek niet noodzakelijk een vervaldatum heeft. Elke verplaatsing van de gestolen fondsen laat een permanent spoor achter. Als onderzoekers die transacties uiteindelijk kunnen koppelen aan identificeerbare personen, bedrijven of financiële platforms, kan een deel van de activa mogelijk worden teruggevonden.

De zaak-Bitbit laat ook een bredere transformatie in cryptomisdaad zien. Hackers stelen niet langer alleen digitale activa — ze ontwikkelen steeds geavanceerdere methoden om die activa te verplaatsen, om te zetten en te verhullen binnen een wereldwijd financieel netwerk. Voor beurzen is de les duidelijk: cryptocurrency beschermen vereist meer dan het beveiligen van privésleutels; het vereist de bescherming van het volledige transactie-ecosysteem. Voor wetshandhaving laat de zaak zien waarom blockchainanalyse, juridische bevoegdheid en samenwerking met particuliere bedrijven samen moeten werken.

De hack van $1,5 miljard bij Bybit vond misschien meer dan een jaar geleden plaats, maar het onderzoek is nog lang niet voorbij.