Hak na kryptowaluty o wartości 1,5 miliarda dolarów stał się modelowym przypadkiem studyjnym pokazującym, dlaczego skradzione aktywa cyfrowe są tak trudne do odzyskania, nawet gdy każda transakcja jest widoczna w publicznym blockchainie. Kradzież — jedna z największych w historii — ujawniła trwałą lukę między śledzeniem środków a ich faktycznym odzyskaniem po opuszczeniu portfela.

Incydent został ujawniony przez giełdę Bybit, która opublikowała bieżące relacje z włamania na swojej oś czasu incydentów bezpieczeństwa. Dyrektor generalny Bybit Ben Zhou osobiście odniósł się do sytuacji przez swoje konto na X, gdzie opisywał reakcję giełdy w miarę rozwoju wydarzeń. Włamanie było skierowane przeciwko zimnemu portfelowi Ethereum giełdy Bybit i zostało następnie przypisane grupie Lazarus z Korei Północnej przez firmy analityczne zajmujące się blockchainem, w tym Chainalysis i TRM Labs, a FBI później wydała własne potwierdzenie — co podkreśla, w jakim stopniu aktorzy sponsorowani przez państwo stali się dominującą siłą stojącą za największymi kradzieżami kryptowalut.

Dlaczego odzyskiwanie skradzionych kryptowalut jest tak trudne

Podstawowym problemem jest to, że transakcje blockchainowe są zazwyczaj nieodwracalne po ich potwierdzeniu. Żaden centralny operator nie może cofnąć przelewu, więc zweryfikowany ruch łańcuchowy pozostaje w mocy niezależnie od tego, w jaki sposób pozyskano środki.

Przejrzystość tego nie rozwiązuje. Analitycy mogą w czasie rzeczywistym obserwować, jak skradzione aktywa przemieszczają się między portfelami i sieciami, ale widoczność nie jest tym samym co kontrola. Śledzenie mówi śledczym, gdzie trafiły pieniądze; odzyskiwanie wymaga kogoś z uprawnieniami do zamrożenia lub zwrotu środków.

To rozróżnienie tłumaczy, dlaczego prędkość ma ogromne znaczenie w pierwszych minutach po włamaniu. Środki mogą zostać podzielone i przemieszczone niemal natychmiast, a im dłużej pozostają w ruchu, tym mniejsze są szanse na pełne odzyskanie. Skala strat w tym przypadku odbija szerszy trend: w 2024 roku haki wyniosły około 1,5 miliarda dolarów, zanim straty w 2025 roku wzrosły jeszcze bardziej. Grupy powiązane z Koreą Północną zostały same powiązane z miliardami dolarów skradzionych kryptowalut w wielu incydentach w ostatnich latach, przy czym wskaźniki odzyskiwania pozostają niskie nawet wtedy, gdy atrybucja jest jednoznaczna.

Jak atakujący zaciemniają skradzione środki

Po skradzeniu aktywów atakujący zazwyczaj starają się zerwać ślad. Metody obejmują wymianę tokenów, przeskakiwanie między portfelami i kierowanie wartości przez mosty i usługi w celu rozdrobnienia ścieżki na wiele mniejszych kroków. W tym przypadku śledczy zaobserwowali, jak atakujący błyskawicznie rozpraszają środki w wielu łańcuchach i zdecentralizowanych usługach — modus operandi spójny z wcześniejszymi operacjami grupy Lazarus.

Ruch międzyłańcuchowy dodaje tarcie każdemu, kto próbuje zareagować. Każda wymiana lub most może wprowadzić opóźnienia dla śledczych oraz dla platform próbujących oflagować lub zamrozić aktywa, zanim się rozproszą.

Giełdy i dostawcy usług mogą czasami zamrozić środki, ale tylko wtedy, gdy aktywa zostaną zidentyfikowane i zgłoszone w odpowiednim czasie. Ponieważ to okno jest wąskie, a trasowanie celowo zagmatwane, częściowe odzyskanie jest znacznie powszechniejsze niż pełny zwrot. Podobne wyzwania śledcze pojawiły się po haku na platformie Drift na Solana o wartości 285 milionów dolarów.

Implikacje dla giełd, użytkowników i regulatorów

Kradzieże tej wielkości nasilają presję na giełdy, depozytariuszy i protokoły w celu zaostrzenia monitorowania i reagowania na incydenty. Gdy pojedyncze włamanie może przenieść dziewięciocyfrowe kwoty w kilka minut, koszt wolnego wykrywania jest ogromny. Incydent na Bybit — w którym atakujący rzekomo manipulowali interfejsem podpisywania, aby ukryć złośliwą transakcję — wywołał również kontrolę przepływów pracy portfeli wielopodpisowych oraz założeń zaufania wbudowanych w procesy zatwierdzania na poziomie sprzętowym.

Dla użytkowników ten epizod podkreśla, że terminy odzyskiwania mogą się wydłużać, nawet gdy środki pozostają możliwe do śledzenia. Własne działania prawne Bybit związane z włamaniem pokazują, jak daleko może posunąć się zaatakowana giełda, aby odzyskać skradzione aktywa po fakcie.

Działania odzyskiwawcze rzadko spoczywają na jednej stronie. Zazwyczaj obejmują giełdy, firmy analityczne zajmujące się łańcuchem oraz organy ścigania pracujące równolegle — często w wielu jurysdykcjach o nierównomiernym egzekwowaniu prawa. Ta złożoność jest częścią powodu, dla którego gigantyczne haki pozostają systemowym problemem dla sektora. Owo ryzyko napędza również zainteresowanie narzędziami prewencyjnymi, takimi jak oprogramowanie bezpieczeństwa na poziomie portfela, w miarę jak straty z oszustw i kradzieży rosną. Przy każdej kolejnej wielkiej kradzieży zdolność branży — lub jej brak — do zamrażania, odzyskiwania i odstraszania jawi się jako otwarte pytanie, które ukształtuje zarówno działania regulacyjne, jak i zaufanie użytkowników w przyszłości.