Bybit złożył pozew cywilny w amerykańskim sądzie przeciwko Korei Północnej i grupie Lazarus w związku z kradzieżą 1,5 miliarda dolarów w kryptowalutach z lutego 2025 roku. Giełda uzyskała już nakaz wstępny zamrażający skradzione środki, które śledczy nadal mogą namierzyć. Kradzież, której celem był zimny portfel Ethereum Bybit, to największa kradzież kryptowalut w historii, przewyższająca 620 milionów dolarów skradzionych z sieci Ronin Network w 2022 roku — incydent również przypisywany północnokoreańskim hakerom.

Szczegóły pozwu

Pozew został wniesiony do Sądu Okręgowego Stanów Zjednoczonych dla Dystryktu Kolumbii i jako pozwanych wskazuje Koreańską Republikę Ludowo-Demokratyczną, jej Biuro ds. Zwiadu oraz grupę Lazarus, zgodnie z oświadczeniem prasowym Bybit. Nienazwane osoby i podmioty posiadające lub przemieszczające skradzione środki zostały również wskazane jako pozwani typu John Doe.

Pozwanie sankcjonowanego państwa takiego jak Korea Północna rodzi wyzwania egzekucyjne, ponieważ nie istnieje mechanizm wymuszenia stosowania się do jakiegokolwiek wyroku. Bybit poradził sobie z tym problemem, włączając anonimowych posiadaczy portfeli i pośredników jako pozwanych, co stworzyło ścieżkę prawną umożliwiającą ich identyfikację i odzyskanie możliwych do wyśledzenia aktywów. Grupa Lazarus, północnokoreańska jednostka hakerska sponsorowana przez państwo i wyznaczona przez Biuro Kontroli Zagranicznych Aktywów Departamentu Skarbu USA, została powiązana z serią dużych kradzieży kryptowalut w ostatnich latach, a Organizacja Narodów Zjednoczonych zgłosiła, że Pjongjang wykorzystuje skradzione aktywa cyfrowe do finansowania swoich programów broni masowego rażenia.

Bybit oświadczył, że sąd uznał, iż „Bybit wykazał prawdopodobieństwo sukcesu w sprawie merytorycznej". Sąd określił również ten incydent jako „jedną z największych kradzieży kryptowalut w historii" przy udzielaniu tymczasowego nakazu sądowego.

Ben Zhou, współzałożyciel i CEO Bybit, określił incydent jako problem całej branży, oświadczając: „Atak grupy Lazarus nie był tylko atakiem na Bybit. Był to atak na zaufanie do naszej branży." Dodał, że giełda współpracowała „ze śledczymi, giełdami, regulatorami, organami ścigania, a teraz również z sądami."

Wysiłki na rzecz odzyskania środków

Według Bybit odzyskano około 48,4 miliona dolarów w skradzionych aktywach, a dodatkowe 30,5 miliona dolarów zostało zamrożone w ponad 28 giełdach i instytucjach powierniczych w oczekiwaniu na dalsze działania. Giełda przyznała, że kwoty te stanowią niewielką część z ogólnej sumy skradzionych 1,5 miliarda dolarów.

W swoim wniosku z czerwca Bybit zgłosił, że 90,2% skradzionych aktywów przepadło po wypraniu za pośrednictwem mikserów, mostów międzyłańcuchowych i dealerów transakcji pozagiełdowych. Tylko 9,8% zostało wyśledzonych do zidentyfikowanych portfeli, przy czym w tym czasie zamrożono lub odzyskano około 75,5 miliona dolarów. Zhou wcześniej oświadczył, że blisko 69% środków nadal było możliwych do wyśledzenia, jednak kolejne wnioski wskazują, że okno odzyskiwania szybko się zamyka. Szybkość, z jaką środki zostały rozproszone, odzwierciedla taktykę udokumentowaną przez firmy zajmujące się analityką blockchain, które śledziły rosnące wykorzystanie zautomatyzowanych rurociągów prania pieniędzy przez północnokoreańskich operatorów w celu zacierania śladów środków w ciągu kilku dni od włamania.

Infrastruktura prania pieniędzy i oś czasu prawnej

Pozew stanowi ukoronowanie długotrwałych działań prawnych. Zgodnie z odtajnionymi aktami sądowymi, Bybit początkowo złożył wniosek pod pieczęcią 18 czerwca, uzyskał tymczasowy nakaz sądowy i przyspieszone postępowanie dowodowe 19 czerwca, odnowienie nakazu 16 lipca oraz częściowy nakaz wstępny 30 lipca.

Pozew domaga się zwrotu skradzionych środków wraz z odszkodowaniem karnym i potrójnym odszkodowaniem na podstawie amerykańskiej ustawy o Wpływie i Przekupstwie Zorganizowanym (RICO). Zastosowanie RICO, ustawy powszechnie kojarzonej z postępowaniami karnymi przeciwko zorganizowanej przestępczości, sygnalizuje rozszerzenie instrumentarium prawnego w dochodzeniu kradzieży kryptowalut sponsorowanych przez państwo, gdzie samo egzekwowanie prawa karnego często okazywało się niewystarczające.

Część odzyskanych środków wynikła z działań organów ścigania wymierzonych w infrastrukturę prania pieniędzy. Bybit przypisał niemieckim władzom zlikwidowanie giełdy eXch, a niemieckim i szwajcarskim władzom zakłócenie działalności serwisu Cryptomixer.io — obu wykorzystywanych do przemieszczania nielegalnych zysków. eXch był oskarżany o umożliwienie hakerom wymiany skradzionych środków na gotówkę, przy czym ponad 90 milionów dolarów przepłynęło przez tę platformę w tygodniach po włamaniu.

FBI publicznie przypisało kradzież z Bybit Korei Północnej 26 lutego 2025 roku, oznaczając tę działalność etykietą „TraderTraitor" i ostrzegając, że sprawcy konwertowali skradziony Ether na Bitcoin na tysiącach adresów.

Bybit oświadczył, że jego sprawa cywilna toczy się równolegle z trwającymi śledztwami karnymi i że nadal dzieli się wywiadem blockchainowym z agencjami, w tym z FBI.