Bybit zyskuje poparcie amerykańskiego sądu w śledzeniu kradzieży 1,5 miliarda dolarów, gdy większość skradzionych środków staje się nie do wyśledzenia

Bybit uzyskał poparcie amerykańskiego sądu w celu dochodzenia informacji, które mogą pomóc w wyśledzeniu kryptowalut skradzionych podczas kradzieży o wartości 1,5 miliarda dolarów na giełdzie. Daje to firmie kolejne narzędzie prawne w jej wysiłkach na rzecz odzyskania aktywów powiązanych z tym masowym cyberatakiem.

Rozwój sytuacji następuje ponad rok po ataku z lutego 2025 roku, który skutkował jedną z największych kradzieży kryptowalut w historii. Skala kradzieży z Bybit przewyższyła poprzednie poważne incydenty w branży, w tym atak na Ronin Network z 2022 roku powiązany z Axie Infinity, w którym skradziono około 625 milionów dolarów, oraz atak na Poly Network z 2021 roku, który obejmował około 611 milionów dolarów, zanim środki zostały ostatecznie zwrócone. Zgodnie z najnowszymi raportami około 90% skradzionych środków stało się teraz trudnych lub niemożliwych do wyśledzenia po przepuszczeniu ich przez złożoną sieć adresów blockchain i transakcji.

Działanie sądowe może pozwolić Bybit na pozyskiwanie informacji od platform z siedzibą w Stanach Zjednoczonych, które mogły mieć kontakt ze skradzionymi aktywami, potencjalnie dostarczając śledczym dodatkowych wskazówek dotyczących tego, gdzie przemieściły się niektóre środki i czy jakakolwiek część może zostać nadal zamrożona lub odzyskana.

Sprawa uwypukla zarówno przejrzystość, jak i ograniczenia technologii blockchain. Podczas gdy transakcje kryptowalutowe są trwale zapisywane w publicznych księgach, zaawansowane strategie prania pieniędzy mogą sprawić, że powiązanie adresów blockchain z rzeczywistymi osobami lub organizacjami jest niezwykle trudne.

Federalne Biuro Śledcze (FBI) wcześniej przypisało kradzież z Bybit Korei Północnej, identyfikując tę działalność jako część tego, co nazywa kampanią TraderTraitor. Agencja oświadczyła, że atakujący szybko przekształcili i rozproszyli skradzione aktywa na tysiące adresów i wiele sieci blockchain.

Źródło: X Post

Kradzież 1,5 miliarda dolarów z Bybit pozostaje ważną sprawą w dziedzinie bezpieczeństwa kryptowalut

Atak na Bybit z lutego 2025 roku wstrząsnął branżą kryptowalut ze względu na samą skalę kradzieży. Bybit poinformował, że skompromitowano pojedynczy portfel zimny (cold wallet) na Ethereum podczas tego, co miało być rutynowym transferem. Giełda później szczegółowo opisała, że z portfela zabrano aktywa o wartości około 1,46 miliarda dolarów, w tym ETH i kilka tokenów płynnego stakingu opartych na Ethereum.

Skradzione aktywa zostały szybko przeniesione z oryginalnych adresów — szybkość, która stała się jedną z definiujących cech incydentu. Śledczy śledzący skradzione środki zmierzyli się z nieustannie zmieniającą się siecią portfeli, gdy atakujący przemieszczali aktywa między adresami i sieciami blockchain. Po wykonaniu transferu kryptowaluty sama transakcja pozostaje widoczna w łańcuchu (on-chain), ale zidentyfikowanie tego, kto kontroluje dany adres, stanowi odrębne wyzwanie.

Nakaz amerykańskiego sądu otwiera śledczym inną drogę

Najnowszy rozwój sytuacji sądowej jest istotny, ponieważ sama analiza blockchain nie zawsze może dostarczyć wystarczających informacji do zidentyfikowania osób stojących za portfelem. Proces prawny poparty przez sąd może potencjalnie dać Bybit dostęp do informacji znajdujących się w posiadaniu firm działających na terytorium Stanów Zjednoczonych, w tym dokumentacji kont, historii transakcji lub innych danych, które mogą pomóc śledczym powiązać adresy blockchain z konkretnymi usługami lub podmiotami.

Celem niekoniecznie jest odzyskanie całych 1,5 miliarda dolarów. Zamiast tego śledczy próbują zidentyfikować tę część skradzionych środków, która może być nadal dostępna. Nawet stosunkowo niewielkie odzyskanie może dostarczyć cennych dowodów na temat sieci prania pieniędzy i podmiotów, które miały kontakt ze skradzionymi aktywami.

Około 90% środków jest rzekomo nie do wyśledzenia

Największą przeszkodą, z jaką mierzy się Bybit, jest szybkość, z jaką skradzione aktywa zostały przemieszczone. Najnowsze raporty wskazują, że około 90% skradzionej kryptowaluty stało się nie do wyśledzenia. Nie oznacza to koniecznie, że aktywa zniknęły z blockchain — śledczy nie mogą już jednak wiarygodnie ustalić, gdzie środki są kontrolowane ani jak łączą się z oryginalną kradzieżą.

Aktywa mogły przejść przez liczne portfele, usługi zdecentralizowane, mosty międzyłańcuchowe (cross-chain bridges) i inne mechanizmy zaprojektowane w celu utrudnienia śledzenia historii transakcji. Biuro Kontroli Zagranicznych Aktywów (OFAC) Departamentu Skarbu Stanów Zjednoczonych wcześniej nałożyło w 2022 roku sankcje na usługę mikserowania kryptowalut Tornado Cash za jej rolę w praniu nielegalnych środków, w tym funduszy skradzionych przez północnokoreańskich aktorów. Takie narzędzia tworzą znaczącą różnicę między zobaczeniem transakcji a jej zrozumieniem. Zapisy blockchain mogą pokazać, że środki się przemieściły, ale nie ujawniają automatycznie, kto kontroluje każdy zaangażowany adres.

Korea Północna i powiązania z grupą Lazarus

Rząd Stanów Zjednoczonych formalnie przypisał kradzież z Bybit Korei Północnej. W lutym 2025 roku FBI oświadczyło, że północnokoreańscy aktorzy byli odpowiedzialni za kradzież około 1,5 miliarda dolarów w wirtualnych aktywach z Bybit. Agencja określiła tę działalność mianem TraderTraitor i ostrzegła, że skradzione aktywa są szybko przekształcane i rozpraszane. FBI dodało również, że atakujący będą prawdopodobnie kontynuować pranie aktywów i ostatecznie przekształcą część z nich w walutę fiducjarną (fiat).

Badacze ds. bezpieczeństwa i śledczy blockchain powiązali atak z grupą Lazarus — operacją hakerską powszechnie kojarzoną z Koreą Północną. Lazarus został powiązany z wieloma kradzieżami kryptowalut i innymi operacjami cybernetycznymi na przestrzeni lat. Sam Bybit wcześniej opisał skradzione środki jako powiązane z działalnością przypisywaną grupie Lazarus i uruchomił inicjatywy mające na celu śledzenie i odzyskiwanie aktywów.

Raporty panelu Organizacji Narodów Zjednoczonych oszacowały, że Korea Północna wygenerowała miliardy dolarów przychodów z kradzieży kryptowalut na przestrzeni kilku lat, przy czym środki te rzekomo zostały wykorzystane na wsparcie programów zbrojeniowych kraju. Incydent z Bybit zademonstrował skalę, jakiej mogą osiągnąć takie operacje. Kradzież przekraczająca 1 miliard dolarów to nie tylko incydent bezpieczeństwa kryptowalut — ma implikacje dla sankcji międzynarodowych, śledztw w sprawie cyberprzestępczości i bezpieczeństwa narodowego.

Dlaczego śledzenie kryptowalut pozostaje trudne

Kryptowaluty są często opisywane jako przejrzyste, ponieważ transakcje są publicznie rejestrowane. Opis ten jest technicznie poprawny, ale niepełny. W publicznym blockchainie śledczy mogą widzieć transakcje między adresami, ale wyzwaniem jest ustalenie, kto jest właścicielem tych adresów.

Jeśli skradzione aktywa pozostają w jednym portfelu, śledczy mogą być w stanie je monitorować. Sytuacja staje się znacznie bardziej skomplikowana, gdy fundusze są dzielone na setki lub tysiące adresów, a złożoność rośnie jeszcze bardziej, gdy aktywa przemieszczają się między różnymi sieciami blockchain. Śledczy muszą wtedy zrekonstruować wiele historii transakcji i ustalić, czy pozornie niepowiązane adresy są ze sobą połączone.

FBI oświadczyło, że skradzione aktywa zostały przekształcone w Bitcoina i inne wirtualne aktywa oraz rozproszone na wielu blockchainach. Aktywność międzyłańcuchowa może utrudnić śledzenie, ponieważ śledczy muszą podążać za funduszami przez różne sieci o różnych strukturach transakcji. Miksery kryptowalutowe i inne usługi zwiększające prywatność mogą również sprawić, że śledztwa będą bardziej wymagające, ponieważ systemy te są zaprojektowane tak, aby zrywać oczywiste powiązania między wpłatami a wypłatami.

Firmy zajmujące się analityką blockchain, takie jak Chainalysis, TRM Labs i Elliptic, współpracują z organami ścigania w celu śledzenia nielegalnych przepływów kryptowalut, ale zaawansowani aktorzy stale się adaptują. Im szybciej fundusze są rozpraszane, tym trudniej giełdom i śledczym je zamrozić.

Pierwsze godziny po ataku są kluczowe

Jedną z najważniejszych lekcji z incydentu Bybit jest znaczenie szybkości. Gdy duża giełda zostaje zhakowana, śledczy natychmiast rozpoczynają identyfikację adresów atakującego. Giełdy i firmy infrastrukturalne blockchain mogą następnie próbować oflagować lub zamrozić transakcje powiązane z tymi adresami. Okno do interwencji może być niezwykle krótkie — gdy skradzione aktywa wejdą do dużej sieci adresów i usług, ich odzyskanie staje się znacznie trudniejsze.

Bybit twierdzi, że środki klientów pozostały zabezpieczone

Skala kradzieży wzbudziła natychmiastowe obawy o zdolność Bybit do utrzymania płynności. Kierownictwo giełdy oświadczyło wkrótce po incydencie, że aktywa klientów pozostały w pełni zabezpieczone i że firma może pokryć stratę. Zgodnie z własną oś czasu Bybit, CEO giełdy, Ben Zhou, publicznie uspokoił klientów, zapewniając, że giełda pozostała wypłacalna, nawet gdyby skradzionych środków nie dało się odzyskać. Ta reakcja pomogła załagodzić obawy o potencjalny kryzys płynności. Incydent niemniej zademonstrował, jak jeden skompromitowany portfel może stworzyć ogromną ekspozycję finansową.

Portfele zimne i bezpieczeństwo wielopodpisowe stoją przed nowymi wyzwaniami

Atak wywołał pytania dotyczące założeń bezpieczeństwa dotyczących przechowywania w trybie cold storage. Portfele zimne są ogólnie uważane za bezpieczniejsze, ponieważ klucze prywatne są przechowywane z dala od systemów online. Jednak incydent z Bybit zademonstrował, że bezpieczeństwo procesu podpisywania i otaczającej infrastruktury jest równie ważne jak fizyczne przechowywanie kluczy. Zgodnie z relacją Bybit, atakujący wykorzystali proces otaczający portfel wielopodpisowy Safe podczas rutynowej transakcji.

Wiele dużych firm kryptowalutowych korzysta z systemów wielopodpisowych (multisignature), aby zapobiec sytuacji, w której jedna osoba kontroluje fundusze, wymagając wielu zatwierdzeń przed wykonaniem transakcji. Atakujący nie muszą jednakkoniecznie kraść każdego klucza prywatnego — mogą zamiast tego próbować skompromitować interfejs, proces podpisywania lub personel zaangażowany w zatwierdzanie transakcji. Zespoły ds. bezpieczeństwa muszą zatem chronić nie tylko klucze prywatne, ale również otaczające je systemy.

Walka prawna może potrwać

Wysiłki śledcze poparte przez sąd nie gwarantują odzyskania skradzionych środków. Postępowania prawne mogą potrwać, niektóre platformy mogą nie posiadać przydatnych informacji, a inne aktywa mogły już przenieść się poza jurysdykcje, w których amerykańskie sądy mogą łatwo wymusić współpracę. Istnieje również możliwość, że część funduszy została już przekształcona w inne aktywa lub waluty fiducjarne.

Jeśli śledczy zidentyfikują skradzioną kryptowalutę znajdującą się na regulowanej platformie, mogą być w stanie zamrozić te aktywa. Odzyskanie może wtedy zależeć od dodatkowych postępowań prawnych. Zamrożone aktywa nie są automatycznie zwracane poszkodowanemu — sądy i organy ścigania mogą musieć ustalić prawa własności i określić, jak należy postąpić z aktywami, co może potrwać znacznie dłużej niż sama identyfikacja adresu blockchain.

Szersza kampania kradzieży kryptowalut przez Koreę Północną

Kradzież z Bybit wpisuje się w szerszy wzorzec kradzieży kryptowalut przypisywanych północnokoreańskim aktorom. Amerykańskie władze wielokrotnie ostrzegały, że Korea Północna wykorzystuje cyberprzestępczość i kradzież kryptowalut do generowania przychodów. FBI wezwało firmy sektora prywatnego, w tym giełdy, dostawców infrastruktury blockchain i firmy analityczne, do identyfikowania i blokowania transakcji powiązanych z północnokoreańską działalnością prania pieniędzy. Skala tej działalności przekształciła kradzież kryptowalut w kwestię międzynarodowego bezpieczeństwa, a kolejne amerykańskie administracje nakładały sankcje na osoby i podmioty powiązane z północnokoreańskimi operacjami cybernetycznymi.

Znaczenie współpracy między giełdami

Walka z kradzieżą kryptowalut na dużą skalę coraz częściej wymaga współpracy między giełdami. Skradziony aktyw rzadko pozostaje na platformie, z której został zabrany — może trafić na inną giełdę, zdecentralizowany protokół lub inny blockchain. Jeśli firmy będą szybko dzielić się wywiadem, mogą mieć większe szanse na zamrożenie funduszy, zanim znikną w większej sieci prania pieniędzy. Sprawa Bybit zademonstrowała, jak ważna może być taka współpraca.

Przejrzystość blockchain to zarówno siła, jak i słabość

W centrum bezpieczeństwa kryptowalut istnieje ważny paradoks. Blockchainy czynią transakcje widocznymi, ale widoczność niekoniecznie oznacza rozliczalność. Śledczy mogą widzieć, dokąd zmierzają fundusze, nie wiedząc, kto kontroluje każdy adres. Jednocześnie ta trwała historia transakcji może dostarczyć cennych dowodów na długo po ataku. Portfel, który dziś wydaje się nieaktywny, może potencjalnie stać się istotny lata później, jeśli śledczy zidentyfikują jego właściciela lub powiążą go z innym znanym adresem.

Fakt, że około 90% skradzionych aktywów jest rzekomo nie do wyśledzenia, niekoniecznie oznacza, że wysiłki na rzecz odzyskania zostały zakończone. Adresy blockchain nie wygasają, a transakcje pozostają zarejestrowane. Jeśli giełda, dostawca płatności lub inny regulowany podmiot ostatecznie zidentyfikuje jeden ze skradzionych adresów, władze mogą potencjalnie interweniować. Nowe techniki analityczne mogą również pozwolić śledczym na powiązanie transakcji, które wcześniej wydawały się niepowiązane, co oznacza, że proces odzyskiwania może trwać latami.

Co oznacza rozwój sytuacji sądowej dla Bybit

Dla Bybit poparcie amerykańskiego sądu stanowi możliwość rozszerzenia śledztwa poza analizę blockchain. Dostęp do informacji od firm z siedzibą w USA może potencjalnie pomóc w identyfikacji kont i ścieżek transakcyjnych, które trudno ustanowić na podstawie samych publicznych zapisów blockchain. Informacje te mogą również pomóc w ustaleniu, czy dodatkowe skradzione aktywa pozostają możliwe do odzyskania. Proces ten jest jednak mało prawdopodobny, by przyniósł natychmiastowe rozwiązanie, a większość skradzionych środków może już być poza praktycznym możliwościami odzyskania.

Implikacje dla bezpieczeństwa giełd i inwestorów

Sprawa Bybit jest przypomnieniem, że bezpieczeństwo kryptowalut nie jest już niszowym problemem technicznym. Wraz ze wzrostem wartości kryptowalut grupy przestępcze mają większe bodźce do atakowania giełd, depozytariuszy i dostawców infrastruktury. Zespoły ds. bezpieczeństwa muszą bronić się przed phishingiem, złośliwym oprogramowaniem, skompromitowanymi poświadczeniami, zagrożeniami wewnętrznymi i atakami na infrastrukturę transakcyjną. Branża musi kontynuować inwestowanie w silniejszą architekturę portfeli, lepszy monitoring transakcji, ulepszone bezpieczeństwo pracowników oraz szybszą współpracę między firmami.

Sprawa ta ma również znaczenie dla inwestorów w kryptowaluty, którzy trzymają aktywa na scentralizowanych giełdach. Kradzież z Bybit pokazuje, że bezpieczeństwo giełdy pozostaje kluczowym zagadnieniem, nawet gdy firmy stosują zaawansowane systemy powiernicze. Inwestorzy powinni rozumieć różnicę między powiernictwem giełdy a samodzielnym przechowywaniem (self-custody) i rozważyć ryzyko związane z każdym z nich.

Podsumowanie

Bybit zyskał nową drogę prawną w swoim wysiłku na rzecz wyśledzenia kryptowalut skradzionych podczas kradzieży 1,5 miliarda dolarów, jaka dotknęła giełdę w lutym 2025 roku. Proces poparty przez sąd może pozwolić giełdzie na pozyskiwanie informacji od platform z siedzibą w USA, które mogły mieć kontakt ze skradzionymi aktywami, potencjalnie pomagając śledczym zidentyfikować fundusze nadal możliwe do odzyskania.

Rozwój sytuacji następuje, gdy raporty wskazują, że około 90% skradzionych aktywów stało się już nie do wyśledzenia. FBI wcześniej przypisało kradzież północnokoreańskim aktorom i ostrzegło, że skradzione aktywa zostały szybko przekształcone i rozproszone na tysiące adresów i wiele sieci blockchain.

Publiczny charakter transakcji blockchain oznacza, że śledztwo niekoniecznie ma datę ważności. Każdy ruch skradzionych funduszy pozostawia trwały ślad. Jeśli śledczym ostatecznie uda się powiązać te transakcje z możliwymi do zidentyfikowania osobami, firmami lub platformami finansowymi, pewna część aktywów może zostać potencjalnie odzyskana.

Sprawa Bybit ilustruje również szerszą transformację w przestępczości kryptowalutowej. Hakerzy nie kradną już po prostu cyfrowych aktywów — rozwijają coraz bardziej wyrafinowane metody przemieszczania, przekształcania i ukrywania tych aktywów w globalnej sieci finansowej. Dla giełd lekcja jest jasna: ochrona kryptowalut wymaga czegoś więcej niż zabezpieczania kluczy prywatnych; wymaga obrony całego ekosystemu transakcyjnego. Dla organów ścigania sprawa pokazuje, dlaczego analiza blockchain, uprawnienia prawne i współpraca z firmami prywatnymi muszą działać razem.

Kradzież 1,5 miliarda dolarów z Bybit mogła mieć miejsce ponad rok temu, ale śledztwo wciąż dalekie jest od zakończenia.