Юридическая реакция Bybit на взлом в феврале 2025 года перешла в федеральный суд США, открыв дополнительный путь для возврата активов. Криптовалютная биржа подала гражданский иск против Корейской Народно-Демократической Республики (КНДР), её Главного разведывательного управления и группы Lazarus в Окружном суде США по округу Колумбия. Федеральный судья вынес предварительный судебный запрет в отношении выявленных похищенных активов, связанных с неустановленными ответчиками, блокируя переводы, продажи или иное распоряжение средствами на время судебного разбирательства.

Bybit сообщает, что восстановила приблизительно 48,4 млн долларов, связанных со взломом, и заморозила ещё 30,5 млн долларов на более чем 28 биржах и у хранителей. Совокупная сумма в размере примерно 78,9 млн долларов составляет лишь малую часть первоначального ущерба в 1,5 млрд долларов. Большая часть похищенной криптовалюты по-прежнему находится в процессе активного отслеживания.

Генеральный директор Bybit Бэн Чжоу (Ben Zhou) сообщил о развитии ситуации на платформе X:

Since the Lazarus attack in February 2025, Bybit has been working on recovery from every possible angle. Today, we took another step forward. Bybit has filed a civil lawsuit against the DPRK and the Lazarus Group, and secured a preliminary injunction freezing identified stolen… — Ben Zhou (@benbybit) August 8, 2026

Федеральный иск нацелен на КНДР, Главное разведывательное управление и группу Lazarus

В исковом заявлении в качестве ответчиков указаны КНДР, Главное разведывательное управление и группа Lazarus, а также неустановленные лица и организации, обвиняемые в хранении или перемещении похищенной криптовалюты. Цель иска — сохранить подлежащие возврату цифровые активы, пока Bybit отстаивает свои требования в рамках федерального гражданского процесса. Подача иска против иностранного государства в суде США требует преодоления доктрин государственного иммунитета, хотя существующие санкции США против КНДР, Главного разведывательного управления и группы Lazarus могут повлиять на юрисдикционную основу.

Предварительный судебный запрет распространяется на выявленные активы, связанные с неустановленными, или так называемыми John Doe, ответчиками. Bybit заявляет, что этот запрет предотвращает переводы или распоряжение средствами, пока дело рассматривается. Суд также установил, что на данном этапе биржа продемонстрировала вероятность успеха по существу дела, однако запрет не определяет окончательного права собственности и не завершает процесс возврата активов.

Взлом Bybit произошёл 21 февраля 2025 года, когда злоумышленники скомпрометировали пользовательский интерфейс кошелька Safe (ранее Gnosis Safe), используемого для холодного хранения Ethereum биржи Bybit, заставив подписантов одобрить транзакцию, перенаправившую около 1,5 млрд долларов в ether на подконтрольные злоумышленникам адреса. Chainalysis охарактеризовала этот инцидент как крупнейшее цифровое ограбление в истории криптовалют.

Bybit подчеркнула, что гражданский иск не заменяет уголовные расследования, проводимые властями США. Биржа продолжает передавать блокчейн-разведданные и результаты расследования таким ведомствам, как ФБР, а также сотрудничает с аналитическими фирмами, биржами, хранителями и международными правоохранительными партнёрами.

Хищения криптовалюты северокорейскими хакерами достигли 2,02 млрд долларов в 2025 году

По оценкам Chainalysis, северокорейские хакеры похитили не менее 2,02 млрд долларов в криптовалюте за 2025 год, что на 51% больше по сравнению с 2024 годом. Это увеличило предполагаемый совокупный объём хищений группы до 6,75 млрд долларов. Взлом Bybit составил большую часть этого годового показателя. Эта тенденция подчёркивает, как спонсируемые государством субъекты всё чаще нацеливаются на централизованные биржи и кросс-чейн-мосты в качестве основных векторов атак, причём к ранее известным крупным инцидентам относятся взлом сети Ronin и эксплойт моста Harmony.

Группа Lazarus использовала несколько маршрутов отмывания после крупных краж криптовалют. Chainalysis задокументировала мосты-сервисы, протоколы-миксеры и транзакции мелкими траншами как характерные черты северокорейских схем отмывания. Эти методы распределяют похищенную криптовалюту по множеству адресов и сетей, усложняя её возврат.

Правоохранительные меры нацелены на инфраструктуру отмывания

Bybit отмечает, что правоохранительные меры также были направлены против сервисов, предположительно используемых для перемещения незаконно полученных средств. Германские власти ликвидировали криптовалютную биржу eXch, а германские и швейцарские власти впоследствии пресекли деятельность Cryptomixer.io. Bybit связывает эти действия с более широкими усилиями по борьбе с инфраструктурой отмывания, связанной с похищенными средствами. Эти меры отражают растущую тенденцию правоохранительных органов к нацеливанию на посреднические сервисы, а не на отдельные адреса кошельков, что демонстрируют санкции и отключения таких миксеров, как Tornado Cash.

Заморозка похищенной криптовалюты не означает её автоматического возврата бирже. Следователям необходимо идентифицировать активы, установить связь с хищением и координировать действия с платформами, на которых хранятся средства. Судебные приказы могут ограничить перемещение средств, пока вопросы владения и возврата решаются через правовые каналы.

Bybit заявляет, что будет добиваться дополнительных судебных мер по мере развития дела, включая дальнейшие ходатайства в отношении активов, уже выявленных в результате работы по отслеживанию. Предварительный судебный запрет в настоящее время охватывает выявленные активы, удерживаемые или перемещаемые ответчиками John Doe, указанными в иске. Bybit продолжает отслеживать кошельки, транзакции, биржи, хранителей и сервисы, связанные с похищенной криптовалютой, пока федеральный суд рассматривает дело.