Bybit подал гражданский иск в суде США против Северной Кореи и группы Lazarus в связи с кражей 1,5 млрд долларов в криптовалюте, совершенной в феврале 2025 года. Биржа уже добилась предварительного судебного запрета, замораживающего похищенные средства, которые следователи все еще могут отследить. Кража, направленная против холодного кошелька Bybit для Ethereum, является крупнейшим ограблением в истории криптовалют, превзойдя 620 млн долларов, похищенных у сети Ronin Network в 2022 году — инцидент, который также был связан с северокорейскими хакерами.

Детали иска

Иск был подан в окружной суд США по округу Колумбия и называет в качестве ответчиков Корейскую Народно-Демократическую Республику, ее Главное разведывательное управление и группу Lazarus, согласно пресс-заявлению Bybit. Неустановленные лица и организации, удерживающие или перемещающие похищенные средства, также указаны как ответчики под именами John Doe.

Подача иска к санкционированному государству, такому как Северная Корея, сопряжена с трудностями исполнения, поскольку не существует механизма принуждения к соблюдению любого судебного решения. Bybit решил эту проблему, включив в число ответчиков анонимных владельцев кошельков и посредников, что создало правовой механизм для их идентификации и возврата отслеживаемых активов. Группа Lazarus — северокорейское подразделение хакеров, спонсируемое государством и включенное в список Управления иностранных активов контроля Министерства финансов США, — была связана с серией крупных криптоограблений в последние годы, а Организация Объединенных Наций сообщала, что Пхеньян использует похищенные цифровые активы для финансирования своих программ по созданию оружия массового поражения.

Bybit заявил, что суд установил: «Bybit продемонстрировал вероятность успеха по существу дела». Суд также охарактеризовал инцидент как «одну из крупнейших краж криптовалют в истории» при вынесении временного ограничительного приказа.

Бен Чжоу, сооснователь и генеральный директор Bybit, охарактеризовал инцидент как проблему, затрагивающую всю отрасль, заявив: «Атака Lazarus была не просто атакой на Bybit. Это была атака на доверие к нашей отрасли». Он добавил, что биржа сотрудничала «со следователями, биржами, регуляторами, правоохранительными органами, а теперь и с судами».

Усилия по возврату средств

По данным Bybit, восстановлено приблизительно 48,4 млн долларов в похищенных активах, и дополнительно 30,5 млн долларов были заморожены на более чем 28 биржах и у кастодианов в ожидании дальнейших действий. Биржа признала, что эти суммы составляют лишь малую долю от общих 1,5 млрд долларов похищенного.

В своем июньском ходатайстве Bybit сообщила, что 90,2% похищенных активов стали недоступны для отслеживания после отмывания через миксеры, кросс-чейн мосты и внебиржевых дилеров. Только 9,8% было отслежено до идентифицируемых кошельков, при этом примерно 75,5 млн долларов были заморожены или восстановлены на тот момент. Ранее Чжоу заявлял, что около 69% средств все еще поддавались отслеживанию, однако последующие документы свидетельствуют о том, что окно для возврата стремительно закрывается. Скорость, с которой средства были распределены, отражает тактику, задокументированную фирмами по анализу блокчейна, которые отслеживали растущее использование северокорейскими операторами автоматизированных каналов отмывания для сокрытия следов средств в течение нескольких дней после взлома.

Инфраструктура отмывания и правовой график

Иск представляет собой кульминацию длительных правовых усилий. Согласно рассекреченным судебным документам, Bybit первоначально подал документы в закрытом режиме 18 июня, получил временный ограничительный приказ и ускоренное обнаружение 19 июня, добился продления приказа 16 июля и получил частичное предварительное судебное решение 30 июля.

Иск требует возврата похищенных средств наряду со штрафными и тройными компенсациями в соответствии с Законом США о рэкете и коррумпированных организациях (RICO). Применение RICO — закона, чаще ассоциирующегося с уголовным преследованием организованной преступности, — свидетельствует о расширении правового инструментария для борьбы с государственными криптокражами в случаях, когда одних лишь мер уголовного преследования оказывается недостаточно.

Часть средств была возвращена благодаря действиям правоохранительных органов, направленным против инфраструктуры отмывания. Bybit выразил благодарность немецким властям за ликвидацию биржи eXch, а также немецким и швейцарским властям за противодействие сервису Cryptomixer.io — оба использовались для перемещения незаконно полученных средств. eXch обвинялся в том, что позволял хакерам обналичивать средства: через платформу было проведено более 90 млн долларов в течение нескольких недель после взлома.

FBI публично возложило ответственность за кражу со Bybit на Северную Корею 26 февраля 2025 года, присвоив этой деятельности обозначение «TraderTraitor» и предупредив, что злоумышленники конвертировали похищенное Ether в Bitcoin через тысячи адресов.

Bybit заявил, что его гражданский иск идет параллельно с текущими уголовными расследованиями и что биржа продолжает делиться данными блокчейн-разведки с ведомствами, включая FBI.