Криптовалютная биржа Bybit подала гражданский иск против Корейской Народно-Демократической Республики (КНДР), её Главного разведывательного бюро и группы Lazarus в Окружном суде США по округу Колумбия в связи с хищением 1,5 млрд долларов у биржи в феврале 2025 года. Неустановленные физические и юридические лица, удерживающие или перемещающие похищенные средства, указаны в иске как ответчики под вымышленными именами John Doe.

Судья вынес предварительный судебный запрет, запрещающий передачу или расходование выявленных похищенных активов на время рассмотрения дела, и установил, что Bybit с высокой вероятностью добьётся успеха по существу своих требований, сообщила биржа в пятницу. При вынесении более раннего временного ограничительного приказа суд охарактеризовал эту кражу как одну из крупнейших в истории криптоиндустрии.

Группа Lazarus — это связанная с государством хакерская организация, которую американские власти обвиняют в данной атаке. Группа причастна к серии крупных криптовалютных краж, включая взлом Ronin Network на 620 млн долларов в 2022 году, а отчёты Группы экспертов ООН задокументировали растущую зависимость Пхеньяна от кражи криптовалют для обхода международных санкций и финансирования программ вооружений.

«Это была атака на доверие к нашей индустрии», — заявил в четверг в своём обращении сооснователь и генеральный директор Bybit Бен Чжоу, добавив, что до обращения в суд биржа сотрудничала со следователями, биржами, регуляторами и правоохранительными органами.

Bybit сообщила, что примерно 48,4 млн долларов было восстановлено и около 30,5 млн долларов заморожено на более чем 28 биржах и у кастодианов, что в совокупности составляет около 5% от общей суммы похищенного.

Как развивалась атака

Злоумышленники вывели примерно 500 000 ETH из холодного кошелька Bybit в феврале 2025 года после манипуляции с интерфейсом подписания, который отображал утверждающим лицам корректный адрес назначения, тогда как базовая логика кошелька была изменена. Чжоу заявил в то время, что биржа оставалась платёжеспособной и могла покрыть убыток.

К апрелю Чжоу сообщил, что около 69% похищенных средств оставались отслеживаемыми, 28% исчезли из поля зрения, а 4% были заморожены. Большая часть похищенного Ethereum была конвертирована в Bitcoin через Thorchain и пропущена через миксеры, включая Wasabi, Tornado Cash и Railgun. Кросс-чейн-обмены через децентрализованные протоколы и приватные миксеры стали стандартным путём отмывания похищенных криптоактивов: средства фрагментируются по множеству блокчейнов, что делает их возврат зависимым от сотрудничества с площадками, разбросанными по разным юрисдикциям.

В июне греческие власти отследили часть средств до кошелька на одной из внутренних бирж и вынесли постановление о конфискации.

Продолжающееся сотрудничество

Bybit сообщила, что гражданское дело рассматривается параллельно с уголовными расследованиями, и что биржа продолжает делиться блокчейн-разведданными с такими ведомствами, как ФБР. Биржа указала на закрытие биржи eXch властями Германии и нейтрализацию Cryptomixer.io немецкими и швейцарскими правоохранительными органами как подтверждение такого сотрудничества.

Подача иска к суверенному государству в федеральный суд США за кражу криптовалюты является нечастой практикой, однако включение КНДР в список государств — спонсоров терроризма создаёт правовую основу для подобных требований в соответствии с определёнными нормами законодательства США.

Разбирательство продолжается.