Bybit pozywa Koreę Północną i Lazarus po kradzieży 1,46 mld USD

Giełda kryptowalut Bybit wniosła pozew cywilny przeciwko Korei Północnej, jej agencji wywiadowczej i grupie hakerskiej Lazarus do federalnego sądu Okręgu Kolumbii. Pozew dotyczy włamania z 21 lutego 2025 roku, w którym skradziono około 401 346 ETH, wycenianych wtedy na około 1,46 mld USD.

W pozwie zgłoszono wniosek o wstępny nakaz sądowy, który ma uniemożliwić przenoszenie i rozpraszanie zidentyfikowanych skradzionych aktywów. Sąd uwzględnił wniosek i uznał, że Bybit wykazała prawdopodobieństwo powodzenia co do istoty roszczenia. W orzeczeniu incydent opisano jako jedną z największych kradzieży kryptowalut.

Bybit podała, że bezpośrednio odzyskała około 48,4 mln USD, a kolejne 30,5 mln USD pozostaje zamrożone na ponad 28 giełdach i u kustodianów. Łączna kwota już odzyskana lub zamrożona wynosi około 78,9 mln USD.

Analitycy on-chain przypisali atak grupie Lazarus powiązanej z Koreą Północną. Według dochodzenia hakerzy wykorzystali lukę w konfiguracji infrastruktury chmurowej AWS, co umożliwiło przejęcie środków na portfelach giełdy.

Po kradzieży sprawcy szybko przenosili Ethereum między wieloma adresami i dokonywali konwersji aktywów za pomocą usług mających utrudniać śledzenie. Na 4 marca 2025 roku szacowano, że Lazarus wyprał około 499 000 ETH o wartości blisko 1,39 mld USD. W wielu operacjach udział miała platforma THORChain, która uzyskała około 5,5 mln USD prowizji.

Bybit informuje o współpracy z innymi giełdami, analitykami blockchain, kustodianami i organami ścigania, w tym FBI. Firma przekazywała organy ścigania analizy przepływów i wyniki własnego dochodzenia. Pozew cywilny jest prowadzony niezależnie od równoległych postępowań karnych prowadzonych przez amerykańskie służby.

W oświadczeniu współzałożyciela i CEO Bena Zhou podkreślono, że priorytetem była ochrona użytkowników i odzyskanie możliwie największej liczby skradzionych środków. W komunikacie wskazano także, że atak naruszył zaufanie do branży kryptowalutowej.

Sektor prywatny i organy ścigania zablokowały część infrastruktury używanej do prania skradzionych funduszy. Niemieckie służby zlikwidowały giełdę eXch, a działania niemieckich i szwajcarskich organów doprowadziły do wstrzymania działalności platformy Cryptomixer.io.

Bybit podała, że w śledzeniu przepływów wykryto użycie usług mieszających i platform DeFi, w tym Wasabi, Tornado Cash i THORChain. Firma zapowiada dalsze inwestycje w analitykę blockchain oraz kontynuację współpracy z giełdami, regulatorami i organami ścigania.

W pozwie Bybit domaga się pociągnięcia sprawców do odpowiedzialności i odzyskania wartości utraconych aktywów. Sprawa pozostaje w toku, a organy ścigania prowadzą równoległe dochodzenia wobec podejrzanych kanałów prania i operatorów usług używanych do ukrywania pochodzenia środków.