Systemy bezpieczeństwa Bybit zablokowały ponad 700 milionów dolarów potencjalnych strat użytkowników w pierwszej połowie 2026 roku, gdy giełda rozszerzyła monitorowanie blockchain w czasie rzeczywistym i wspomagane przez AI wykrywanie zagrożeń po włamaniu w 2025 roku o wartości 1,46 miliarda dolarów.
Podsumowanie
- Bybit zablokował ponad 30 000 podejrzanych wypłat, zapobiegając stratom użytkowników przekraczającym 700 milionów dolarów w H1 2026.
- Giełda monitoruje obecnie 100% istotnych dla działalności transakcji on-chain i obsłużyła 10 incydentów bezpieczeństwa projektów tokenów bez strat dla platformy.
- Ponad 100 000 alertów bezpieczeństwa zostało przetworzonych z pomocą AI, a zautomatyzowane testy skróciły niektóre cykle oceny bezpieczeństwa z dwóch tygodni do dwóch godzin.
- Bybit podjął również działania prawne przeciwko Korei Północnej i grupie Lazarus w związku z włamaniem o wartości 1,46 miliarda dolarów w lutym 2025 roku.
Raport Bybit dotyczący ryzyka i bezpieczeństwa za H1 2026, obejmujący okres od 1 stycznia do 15 czerwca, poinformował, że giełda działa obecnie na trzech głównych poziomach obrony obejmujących konta użytkowników, ciągłe monitorowanie on-chain i operacje bezpieczeństwa wspierane przez AI, przy czym ludzcy specjaliści zachowują kontrolę nad kluczowymi decyzjami.
Giełda poinformowała, że w tym okresie przechwycono ponad 30 000 podejrzanych wniosków o wypłatę, chroniąc prawie 20 000 użytkowników. Wstępne oceny ryzyka trwały średnio 4,7 minuty, a 95% z nich zostało ukończonych w ciągu 10 minut.
Zespoły bezpieczeństwa zidentyfikowały również około 212 milionów dolarów potencjalnie związanych z oszustwami i umieściły na czarnej liście ponad 10 000 złośliwych adresów blockchain. Bybit poinformował, że analiza behawioralna i monitorowanie wspierane przez AI zostały użyte do wykrywania wzorców transakcji związanych z nowymi kampaniami oszustw.
Giełda odbudowuje swoją architekturę bezpieczeństwa od czasu ataku z 21 lutego 2025 roku, który wypompował około 1,46 miliarda dolarów z jej portfela Ethereum cold wallet. Naruszenie to stało się największą odnotowaną kradzieżą kryptowalut pod względem wartości i zostało później przypisane północnokoreańskim aktorom przez władze USA.
Monitorowanie bezpieczeństwa Bybit obejmuje teraz całą istotną aktywność on-chain
Bybit poinformował, że jego system monitorowania obejmuje obecnie 100% aktywności on-chain uznawanej za istotną dla jego działalności, w tym kontrakty tokenów notowanych, kontrakty ekosystemowe oraz portfele cold, warm i hot giełdy.
W ciągu H1 system zidentyfikował i obsłużył 10 incydentów bezpieczeństwa dotyczących projektów tokenów notowanych na giełdzie, z których żaden nie spowodował strat dla Bybit, zgodnie z raportem. Zespoły bezpieczeństwa ukończyły reakcje awaryjne przed innymi głównymi giełdami w ośmiu przypadkach, a dwa incydenty zostały wykryte, zanim dotknięte projekty zidentyfikowały same ataki.
Firma poinformowała, że system pozwala jej operacji bezpieczeństwa obserwować zarówno aktywność wewnątrz platformy handlowej, jak i transakcje odbywające się bezpośrednio na obsługiwanych blockchainach. Podejrzane zachowanie kontraktów lub ruchy portfeli mogą być zatem sprawdzane nawet wtedy, gdy incydent zaczyna się poza infrastrukturą Bybit.
Ciągłe monitorowanie stało się również większym problemem w całym sektorze kryptowalut. Raport bezpieczeństwa z lipca wcześniej opisany przez crypto.news wykazał, że skompromitowane klucze, podpisujący i infrastruktura stanowiły 88,3% z około 764 milionów dolarów skradzionych w drugim kwartale 2026 roku. Hacken, który śledził 1427 projektów, znalazł dowody monitorowania przez strony trzecie tylko w 9% z nich i stwierdził, że tylko 4% łączyło monitorowanie, aktywny program bug bounty i audyt.
Hacken zidentyfikował również 14 projektów, które zostały wykorzystane pomimo wcześniejszego ukończenia audytów bezpieczeństwa. Według firmy, kilka ataków dotyczyło urządzeń podpisujących, kluczy administratora, systemów zaplecza, walidatorów mostów lub starszych kontraktów zamiast kodu inteligentnych kontraktów sprawdzanego podczas konwencjonalnych audytów.
AI skróciło testy bezpieczeństwa Bybit z tygodni do godzin
AI odegrało również większą rolę w systemach obronnych Bybit, a giełda poinformowała, że ponad 100 000 alertów bezpieczeństwa otrzymało analizę wspomaganą przez AI w pierwszej połowie roku.
Według raportu H1, audyty bezpieczeństwa wspierane przez AI wykrywały luki o wysokim stopniu zagrożenia trzy do pięciu razy częściej niż w przypadku przeglądu ręcznego. Automatyzacja skróciła również okres między oceną bezpieczeństwa a późniejszymi testami z około dwóch tygodni do około dwóch godzin.
Zautomatyzowana platforma red-team giełdy oceniła 1489 publicznych zasobów i zidentyfikowała ponad 100 luk o wysokim stopniu zagrożenia. Bybit poinformował, że średni czas między wykryciem zasobu a rozpoczęciem wstępnych testów penetracyjnych spadł poniżej 24 godzin, w porównaniu z procesami manualnymi, które mogły wymagać tygodni.
Firma poinformowała, że sztuczna inteligencja jest wykorzystywana głównie do przetwarzania informacji, znajdowania luk i zwiększania szybkości testów bezpieczeństwa, podczas gdy specjaliści pozostają odpowiedzialni za bardziej złożone decyzje.
„Wyścig zbrojeń w cyberbezpieczeństwie wszedł w erę minut” – powiedział David Zong, szef grupy ds. kontroli ryzyka i bezpieczeństwa w Bybit.
Zong powiedział, że giełda uważa wykorzystanie sztucznej inteligencji do bezpieczeństwa oraz ochronę samych systemów AI za priorytet, podczas gdy „ludzki osąd” pozostaje kluczowy przy podejmowaniu krytycznych decyzji dotyczących bezpieczeństwa.
Takie podejście ma miejsce, gdy atakujący również wykorzystują automatyzację i sztuczną inteligencję do przyspieszenia rozpoznania i wykrywania luk. Bybit poinformował, że skrócenie czasu między wykryciem podejrzanej aktywności a podjęciem działań stało się centralną częścią jego strategii bezpieczeństwa.
Kontrola kont zatrzymała ponad 30 000 podejrzanych wypłat
Konta użytkowników stanowiły kolejną część prac bezpieczeństwa giełdy w pierwszym półroczu, szczególnie wokół wypłat, które jej systemy sklasyfikowały jako podejrzane.
Przechwycono ponad 30 000 wniosków o wypłatę, a blisko 20 000 użytkowników zostało chronionych przed potencjalnymi stratami – poinformowała firma. Łączna wartość przekroczyła 700 milionów dolarów, chociaż raport opisał tę kwotę jako potencjalne straty, a nie aktywa potwierdzone jako cel atakujących.
Screening on-chain działał równolegle z tymi kontrolami kont. Bybit poinformował, że w tym okresie zidentyfikowano około 212 milionów dolarów funduszy potencjalnie powiązanych z oszustwami, a ponad 10 000 adresów dodano do czarnej listy.
Te liczby pojawiają się po incydencie bezpieczeństwa, w którym atakujący naruszyli proces używany do przenoszenia funduszy z portfela Ethereum cold wallet Bybit. Naruszenie z lutego 2025 r. wypompowało ponad 400 000 ETH i stakowanego Etheru o wartości około 1,46 miliarda dolarów w tamtym czasie, a dyrektor generalny Bybit, Ben Zhou, powiedział, że giełda może pokryć stratę i kontynuować przetwarzanie wypłat klientów.
Śledczy później powiązali operację z północnokoreańską Grupą Lazarus. Szacunki opublikowane w maju pokazały, że północnokoreańscy aktorzy ukradli około 2,02 miliarda dolarów w kryptowalutach w 2025 r., a kradzież z Bybit stanowiła większość tej sumy. Chainalysis oszacował, że działalność ta zwiększyła skumulowane kradzieże kryptowalut powiązane z Koreą Północną do około 6,75 miliarda dolarów.
Zagrożenie trwało do 2026 r. Dwa ataki powiązane z Lazarus na Drift Protocol i KelpDAO w kwietniu podobno wypompowały łącznie 577 milionów dolarów, w tym 285 milionów z Drift i 292 miliony z KelpDAO. Incydenty opierały się na socjotechnice, naruszonych urządzeniach i infrastrukturze mostów zamiast konwencjonalnych exploitów inteligentnych kontraktów.
Bybit podjął działania w celu odzyskania środków od Lazara w sądzie w USA
Kontrolom technicznym towarzyszyły wysiłki mające na celu śledzenie i odzyskanie aktywów przejętych w ataku w 2025 r., a Bybit współpracował z organami ścigania, firmami zajmującymi się analityką blockchain i innymi uczestnikami branży.
Na początku tego miesiąca giełda złożyła pozew w USA przeciwko Korei Północnej, jej agencji wywiadowczej Reconnaissance General Bureau oraz Grupie Lazarus w Sądzie Okręgowym Stanów Zjednoczonych dla Dystryktu Kolumbii.
Sprawa dotyczy naruszenia z 21 lutego i ma na celu odzyskanie aktywów związanych z kradzieżą. Sędzia federalny wydał również tymczasowy nakaz, który uniemożliwia niektórym niezidentyfikowanym pozwanym przenoszenie lub zbywanie aktywów objętych nakazem w trakcie postępowania.
Bybit poinformował, że postępowanie cywilne jest oddzielone od amerykańskich śledztw karnych dotyczących północnokoreańskiej działalności hakerskiej. FBI wcześniej przypisało atak północnokoreańskim aktorom i poprosiło giełdy, walidatorów i firmy blockchain o blokowanie transakcji związanych z adresami używanymi w operacji prania pieniędzy.
Śledzenie skradzionych aktywów stawało się coraz trudniejsze po ataku. W marcu 2025 r. Bybit poinformował, że 88,87% funduszy pozostało możliwych do prześledzenia, 7,59% zniknęło, a 3,54% zostało zamrożone. Do kwietnia Zhou powiedział, że 27,6% skradzionych funduszy nie mogło być już śledzonych po tym, jak atakujący zamienili aktywa na Bitcoina i rozproszyli je przez tysiące portfeli, usługi cross-chain i miksery kryptowalut.
Bybit skorzystał również z programu nagród oraz dobrowolnych zamrożeń przez innych uczestników branży podczas procesu odzyskiwania środków. Po ataku giełda pokryła niedobór aktywów poprzez zakupy Etheru, pożyczki i depozyty od kontrahentów, kontynuując jednocześnie wypłaty dla klientów.
W amerykańskiej sprawie cywilnej Bybit oświadczył, że zamierza ubiegać się o dalsze środki prawne w miarę postępowania. Sąd nie wydał jeszcze prawomocnego wyroku w sprawie roszczeń giełdy wobec Korei Północnej, Biura Rozpoznania Ogólnego ani Grupy Lazarus.
