Bybit pozywa Koreę Północną – i to może się udać

Giełda złożyła pozew cywilny w amerykańskim sądzie federalnym przeciwko Korei Północnej, jej agencji wywiadowczej oraz Grupie Lazarus w związku z kradzieżą 1,5 miliarda dolarów w lutym 2025 roku. Sędzia już zamroził skradzione aktywa. Sprawa ta jest testem, czy prawo cywilne może zrobić to, czego nie udało się egzekwowaniu karnemu.

7 sierpnia 2026 roku Bybit ogłosił, że złożył pozew cywilny w Sądzie Okręgowym Stanów Zjednoczonych dla Dystryktu Kolumbii przeciwko Koreańskiej Republice Ludowo-Demokratycznej, jej agencji wywiadowczej Biuru Rozpoznania Ogólnego oraz Grupie Lazarus. Pozew dotyczy włamania z 21 lutego 2025 roku, które wypompowało ponad 400 000 Etheru i stakowanego Etheru z giełdy z siedzibą w Dubaju, incydentu wycenianego wówczas na około 1,5 miliarda dolarów i nadal największej odnotowanej kradzieży kryptowalut.

Złożenie pozwu jest niezwykłe pod niemal każdym względem. Prywatna firma pozywa suwerenne państwo w amerykańskim sądzie. Pozwani obejmują państwową agencję wywiadowczą i grupę hakerską działającą pod jej kierownictwem. Skradzione aktywa zostały wyprane przez tysiące portfeli, przetworzone między blockchainami i przepuszczone przez usługi miksujące zaprojektowane w celu zerwania śladu transakcji. A jednak sędzia federalny wydał tymczasowy nakaz, co oznacza, że sąd już ustalił, iż istnieją wystarczające dowody i podstawa prawna do zamrożenia możliwych do zidentyfikowania skradzionych aktywów w trakcie postępowania.

Pytanie nie brzmi, czy pozew ma znaczenie symboliczne. Oczywiście, że ma. Pytanie brzmi, czy może przynieść praktyczny rezultat: odzyskanie skradzionych środków, stworzenie precedensu prawnego na przyszłość, czy jedno i drugie. Sprawa pojawia się w momencie, gdy branża kryptowalut poszukuje instytucjonalnych narzędzi uzupełniających jej techniczne zabezpieczenia. Śledzenie blockchaina, współpraca giełd i nagrody za zgłaszanie błędów były głównymi mechanizmami odzyskiwania środków po poważnych włamaniach. Pozew cywilny poparty nakazem sądu federalnego wprowadza instrument prawny, który nie był szeroko testowany w kontekście kryptowalut, ale ma głęboki precedens w tradycyjnych postępowaniach o odzyskanie aktywów.

Co faktycznie twierdzi pozew

Pozew wymienia trzech pozwanych. Koreańska Republika Ludowo-Demokratyczna jest wymieniona jako suwerenne państwo, które kierowało kradzieżą za pośrednictwem swojego aparatu wywiadowczego. Biuro Rozpoznania Ogólnego, główna północnokoreańska organizacja wywiadu zagranicznego, jest wymienione jako agencja nadzorująca operację. Grupa Lazarus jest wymieniona jako podmiot zagrażający, który przeprowadził techniczną egzekucję.

Sprawa jest prowadzona na podstawie teorii odpowiedzialności cywilnej, które nie wymagają stawienia się pozwanych w sądzie. Bybit dochodzi roszczenia za pomocą mechanizmów prawnych dostępnych przeciwko suwerennym państwom i ich agentom, gdy państwa te są oskarżane o sponsorowanie działań powodujących szkody finansowe dla podmiotów prywatnych. Ustawa o immunitetach suwerennych państw obcych zazwyczaj chroni obce rządy przed pozwami w sądach amerykańskich, ale istnieją wyjątki dla sponsorowanego przez państwo terroryzmu i niektórych działań handlowych.

Wraz z pozwem Bybit uzyskał tymczasowy nakaz skierowany do pozwanych John Doe, niezidentyfikowanych osób i podmiotów posiadających aktywa powiązane z kradzieżą. Nakaz zabrania im przenoszenia, sprzedaży lub innego rozporządzania zidentyfikowanymi aktywami. Tymczasowy nakaz nie jest ostatecznym orzeczeniem. Chroni mienie w trakcie postępowania. Ale uzyskanie go wymaga wykazania sędziemu, że powód prawdopodobnie odniesie sukces co do istoty sprawy i że aktywa byłyby zagrożone rozproszeniem bez tego nakazu.

CEO Bybit, Ben Zhou, ujął złożenie wniosku w kategoriach podkreślających odpowiedzialność, a nie odzyskanie środków finansowych. „Nasz cel nigdy się nie zmienił: chronić naszych użytkowników w pierwszej kolejności, odzyskać to, co możemy, i dopilnować, aby osoby stojące za tymi atakami poniosły odpowiedzialność” – powiedział Zhou w oświadczeniu.

Jak przebiegł hack z lutego 2025 r.

Do naruszenia doszło 21 lutego 2025 r., kiedy atakujący naruszyli infrastrukturę bezpieczeństwa Bybit i wyprowadzili z giełdy ponad 400 000 ETH i stETH. Aktywa były wówczas warte około 1,5 miliarda dolarów, co czyniło to największą kradzieżą kryptowalut w historii.

FBI przypisało atak północnokoreańskim aktorom w ciągu kilku dni. Biuro zidentyfikowało sprawców pod operacyjną nazwą TraderTraitor i wezwało giełdy, walidatorów oraz firmy blockchain do blokowania transakcji związanych z adresami zidentyfikowanymi w operacji prania brudnych pieniędzy. Szybkość tej atrybucji była godna uwagi. Amerykańskie agencje wywiadowcze od lat śledziły operacje grupy Lazarus, a sygnatury ataku w łańcuchu bloków odpowiadały wzorcom z poprzednich północnokoreańskich kampanii.

Atakujący szybko przystąpili do prania skradzionych środków. W ciągu pierwszego tygodnia znaczna część ETH została zamieniona na Bitcoina za pośrednictwem mostów międzyłańcuchowych. Bitcoin został następnie rozproszony na tysiące portfeli w sposób zaprojektowany tak, aby przytłoczyć narzędzia do śledzenia. Do marca 2025 r. CEO Bybit poinformował, że 88,87 procent skradzionych środków pozostawało możliwych do wyśledzenia, podczas gdy 7,59 procent zniknęło w mikserach kryptowalut, a 3,54 procent zostało zamrożone.

Architektura prawna skargi odzwierciedla przemyślaną strategię radzenia sobie z nietypowym wyzwaniem, jakim jest pozwanie suwerennego państwa i jego aparatu wywiadowczego. Składając pozew w Dystrykcie Kolumbii, Bybit umieszcza sprawę w jurysdykcji, w której sądy federalne rutynowo zajmują się sprawami dotyczącymi obcych państw i międzynarodowych sankcji. Wyjątek FSIA dotyczący terroryzmu sponsorowanego przez państwo jest dobrze ugruntowany w tym sądzie, a dziesięciolecia precedensów z procesów przeciwko Iranowi, Syrii i Libii stanowią mapę drogową dla powodów, którzy chcą dochodzić roszczeń przeciwko suwerennym pozwanym, którzy odmawiają stawienia się. Wstępny nakaz zamrażający skradzione aktywa pokazuje, że sąd jest skłonny sprawować jurysdykcję i wydawać wykonalne nakazy nawet zanim pozwani odpowiedzą, co w sprawie przeciwko Korei Północnej może nigdy nie nastąpić.

Udział możliwy do wyśledzenia malał w kolejnych miesiącach. Do kwietnia 2025 r. Zhou ujawnił, że 27,6 procent skradzionych środków nie można już było śledzić. Atakujący użyli kombinacji protokołów międzyłańcuchowych, usług mieszających i zdecentralizowanych giełd, aby zaciemnić ślad. Każdy przeskok między łańcuchami i każde przejście przez mikser utrudniały śledzenie pozostałych środków.

Bybit pokrył natychmiastowy niedobór poprzez zakupy ETH, pożyczki i depozyty od kontrahentów z branży. Giełda nadal przetwarzała wypłaty klientów przez cały czas trwania kryzysu, unikając załamania płynności, które nastąpiło po innych poważnych hackach giełd. Reakcja operacyjna była powszechnie uznawana za jedną z bardziej skutecznych odzysków po hacku w historii branży.

Skala operacji prania brudnych pieniędzy ujawnia wyrafinowanie północnokoreańskiego aparatu. Atakujący nie wysłali po prostu skradzionego ETH do jednego miksera i nie czekali. Prowadzili wieloetapowy proces. Najpierw ETH zostało wymienione na inne tokeny za pośrednictwem zdecentralizowanych giełd, aby zerwać bezpośrednie połączenie z portfelami Bybit. Następnie tokeny zostały przeniesione na inne łańcuchy, głównie Bitcoin, za pośrednictwem protokołów międzyłańcuchowych. Bitcoin został następnie podzielony na tysiące nowo utworzonych portfeli w wzorcu zwanym praniem „łańcucha obierania”, gdzie każdy portfel wysyła niewielką część do miejsca docelowego i przekazuje resztę do następnego portfela w łańcuchu. Każdy etap dodawał warstwę zaciemnienia, a cały proces był zautomatyzowany za pomocą skryptów, które działały szybciej, niż ludzcy analitycy mogli śledzić w czasie rzeczywistym.

Dlaczego pozew cywilny i dlaczego teraz

Termin złożenia pozwu nasuwa oczywiste pytanie: dlaczego czekać 18 miesięcy? Odpowiedź obejmuje zarówno strategię prawną, jak i ewolucję dostępnych dowodów.

Postępowania karne w sprawie hacka są w toku. Amerykańskie organy ścigania, w tym FBI, prowadzą własne sprawy przeciwko północnokoreańskim aktorom. Pozew cywilny Bybit jest wyraźnie oddzielony od tych postępowań karnych. Giełda nie jest zależna od harmonogramów ani priorytetów prokuratorów.

Infrastruktura prania pieniędzy, którą zastosowała Grupa Lazarus po włamaniu na Bybit, pokazuje, jak hakerzy wspierani przez państwo sprofesjonalizowali swoje operacje, aby wykorzystywać strukturalne luki w zgodności z przepisami dotyczącymi kryptowalut. W ciągu kilku godzin od kradzieży skradzione Ethery przeszły przez kaskadę pośrednich portfeli zaprojektowanych w celu zerwania łańcucha pochodzenia. Środki następnie przepłynęły przez zdecentralizowane giełdy, mosty międzyłańcuchowe i usługi mieszania, które nie przeprowadzają kontroli know your customer. Zanim organy ścigania zaczęły koordynować swoją reakcję, znaczna część skradzionych aktywów została już zamieniona na bitcoiny i przekierowana przez dodatkowe warstwy zaciemniające. To szybkie rozproszenie jest znakiem rozpoznawczym północnokoreańskich operacji kryptowalutowych, udoskonalonych przez lata praktyki podczas wielu głośnych kradzieży.

Pozew cywilny oferuje kilka przewag, których nie ma postępowanie karne. Po pierwsze, ciężar dowodu jest niższy. Sprawy karne wymagają dowodu ponad wszelką wątpliwość. Sprawy cywilne wymagają przewagi dowodów. Po drugie, powód cywilny kontroluje własną sprawę. Bybit może dążyć do odzyskania środków według własnego harmonogramu, zamiast czekać na postępowanie karne, które może trwać latami, zanim zapadnie wyrok.

Po trzecie, i najbardziej praktycznie, pozew cywilny z zabezpieczeniem powództwa daje Bybit instrument prawny, który giełdy i podmioty przechowujące muszą respektować. Gdy Bybit zidentyfikuje skradzione środki na platformie, może teraz wskazać nakaz sądowy, zamiast polegać na dobrowolnej współpracy. Giełdy, które odmówią zamrożenia aktywów objętych nakazem sądu federalnego, same narażają się na odpowiedzialność prawną.

Osiemnastomiesięczna luka pozwoliła również dojrzeć śledzeniu blockchaina. Pierwsze tygodnie po poważnym włamaniu są chaotyczne. Środki szybko przemieszczają się między łańcuchami i przez miksery. Z czasem część tego ruchu ustaje. Środki pozostają w portfelach. Trafiają na giełdy, gdzie wypłata wymaga interakcji z regulowanymi podmiotami. Zabezpieczenie powództwa celuje w te punkty spoczynku, portfele i konta, na których obecnie znajdują się możliwe do wyśledzenia skradzione środki.

Czy można faktycznie pozwać Koreę Północną i wyegzekwować roszczenie

To jest pytanie, które czyni tę sprawę niezwykłą. Pozwanie suwerennego państwa przed obcym sądem nie jest standardową praktyką, a wyegzekwowanie wyroku przeciwko krajowi, który nie uczestniczy w międzynarodowym systemie finansowym, stwarza oczywiste wyzwania.

Podstawę prawną pozwania obcych rządów przed sądami USA reguluje ustawa o immunitetach suwerennych państw obcych. W normalnych okolicznościach obce państwa są zwolnione z pozwów przed sądami USA. Istnieją jednak wyjątki. Wyjątek dotyczący terroryzmu, dodany po nowelizacji z 1996 r., pozwala na roszczenia przeciwko państwom uznanym za sponsorów terroryzmu. Korea Północna znajduje się na liście państw sponsorujących terroryzm Departamentu Stanu od 2017 r.

To, czy kradzież kryptowalut kwalifikuje się do wyjątku dotyczącego terroryzmu, jest kwestią prawną, którą sąd będzie musiał rozstrzygnąć. Poprzednie sprawy na podstawie tego wyjątku dotyczyły aktów przemocy fizycznej, brania zakładników i materialnego wsparcia dla organizacji terrorystycznych. Włamanie kryptowalutowe dokonane dla zysku finansowego, a nie przemocy politycznej, może wystawić na próbę granice ustawy.

Nawet jeśli Bybit uzyska wyrok zaoczny (Korea Północna raczej nie wyśle prawników do obrony sprawy), wyegzekwowanie tego wyroku przeciwko państwu działającemu poza konwencjonalnym systemem finansowym stanowi osobne wyzwanie. Praktyczna wartość pozwu nie leży w wyciągnięciu płatności od Pjongjangu, ale w skutkach ubocznych: zabezpieczeniu powództwa zamrażającym aktywa, precedensie prawnym, na który mogą się powoływać przyszłe ofiary, oraz sygnale dla giełd i podmiotów przechowujących, że zamrożone aktywa mają za sobą nakaz sądowy.

Komponent John Doe w pozwie jest potencjalnie bardziej wykonalny. Jeśli w trakcie postępowania zostaną ujawnione tożsamości osób lub podmiotów posiadających skradzione środki, mogą one zostać dodane do sprawy i poddane działaniom egzekucyjnym. W przeciwieństwie do samej Korei Północnej, osoby, które posiadają skradzione kryptowaluty i nie zastosują się do nakazu sądu federalnego, poniosą konsekwencje, które można wyegzekwować.

Szerszy wzorzec północnokoreańskich kradzieży kryptowalut

Włamanie na Bybit nie było odosobnionym incydentem. Było to największe pojedyncze wydarzenie w trwającej kampanii kradzieży kryptowalut, którą amerykańskie agencje wywiadowcze przypisują państwu północnokoreańskiemu.

Północnokoreańskie grupy ukradły szacunkowo 2,02 miliarda dolarów w kryptowalutach w 2025 r., według danych Chainalysis. Atak na Bybit stanowił większość tej sumy. Łącznie grupy powiązane z Koreą Północną ukradły około 6,75 miliarda dolarów w aktywach cyfrowych w ciągu wielu lat działalności.

Zagrożenie trwało do 2026 roku. W kwietniu ataki powiązane z Lazarusem rzekomo wypompowały 577 milionów dolarów z Drift Protocol i KelpDAO w dwóch osobnych incydentach. Ataki wykorzystywały różne metody techniczne, ale dzieliły ten sam podręcznik operacyjny: zidentyfikuj lukę w protokole DeFi lub giełdzie, wykorzystaj ją szybko i przenieś skradzione fundusze przez zaplanowany łańcuch prania, który przecina wiele blockchainów w ciągu kilku godzin.

Skala kradzieży ma implikacje geopolityczne. Agencje wywiadowcze USA i Korei Południowej oceniły, że Korea Północna kieruje wpływy z kradzieży kryptowalut do swoich programów zbrojeniowych, w tym rozwoju broni jądrowej i rakietowej. Ta ocena jest jednym z powodów, dla których FBI tak szybko przypisało atak na Bybit i dlaczego władze USA były niezwykle aktywne w koordynacji z giełdami w celu zamrożenia funduszy. Skala naruszenia z lutego 2025 roku, przekraczająca wszystkie wcześniejsze incydenty trzykrotnie, zmusiła branżę do skonfrontowania się z niewystarczalnością istniejących mechanizmów reagowania i rozważenia, czy postępowanie cywilne może wypełnić lukę egzekucyjną pozostawioną przez ściganie karne.

Dla branży kryptowalut zagrożenie północnokoreańskie stało się podstawowym założeniem bezpieczeństwa, a nie wyjątkowym ryzykiem. Giełdy, protokoły DeFi i operatorzy mostów projektują teraz swoje modele bezpieczeństwa, traktując ataki sponsorowane przez państwa jako główny scenariusz zagrożenia. Pozew Bybit dodaje wymiar prawny do tego, co było przede wszystkim reakcją techniczną i operacyjną.

Wzorzec północnokoreańskich ataków ujawnia również preferencję do celowania w punkty infrastruktury, gdzie duże ilości wartości są skoncentrowane w jednej operacji podpisywania. Atak na Bybit naruszył proces, w którym giełda przenosiła środki między portfelami zimnymi i gorącymi. Atak na most Ronin celował w zestaw walidatorów kontrolujących transfery międzyłańcuchowe. W obu przypadkach atakujący zidentyfikowali moment, w którym jedno skompromitowane działanie mogło przenieść maksymalną ilość wartości. Ten wzorzec celowania zmusił giełdy do przemyślenia, jak strukturyzują transakcje o wysokiej wartości, dodając obliczenia wielostronne, moduły bezpieczeństwa sprzętowego i opóźnione wykonanie do tego, co wcześniej było rutynowymi operacjami.

Co sprawa oznacza dla przyszłych odzyskiwań po włamaniach

Pozew Bybit może stworzyć szablon dla tego, jak giełdy i inne ofiary mogą dochodzić skradzionych środków przez sądy cywilne. Poprzednie duże włamania, w tym kradzież z mostu Ronin w 2022 roku i exploit Wormhole w tym samym roku, opierały się głównie na współpracy organów ścigania, dobrowolnych zamrożeniach przez uczestników branży i programach nagród.

Pozew cywilny z zabezpieczeniem tymczasowym dodaje warstwę, której dobrowolna współpraca nie może zapewnić: przymus. Gdy sąd nakazuje zamrożenie aktywów, podmiot je przechowujący ma prawny obowiązek ich przestrzegania. Nakaz zamienia prośbę w wymóg, a nieprzestrzeganie pociąga za sobą konsekwencje prawne.

Podejście dwutorowe, cywilne i karne równolegle, również ma znaczenie. Sprawy karne toczą się w harmonogramie prokuratorów i służą celom egzekwowania publicznego. Sprawy cywilne toczą się w harmonogramie powoda i służą celom odzyskania środków przez powoda. Gdy oba tory działają równolegle, skradzione środki są pod presją z wielu kierunków prawnych.

Dla mniejszych ofiar, które nie mają zasobów Bybit, precedens ma większe znaczenie niż konkretna sprawa. Jeśli pozew zakończy się zamrożeniem i ostatecznym odzyskaniem skradzionych aktywów, stworzy mapę drogową, którą mogą podążać inne ofiary. Jeśli opublikowane zostaną orzeczenia sądowe w kwestiach jurysdykcji i immunitetu, te orzeczenia staną się narzędziami, które przyszli powodowie mogą wykorzystać do usprawnienia własnych spraw.

Sprawa testuje również gotowość branży kryptowalut do współpracy z nakazami sądów cywilnych. Giełdy, które otrzymują wnioski o zamrożenie poparte federalnym nakazem sądowym, stają przed inną kalkulacją niż giełdy, które otrzymują nieformalne prośby od ofiary włamania. Sformalizowanie prawne procesu odzyskiwania może przyspieszyć zgodność w całym ekosystemie giełd.

Istnieje również argument odstraszania, choć jego siła wobec aktora państwowego jest dyskusyjna. Większość hakerów kryminalnych waży oczekiwany zysk przeciwko oczekiwanej karze. Dla agencji wywiadu państwowego, która kieruje wpływy z kradzieży do programów zbrojeniowych, kalkulacja jest inna. Ale pozew tworzy koszty na etapie prania. Każda giełda, która zamraża aktywa w odpowiedzi na nakaz sądowy, zmniejsza kwotę, która dociera do zamierzonego celu. Jeśli pozew cywilny utrudni pranie o 5 lub 10 procent, przekłada się to na setki milionów dolarów skradzionej wartości, której nie można zamienić na gotówkę. W przypadku wielu operacji, przyrostowe tarcie na etapie prania kumuluje się w znaczące zmniejszenie skuteczności programu.

Na co zwrócić uwagę

Przestrzeganie tymczasowego nakazu sądowego. Nakaz jest skuteczny tylko wtedy, gdy depozytariusze i giełdy są gotowi go egzekwować. Obserwuj doniesienia o zamrażaniu środków przez giełdy w odpowiedzi na nakaz lub o sporach, w których depozytariusze kwestionują zakres nakazu.

Dodatkowe pozwane podmioty dołączone do sprawy. Struktura John Doe pozwala Bybit na dodawanie zidentyfikowanych osób i podmiotów w miarę postępu postępowania dowodowego. Jeśli śledzenie blockchaina doprowadzi do konkretnych depozytariuszy, giełd lub biur OTC, które przetwarzały skradzione środki, mogą oni stać się stronami w procesie.

Reakcja lub brak reakcji Korei Północnej. Pozwane państwa w sądach amerykańskich zazwyczaj albo powołują się na immunitet i kwestionują jurysdykcję, albo po prostu ignorują postępowanie. Podejście Korei Północnej zdecyduje, czy sprawa będzie toczyć się w trybie wyroku zaocznego, czy też w drodze sporu co do kwestii jurysdykcyjnych.

Wskaźnik odzyskiwania środków w porównaniu z torem karnym. Bybit współpracuje z organami ścigania od lutego 2025 roku. Proces cywilny toczy się teraz równolegle. Porównanie kwot odzyskanych na każdym torze wskaże, czy postępowanie cywilne dodaje znaczące możliwości odzyskiwania środków poza tym, co osiąga samo egzekwowanie karne.

Kolejne pozwy od innych ofiar hacków. Jeśli sprawa Bybit przetrwa kwestionowanie jurysdykcji i doprowadzi do odzyskania aktywów, inne ofiary hacków sponsorowanych przez państwa mogą złożyć podobne pozwy cywilne. Obserwuj sprawy ofiar ataków na Drift Protocol i KelpDAO, które również są przypisywane grupie Lazarus.

Międzynarodowa koordynacja w zakresie zamrażania aktywów. Nakaz sądu amerykańskiego dotyczy podmiotów podlegających jurysdykcji USA, ale skradziona kryptowaluta przemieszcza się globalnie. Obserwuj równoległe działania prawne w jurysdykcjach takich jak Singapur, Wielka Brytania i UE, gdzie giełdy i depozytariusze mogą posiadać części wypranych środków. Skoordynowane zamrożenie w wielu jurysdykcjach byłoby znacznie skuteczniejsze niż nakaz jednego kraju.

Adaptacja Korei Północnej do presji prawnej. Sponsorowane przez państwo grupy hakerskie dostosowują swoje techniki prania pieniędzy w odpowiedzi na działania egzekucyjne. Jeśli pozew cywilny utrudni konwencjonalne pranie oparte na giełdach, atakujący mogą przejść na handel peer-to-peer, zdecentralizowane giełdy bez KYC lub prywatne łańcuchy. Szybkość i charakter tej adaptacji wskażą, jak duże tarcia tworzy podejście prawne.

Często zadawane pytania