Bybit подает в суд на Северную Корею, и это может сработать

Биржа подала гражданский иск в федеральный суд США против Северной Кореи, её разведывательного агентства и группы Lazarus в связи с взломом на 1,5 миллиарда долларов в феврале 2025 года. Судья уже заморозил украденные активы. Дело проверяет, может ли гражданское право сделать то, чего не удалось уголовному преследованию.

7 августа 2026 года Bybit объявила, что подала гражданский иск в Окружной суд США по округу Колумбия против Корейской Народно-Демократической Республики, её разведывательного агентства Разведывательное главное управление и группы Lazarus. Жалоба касается взлома 21 февраля 2025 года, в результате которого с биржи, базирующейся в Дубае, было выведено более 400 000 эфиров и стейкинговых эфиров, что на тот момент оценивалось примерно в 1,5 миллиарда долларов и до сих пор остаётся крупнейшей зарегистрированной кражей криптовалюты.

Подача иска необычна почти во всех аспектах. Частная компания подаёт в суд на суверенное государство в суде США. Ответчики включают государственное разведывательное агентство и хакерскую группу, действующую под его руководством. Украденные активы были отмыты через тысячи кошельков, конвертированы между блокчейнами и пропущены через сервисы микширования, предназначенные для разрыва следов транзакций. И всё же федеральный судья вынес предварительный судебный запрет, что означает, что суд уже определил, что имеется достаточно доказательств и правовых оснований для замораживания идентифицируемых украденных активов, пока продолжается разбирательство.

Вопрос не в том, является ли иск символически важным. Очевидно, что да. Вопрос в том, может ли он привести к практическому результату: возвращению украденных средств, созданию правового прецедента для будущих дел или и тому, и другому. Дело возникает в момент, когда криптоиндустрия ищет институциональные инструменты для дополнения своих технических защитных мер. Отслеживание блокчейна, сотрудничество бирж и программы вознаграждений за обнаружение уязвимостей были основными механизмами возврата средств после крупных взломов. Гражданский иск, подкреплённый постановлением федерального суда, вводит правовой инструмент, который не был широко протестирован в криптоконтексте, но имеет глубокий прецедент в традиционных судебных разбирательствах по возврату активов.

Что именно утверждается в иске

В жалобе названы три ответчика. Корейская Народно-Демократическая Республика названа суверенным государством, которое руководило кражей через свой разведывательный аппарат. Разведывательное главное управление, основная внешняя разведывательная организация Северной Кореи, названо агентством, которое руководило операцией. Группа Lazarus названа угрозой, которая осуществила техническое исполнение.

Дело возбуждено по теориям гражданской ответственности, которые не требуют явки ответчиков в суд. Bybit добивается иска через правовые механизмы, доступные против суверенных государств и их агентов, когда эти государства обвиняются в спонсировании действий, причиняющих финансовый ущерб частным лицам. Закон об иностранных суверенных иммунитетах обычно защищает иностранные правительства от исков в судах США, но существуют исключения для государственного спонсирования терроризма и определённой коммерческой деятельности.

Наряду с жалобой Bybit добилась предварительного судебного запрета в отношении ответчиков Джон Доу, неустановленных лиц и организаций, владеющих активами, отслеженными до кражи. Запрет запрещает им передавать, продавать или иным образом распоряжаться указанными активами. Предварительный судебный запрет не является окончательным решением. Он сохраняет имущество во время судебного разбирательства. Но его получение требует демонстрации судье, что истец, вероятно, добьётся успеха по существу дела и что активы будут подвержены риску исчезновения без этого постановления.

Генеральный директор Bybit Бен Чжоу сформулировал подачу иска в терминах, подчеркивающих ответственность, а не финансовое возмещение. «Наш фокус никогда не менялся: сначала защитить наших пользователей, восстановить то, что мы можем, и убедиться, что люди, стоящие за этими атаками, привлечены к ответственности», — заявил Чжоу в своем заявлении.

Как произошел взлом в феврале 2025 года

Нарушение произошло 21 февраля 2025 года, когда злоумышленники скомпрометировали инфраструктуру безопасности Bybit и вывели с биржи более 400 000 ETH и stETH. На тот момент активы оценивались примерно в 1,5 миллиарда долларов, что сделало это крупнейшей кражей криптовалюты за всю историю.

ФБР приписало атаку северокорейским акторам в течение нескольких дней. Бюро идентифицировало исполнителей под оперативным названием TraderTraitor и призвало биржи, валидаторы и блокчейн-компании блокировать транзакции, связанные с адресами, выявленными в операции по отмыванию денег. Скорость атрибуции была примечательной. Американские разведывательные службы годами отслеживали операции группировки Lazarus, и ончейн-сигнатуры атаки совпали с паттернами предыдущих северокорейских кампаний.

Злоумышленники быстро приступили к отмыванию украденных средств. В течение первой недели значительная часть ETH была конвертирована в биткоин через кроссчейн-мосты. Затем биткоин был распределен по тысячам кошельков по схеме, предназначенной для перегрузки инструментов отслеживания. К марту 2025 года генеральный директор Bybit сообщил, что 88,87 процента украденных средств остаются отслеживаемыми, в то время как 7,59 процента исчезли через крипто-миксеры, а 3,54 процента были заморожены.

Правовая архитектура иска отражает продуманную стратегию решения необычной задачи судебного преследования суверенного государства и его разведывательного аппарата. Подав иск в округе Колумбия, Bybit помещает дело в юрисдикцию, где федеральные суды регулярно рассматривают дела, связанные с иностранными государствами и международными санкциями. Исключение из Закона об иммунитете иностранных государств для государственного спонсорства терроризма хорошо устоялось в этом суде: десятилетия прецедентов по делам против Ирана, Сирии и Ливии служат дорожной картой для истцов, преследующих требования против суверенных ответчиков, отказывающихся являться в суд. Предварительный судебный запрет на замораживание украденных активов демонстрирует, что суд готов осуществлять юрисдикцию и выносить обязательные к исполнению постановления еще до ответа ответчиков, который в деле против Северной Кореи может никогда не последовать.

Отслеживаемая доля сокращалась в последующие месяцы. К апрелю 2025 года Чжоу раскрыл, что 27,6 процента украденных средств больше не поддаются отслеживанию. Злоумышленники использовали комбинацию кроссчейн-протоколов, миксерных сервисов и децентрализованных бирж, чтобы запутать след. Каждый переход между цепочками и каждый проход через миксер делали оставшиеся средства все более трудными для отслеживания.

Bybit покрыла немедленный дефицит за счет покупок ETH, кредитов и депозитов от отраслевых контрагентов. Биржа продолжала обрабатывать выводы средств клиентов на протяжении всего кризиса, избежав коллапса ликвидности, который последовал за другими крупными взломами бирж. Оперативный ответ широко признан одним из наиболее эффективных восстановлений после взлома в истории отрасли.

Масштаб операции по отмыванию денег раскрывает сложность северокорейского аппарата. Злоумышленники не просто отправили украденный ETH в один миксер и ждали. Они запустили многоступенчатый конвейер. Сначала ETH был обменян на другие токены через децентрализованные биржи, чтобы разорвать прямую связь с кошельками Bybit. Затем токены были переведены на другие цепочки, в первую очередь на биткоин, через кроссчейн-протоколы. Затем биткоин был разделен на тысячи вновь созданных кошельков по схеме, называемой отмыванием «цепочкой очистки», где каждый кошелек отправляет небольшую часть на пункт назначения и пересылает остаток на следующий кошелек в цепочке. Каждый этап добавлял уровень запутывания, и весь процесс был автоматизирован с помощью скриптов, которые выполнялись быстрее, чем аналитики могли отслеживать в реальном времени.

Почему гражданский иск и почему сейчас

Время подачи иска вызывает очевидный вопрос: зачем ждать 18 месяцев? Ответ включает как юридическую стратегию, так и эволюцию доступных доказательств.

Уголовные расследования взлома продолжаются. Правоохранительные органы США, включая ФБР, ведут собственные дела против северокорейских акторов. Гражданский иск Bybit явно отделен от этих уголовных разбирательств. Биржа не зависит от сроков или приоритетов прокуроров.

Инфраструктура отмывания денег, которую использовала группа Lazarus после взлома Bybit, демонстрирует, как поддерживаемые государством хакеры профессионализировали свои операции, чтобы использовать структурные пробелы в соблюдении требований криптовалютного законодательства. В течение нескольких часов после кражи украденный эфир прошел через каскад промежуточных кошельков, предназначенных для разрыва цепочки происхождения. Затем средства потекли через децентрализованные биржи, кроссчейн-мосты и миксерные сервисы, которые не проводят проверки клиентов (KYC). К тому времени, когда правоохранительные органы начали координировать свои действия, значительная часть украденных активов уже была конвертирована в биткоин и направлена через дополнительные слои запутывания. Такое быстрое рассеивание является отличительной чертой северокорейских криптоопераций, отточенных годами практики в ходе множества громких краж.

Гражданский иск дает ряд преимуществ, которых нет у уголовного преследования. Во-первых, бремя доказывания ниже. По уголовным делам требуется доказательство вне разумных сомнений. По гражданским делам требуется перевес доказательств. Во-вторых, гражданский истец сам контролирует свое дело. Bybit может добиваться возврата средств по своему собственному графику, а не ждать уголовного преследования, которое может занять годы, прежде чем вынесет приговор.

В-третьих, и это самое практичное, гражданский иск с предварительным судебным запретом дает Bybit юридический инструмент, который биржи и хранители обязаны уважать. Когда Bybit обнаруживает украденные средства на платформе, она теперь может ссылаться на судебный приказ, а не полагаться на добровольное сотрудничество. Биржи, которые отказываются замораживать активы, подпадающие под действие федерального судебного приказа, сами подвергаются юридической ответственности.

Промежуток в 18 месяцев также позволил отслеживанию блокчейна созреть. Первые недели после крупного взлома хаотичны. Средства быстро перемещаются между сетями и через миксеры. Со временем часть этого движения прекращается. Средства оседают в кошельках. Они попадают на биржи, где вывод средств требует взаимодействия с регулируемыми организациями. Предварительный судебный запрет нацелен на эти точки покоя, кошельки и счета, где в настоящее время находятся отслеживаемые украденные средства.

Можно ли на самом деле подать в суд на Северную Корею и взыскать средства

Это вопрос, который делает данное дело необычным. Подача иска против суверенного государства в иностранном суде не является стандартной практикой, а взыскание решения против страны, которая не участвует в международной финансовой системе, представляет очевидные проблемы.

Правовая основа для подачи исков против иностранных правительств в судах США регулируется Законом об иностранных государственных иммунитетах. При обычных обстоятельствах иностранные государства пользуются иммунитетом от исков в судах США. Но существуют исключения. Исключение для терроризма, добавленное после поправок 1996 года, позволяет предъявлять иски против государств, признанных спонсорами терроризма. Северная Корея находится в списке государственных спонсоров терроризма Госдепартамента с 2017 года.

Подпадает ли кража криптовалюты под исключение для терроризма, является юридическим вопросом, который суду предстоит рассмотреть. Предыдущие дела по этому исключению касались актов физического насилия, захвата заложников и материальной поддержки террористических организаций. Взлом криптовалюты, совершенный с целью финансовой выгоды, а не политического насилия, может проверить границы статута.

Даже если Bybit получит заочное решение (Северная Корея вряд ли пришлет адвокатов для защиты дела), взыскание по этому решению против государства, действующего вне обычной финансовой системы, является отдельной проблемой. Практическая ценность иска заключается не в получении выплаты от Пхеньяна, а в сопутствующих эффектах: предварительный судебный запрет, замораживающий активы, юридический прецедент, на который смогут ссылаться будущие жертвы, и сигнал биржам и хранителям о том, что за замороженными активами стоит судебный приказ.

Компонент John Doe в иске потенциально более действенен. Если в ходе судебного разбирательства будут установлены личности лиц или организаций, владеющих украденными средствами, они могут быть добавлены в дело и подвергнуты принудительным мерам. В отличие от самой Северной Кореи, лица, владеющие украденной криптовалютой и не выполняющие федеральный судебный приказ, столкнутся с последствиями, которые могут быть применены.

Более широкая картина северокорейских краж криптовалют

Взлом Bybit не был единичным инцидентом. Это было крупнейшее отдельное событие в ходе продолжительной кампании по краже криптовалют, которую американские разведывательные службы приписывают северокорейскому государству.

По данным Chainalysis, северокорейские группы украли около 2,02 миллиарда долларов в криптовалюте в течение 2025 года. Атака на Bybit составила большую часть этой суммы. В совокупности связанные с Северной Кореей группы украли примерно 6,75 миллиарда долларов в цифровых активах за несколько лет операций.

Угроза сохранялась и в 2026 году. В апреле атаки, связанные с Lazarus, предположительно вывели 577 миллионов долларов из Drift Protocol и KelpDAO в двух отдельных инцидентах. Атаки использовали разные технические методы, но имели общий оперативный сценарий: выявить уязвимость в DeFi-протоколе или на бирже, быстро ее эксплуатировать и переместить украденные средства через заранее спланированную цепочку отмывания, пересекающую несколько блокчейнов в течение нескольких часов.

Масштаб кражи имеет геополитические последствия. Разведывательные службы США и Южной Кореи оценили, что Северная Корея направляет доходы от криптокраж в свои программы вооружений, включая разработку ядерного и ракетного оружия. Эта оценка является одной из причин, по которой ФБР так быстро приписало атаку на Bybit, и почему американские власти столь активно координировали действия с биржами для заморозки средств. Масштаб взлома в феврале 2025 года, превысивший все предыдущие инциденты в три раза, вынудил отрасль признать неадекватность существующих механизмов реагирования и рассмотреть вопрос о том, может ли гражданский иск заполнить пробел в правоприменении, оставленный уголовным преследованием.

Для криптоиндустрии северокорейская угроза стала базовым предположением в области безопасности, а не исключительным риском. Биржи, DeFi-протоколы и операторы мостов теперь разрабатывают свои модели безопасности, рассматривая спонсируемых государством злоумышленников как основной сценарий угрозы. Иск Bybit добавляет правовое измерение к тому, что в основном было техническим и оперативным ответом.

Характер северокорейских атак также выявляет предпочтение целей в точках инфраструктуры, где большие объемы стоимости сконцентрированы в одной операции подписания. Атака на Bybit скомпрометировала процесс, с помощью которого биржа перемещала средства между холодными и горячими кошельками. Атака на мост Ronin была нацелена на набор валидаторов, контролировавших кроссчейн-переводы. В обоих случаях злоумышленники определили момент, когда одно скомпрометированное действие могло переместить максимальный объем стоимости. Эта модель нацеливания вынудила биржи пересмотреть, как они структурируют высокоценные транзакции, добавив многосторонние вычисления, аппаратные модули безопасности и отложенное исполнение к тому, что ранее было рутинными операциями.

Что это дело означает для будущего возврата украденных средств

Иск Bybit может создать шаблон для того, как биржи и другие жертвы могут добиваться возврата украденных средств через гражданские суды. Предыдущие крупные взломы, включая кражу с моста Ronin в 2022 году и эксплойт Wormhole в том же году, полагались в основном на сотрудничество с правоохранительными органами, добровольную заморозку средств участниками отрасли и программы вознаграждений.

Гражданский иск с предварительным судебным запретом добавляет уровень, который добровольное сотрудничество обеспечить не может: принуждение. Когда суд приказывает заморозить активы, хранитель, владеющий ими, несет юридическую обязанность подчиниться. Приказ превращает просьбу в требование, и невыполнение влечет юридические последствия.

Двухколейный подход, когда гражданское и уголовное производство идут одновременно, также важен. Уголовные дела движутся по срокам прокуроров и служат целям публичного правоприменения. Гражданские дела движутся по срокам истца и служат целям возмещения ущерба истцу. Когда оба направления работают параллельно, украденные средства испытывают давление с нескольких юридических сторон.

Для более мелких жертв, не обладающих ресурсами Bybit, прецедент важнее, чем конкретное дело. Если иск приведет к заморозке и в конечном итоге возврату украденных активов, это создаст дорожную карту, которой смогут следовать другие жертвы. Если будут опубликованы судебные решения по вопросам юрисдикции и иммунитета, эти решения станут инструментами, которые будущие истцы смогут использовать для упрощения своих собственных дел.

Дело также проверяет готовность криптоиндустрии сотрудничать с постановлениями гражданских судов. Биржи, получающие запросы на заморозку, подкрепленные судебным запретом федерального суда, сталкиваются с иной дилеммой, чем биржи, получающие неформальные запросы от жертвы взлома. Юридическая формализация процесса возврата может ускорить соблюдение требований в экосистеме бирж.

Существует также аргумент о сдерживании, хотя его сила против государственного субъекта спорна. Большинство киберпреступников взвешивают ожидаемую прибыль против ожидаемого наказания. Для государственного разведывательного агентства, направляющего доходы от краж в программы вооружений, расчет иной. Но иск создает издержки на этапе отмывания. Каждая биржа, замораживающая активы в ответ на судебный приказ, уменьшает сумму, достигающую предполагаемого пункта назначения. Если гражданский иск затруднит отмывание на 5 или 10 процентов, это означает сотни миллионов долларов украденной стоимости, которые невозможно конвертировать в наличные. При многократных операциях постепенное трение на этапе отмывания накапливается и приводит к значительному снижению эффективности программы.

Что смотреть

Соблюдение предварительного судебного запрета. Судебный приказ действует настолько, насколько готовы хранители и биржи его исполнять. Следите за сообщениями о замораживании средств биржами в ответ на приказ, а также за спорами, где хранители оспаривают объем запрета.

Добавление дополнительных ответчиков по делу. Структура John Doe позволяет Bybit добавлять идентифицированных лиц и организации по мере развития расследования. Если трассировка блокчейна приведет к конкретным хранителям, биржам или внебиржевым площадкам, которые обрабатывали украденные средства, они могут стать сторонами судебного процесса.

Реакция или отсутствие реакции Северной Кореи. Суверенные ответчики в судах США обычно либо ссылаются на иммунитет и оспаривают юрисдикцию, либо просто игнорируют разбирательство. Подход Северной Кореи определит, будет ли дело рассматриваться в порядке заочного решения или через оспариваемое судебное разбирательство по вопросам юрисдикции.

Уровень возврата средств по сравнению с уголовным процессом. Bybit сотрудничает с правоохранительными органами с февраля 2025 года. Гражданский иск теперь идет параллельно. Сравнение сумм, возвращенных по каждому направлению, покажет, добавляет ли гражданское судопроизводство значимые возможности для возврата средств по сравнению с тем, что достигается только уголовным преследованием.

Последующие иски от других жертв взломов. Если дело Bybit переживет оспаривание юрисдикции и приведет к возврату активов, другие жертвы спонсируемых государствами взломов могут подать аналогичные гражданские иски. Следите за делами жертв атак Drift Protocol и KelpDAO, которые также приписываются группе Lazarus.

Международная координация по замораживанию активов. Судебный приказ США распространяется на организации, находящиеся под юрисдикцией США, но украденная криптовалюта перемещается по всему миру. Следите за параллельными юридическими действиями в таких юрисдикциях, как Сингапур, Великобритания и ЕС, где биржи и хранители могут держать части отмытых средств. Скоординированное замораживание в нескольких юрисдикциях было бы значительно более эффективным, чем приказ одной страны.

Адаптация Северной Кореи к правовому давлению. Государственные хакерские группы адаптируют свои методы отмывания денег в ответ на правоприменительные меры. Если гражданский иск сделает традиционное отмывание через биржи более сложным, злоумышленники могут перейти к одноранговым сделкам, децентрализованным биржам без KYC или конфиденциальным блокчейнам. Скорость и характер этой адаптации покажут, насколько значительное трение создает правовой подход.

Часто задаваемые вопросы