Bybit processa a Coreia do Norte, e pode dar certo

A bolsa apresentou uma ação civil em um tribunal federal dos EUA contra a Coreia do Norte, sua agência de inteligência e o Grupo Lazarus pelo hack de US$ 1,5 bilhão de fevereiro de 2025. Um juiz já congelou os ativos roubados. O caso testa se a lei civil pode fazer o que a aplicação da lei criminal não fez.

Em 7 de agosto de 2026, a Bybit anunciou que havia entrado com uma ação civil no Tribunal Distrital dos EUA para o Distrito de Columbia contra a República Popular Democrática da Coreia, sua agência de inteligência do Bureau Geral de Reconhecimento e o Grupo Lazarus. A queixa diz respeito à violação de 21 de fevereiro de 2025, que drenou mais de 400.000 Ether e Ether em staking da bolsa sediada em Dubai, um incidente avaliado em aproximadamente US$ 1,5 bilhão na época e ainda o maior roubo de criptomoedas já registrado.

O processo é incomum em quase todas as dimensões. Uma empresa privada está processando uma nação soberana em um tribunal dos EUA. Os réus incluem uma agência de inteligência estatal e um grupo de hackers que opera sob sua direção. Os ativos roubados foram lavados em milhares de carteiras, convertidos entre blockchains e passados por serviços de mistura projetados para quebrar o rastro da transação. E, no entanto, um juiz federal concedeu uma liminar, o que significa que um tribunal já determinou que há evidências e base legal suficientes para congelar ativos roubados identificáveis enquanto o caso prossegue.

A questão não é se o processo é simbolicamente importante. Claramente é. A questão é se ele pode produzir um resultado prático: a recuperação dos fundos roubados, a criação de precedente legal para casos futuros, ou ambos. O caso chega em um momento em que a indústria de criptomoedas está procurando ferramentas institucionais para complementar suas defesas técnicas. Rastreamento de blockchain, cooperação entre bolsas e recompensas por bugs têm sido os principais mecanismos de recuperação após grandes hacks. Uma ação civil apoiada por uma ordem de tribunal federal introduz um instrumento legal que não foi amplamente testado no contexto de criptomoedas, mas tem profundo precedente em litígios tradicionais de recuperação de ativos.

O que o processo realmente alega

A queixa nomeia três réus. A República Popular Democrática da Coreia é nomeada como um estado soberano que dirigiu o roubo através de seu aparato de inteligência. O Bureau Geral de Reconhecimento, a principal organização de inteligência estrangeira da Coreia do Norte, é nomeado como a agência que supervisionou a operação. O Grupo Lazarus é nomeado como o ator de ameaça que executou a execução técnica.

O caso é apresentado sob teorias de responsabilidade civil que não exigem que os réus compareçam ao tribunal. A Bybit está buscando a reivindicação através dos mecanismos legais disponíveis contra estados soberanos e seus agentes quando esses estados são acusados de patrocinar atos que causam danos financeiros a partes privadas. A Lei de Imunidades Soberanas Estrangeiras normalmente protege governos estrangeiros de processos em tribunais dos EUA, mas existem exceções para terrorismo patrocinado pelo estado e certas atividades comerciais.

Juntamente com a queixa, a Bybit obteve uma liminar direcionada aos réus John Doe, indivíduos e entidades não identificados que detêm ativos rastreados até o roubo. A liminar os proíbe de transferir, vender ou de outra forma dispor dos ativos identificados. Uma liminar não é uma decisão final. Ela preserva a propriedade durante o litígio. Mas obtê-la exige demonstrar a um juiz que o autor provavelmente terá sucesso no mérito e que os ativos estariam em risco de dissipação sem a ordem.

O CEO da Bybit, Ben Zhou, enquadrou o processo em termos que enfatizavam a responsabilização em vez da recuperação financeira. "Nosso foco nunca mudou: proteger nossos usuários primeiro, recuperar o que pudermos e garantir que as pessoas por trás desses ataques sejam responsabilizadas", disse Zhou em comunicado.

Como o hack de fevereiro de 2025 aconteceu

A violação ocorreu em 21 de fevereiro de 2025, quando os atacantes comprometeram a infraestrutura de segurança da Bybit e drenaram mais de 400.000 ETH e stETH da exchange. Os ativos foram avaliados em aproximadamente US$ 1,5 bilhão na época, tornando-se o maior roubo de criptomoedas já registrado.

O FBI atribuiu o ataque a atores norte-coreanos em poucos dias. O bureau identificou os perpetradores sob o nome operacional TraderTraitor e instou exchanges, validadores e empresas de blockchain a bloquear transações conectadas a endereços identificados na operação de lavagem. A velocidade da atribuição foi notável. As agências de inteligência dos EUA vinham rastreando as operações do Grupo Lazarus há anos, e as assinaturas on-chain do ataque correspondiam a padrões de campanhas anteriores norte-coreanas.

Os atacantes agiram rapidamente para lavar os fundos roubados. Na primeira semana, uma parte significativa do ETH foi convertida em Bitcoin através de pontes cross-chain. O Bitcoin foi então disperso por milhares de carteiras em um padrão projetado para sobrecarregar as ferramentas de rastreamento. Em março de 2025, o CEO da Bybit relatou que 88,87% dos fundos roubados ainda eram rastreáveis, enquanto 7,59% haviam desaparecido através de mixers de criptomoedas e 3,54% haviam sido congelados.

A arquitetura legal da queixa reflete uma estratégia calculada para navegar pelo desafio incomum de processar uma nação soberana e seu aparato de inteligência. Ao entrar com o processo no Distrito de Columbia, a Bybit coloca o caso em uma jurisdição onde os tribunais federais lidam rotineiramente com questões envolvendo estados estrangeiros e sanções internacionais. A exceção da FSIA para terrorismo patrocinado pelo estado é bem estabelecida neste tribunal, com décadas de precedentes de casos contra Irã, Síria e Líbia fornecendo um roteiro para como os autores podem buscar reivindicações contra réus soberanos que se recusam a comparecer. A liminar preliminar congelando os ativos roubados demonstra que o tribunal está disposto a exercer jurisdição e emitir ordens executáveis mesmo antes de os réus responderem, o que em um caso contra a Coreia do Norte pode nunca acontecer.

A parcela rastreável diminuiu nos meses seguintes. Em abril de 2025, Zhou revelou que 27,6% dos fundos roubados não podiam mais ser rastreados. Os atacantes usaram uma combinação de protocolos cross-chain, serviços de mixagem e exchanges descentralizadas para obscurecer o rastro. Cada salto entre cadeias e cada passagem por um mixer tornava os fundos restantes mais difíceis de seguir.

A Bybit cobriu o déficit imediato através de compras de ETH, empréstimos e depósitos de contrapartes do setor. A exchange continuou processando saques de clientes durante toda a crise, evitando o colapso de liquidez que se seguiu a outros grandes hacks de exchanges. A resposta operacional foi amplamente creditada como uma das recuperações pós-hack mais eficazes da história do setor.

A escala da operação de lavagem revela a sofisticação do aparato norte-coreano. Os atacantes não simplesmente enviaram o ETH roubado para um único mixer e esperaram. Eles executaram um pipeline de múltiplas etapas. Primeiro, o ETH foi trocado por outros tokens através de exchanges descentralizadas para quebrar o vínculo direto com as carteiras da Bybit. Em seguida, os tokens foram transferidos para outras cadeias, principalmente Bitcoin, através de protocolos cross-chain. O Bitcoin foi então dividido em milhares de carteiras recém-criadas em um padrão chamado lavagem "peel chain", onde cada carteira envia uma pequena porção para um destino e encaminha o restante para a próxima carteira na cadeia. Cada etapa adicionava uma camada de ofuscação, e todo o processo era automatizado usando scripts que executavam mais rápido do que analistas humanos poderiam acompanhar em tempo real.

Por que um processo civil e por que agora

O momento do processo levanta uma questão óbvia: por que esperar 18 meses? A resposta envolve tanto estratégia legal quanto a evolução das evidências disponíveis.

As investigações criminais sobre o hack estão em andamento. Agências de aplicação da lei dos EUA, incluindo o FBI, estão conduzindo seus próprios casos contra os atores norte-coreanos. O processo civil da Bybit é explicitamente separado desses procedimentos criminais. A exchange não depende dos cronogramas ou prioridades dos promotores.

A infraestrutura de lavagem de dinheiro que o Grupo Lazarus empregou após a violação da Bybit ilustra como hackers patrocinados por estados profissionalizaram suas operações para explorar as lacunas estruturais na conformidade de criptomoedas. Dentro de horas após o roubo, o Ether roubado passou por uma cascata de carteiras intermediárias projetadas para quebrar a cadeia de proveniência. Os fundos então fluíram por exchanges descentralizadas, pontes entre cadeias e serviços de mistura que não realizam verificações de conhecimento do cliente. Quando as agências de aplicação da lei começaram a coordenar sua resposta, uma parte significativa dos ativos roubados já havia sido convertida em bitcoin e roteada por camadas adicionais de ofuscação. Essa dispersão rápida é uma marca das operações cripto norte-coreanas, refinada por anos de prática em vários roubos de alto perfil.

Uma ação civil oferece várias vantagens que o processo criminal não oferece. Primeiro, o ônus da prova é menor. Casos criminais exigem prova além de dúvida razoável. Casos civis exigem preponderância de evidências. Segundo, um autor civil controla seu próprio caso. A Bybit pode buscar a recuperação em seu próprio cronograma, em vez de esperar por um processo criminal que pode levar anos para culminar em um julgamento.

Terceiro, e mais praticamente, uma ação civil com liminar dá à Bybit um instrumento legal que exchanges e custodiantes devem respeitar. Quando a Bybit identifica fundos roubados em uma plataforma, agora pode apontar para uma ordem judicial em vez de depender de cooperação voluntária. Exchanges que se recusarem a congelar ativos cobertos por uma ordem judicial federal enfrentam exposição legal própria.

A lacuna de 18 meses também permitiu que o rastreamento de blockchain amadurecesse. As semanas iniciais após um grande hack são caóticas. Os fundos se movem rapidamente entre cadeias e por misturadores. Com o tempo, parte desse movimento para. Os fundos ficam em carteiras. Eles acabam em exchanges onde a retirada exige interação com entidades regulamentadas. A liminar visa esses pontos de descanso, as carteiras e contas onde fundos roubados rastreáveis estão atualmente.

Você pode realmente processar a Coreia do Norte e cobrar

Esta é a questão que torna o caso incomum. Processar uma nação soberana em um tribunal estrangeiro não é prática padrão, e cobrar uma sentença contra um país que não participa do sistema financeiro internacional apresenta desafios óbvios.

O arcabouço legal para processar governos estrangeiros em tribunais dos EUA é regido pela Lei de Imunidades Soberanas Estrangeiras. Em circunstâncias normais, estados estrangeiros são imunes a processos em tribunais dos EUA. Mas existem exceções. A exceção de terrorismo, adicionada após as emendas de 1996, permite reivindicações contra estados designados como patrocinadores do terrorismo. A Coreia do Norte está na lista de patrocinadores estatais do terrorismo do Departamento de Estado desde 2017.

Se o roubo de criptomoedas se qualifica sob a exceção de terrorismo é uma questão legal que o tribunal precisará abordar. Casos anteriores sob esta exceção envolveram atos de violência física, tomada de reféns e apoio material a organizações terroristas. Um hack de criptomoedas cometido para ganho financeiro em vez de violência política pode testar os limites do estatuto.

Mesmo que a Bybit obtenha uma sentença padrão (é improvável que a Coreia do Norte envie advogados para defender o caso), cobrar essa sentença contra um estado que opera fora do sistema financeiro convencional é um desafio separado. O valor prático do processo não está em extrair pagamento de Pyongyang, mas nos efeitos acessórios: a liminar que congela ativos, o precedente legal que futuras vítimas podem citar e o sinal para exchanges e custodiantes de que ativos congelados têm uma ordem judicial por trás deles.

O componente John Doe do processo é potencialmente mais acionável. Se as identidades de indivíduos ou entidades que detêm os fundos roubados forem descobertas durante o litígio, eles podem ser adicionados ao caso e sujeitos a ações de execução. Ao contrário da Coreia do Norte, indivíduos que detêm cripto roubado e não cumprem uma ordem judicial federal enfrentam consequências que podem ser aplicadas.

O padrão mais amplo de roubo de criptomoedas norte-coreano

O hack da Bybit não foi um incidente isolado. Foi o maior evento único em uma campanha sustentada de roubo de criptomoedas que as agências de inteligência dos EUA atribuem ao estado norte-coreano.

Grupos norte-coreanos roubaram cerca de US$ 2,02 bilhões em criptomoedas durante 2025, de acordo com dados da Chainalysis. O ataque à Bybit foi responsável pela maior parte desse total. Cumulativamente, grupos ligados à Coreia do Norte roubaram aproximadamente US$ 6,75 bilhões em ativos digitais ao longo de vários anos de operações.

A ameaça continuou em 2026. Em abril, ataques ligados ao Lazarus supostamente drenaram US$ 577 milhões do Drift Protocol e da KelpDAO em dois incidentes separados. Os ataques usaram métodos técnicos diferentes, mas compartilharam o mesmo manual operacional: identificar uma vulnerabilidade em um protocolo DeFi ou exchange, explorá-la rapidamente e mover os fundos roubados através de uma cadeia de lavagem pré-planejada que cruza múltiplas blockchains em horas.

A escala do roubo tem implicações geopolíticas. Agências de inteligência dos EUA e da Coreia do Sul avaliaram que a Coreia do Norte canaliza os lucros do roubo de criptomoedas para seus programas de armas, incluindo o desenvolvimento nuclear e de mísseis. Essa avaliação é uma das razões pelas quais o FBI atribuiu o ataque à Bybit tão rapidamente e por que as autoridades dos EUA têm sido excepcionalmente ativas em coordenar com exchanges para congelar fundos. A escala da violação de fevereiro de 2025, excedendo todos os incidentes anteriores por um fator de três, forçou a indústria a confrontar a inadequação de seus mecanismos de resposta existentes e considerar se a litigância civil poderia preencher a lacuna de execução que o processo criminal deixou aberta.

Para a indústria de criptomoedas, a ameaça norte-coreana tornou-se uma suposição de segurança básica, em vez de um risco excepcional. Exchanges, protocolos DeFi e operadores de pontes agora projetam seus modelos de segurança com atacantes patrocinados pelo estado como um cenário de ameaça primário. O processo da Bybit adiciona uma dimensão legal ao que tem sido principalmente uma resposta técnica e operacional.

O padrão dos ataques norte-coreanos também revela uma preferência por atingir pontos de infraestrutura onde grandes quantidades de valor estão concentradas em uma única operação de assinatura. O ataque à Bybit comprometeu o processo pelo qual a exchange movia fundos entre carteiras frias e quentes. O ataque à ponte Ronin teve como alvo o conjunto de validadores que controlava transferências entre cadeias. Em ambos os casos, os atacantes identificaram o momento em que uma única ação comprometida poderia mover a quantidade máxima de valor. Esse padrão de segmentação forçou as exchanges a repensar como estruturam transações de alto valor, adicionando computação multiparte, módulos de segurança de hardware e execução com atraso de tempo ao que antes eram operações rotineiras.

O que o caso significa para futuras recuperações de hacks

O processo da Bybit pode criar um modelo para como exchanges e outras vítimas buscam fundos roubados através de tribunais civis. Grandes hacks anteriores, incluindo o roubo da ponte Ronin em 2022 e a exploração do Wormhole no mesmo ano, dependeram principalmente da cooperação com a aplicação da lei, congelamentos voluntários por participantes da indústria e programas de recompensa.

Uma ação civil com liminar adiciona uma camada que a cooperação voluntária não pode fornecer: compulsão. Quando um tribunal ordena o congelamento de ativos, o custodiante que os detém tem a obrigação legal de cumprir. A ordem converte um pedido em um requisito, e o não cumprimento acarreta consequências legais.

A abordagem de via dupla, civil e criminal simultaneamente, também importa. Casos criminais seguem os cronogramas dos promotores e servem aos objetivos de execução pública. Casos civis seguem o cronograma do autor e servem aos objetivos de recuperação do autor. Quando ambas as vias operam em paralelo, os fundos roubados enfrentam pressão de múltiplas direções legais.

Para vítimas menores que não têm os recursos da Bybit, o precedente importa mais do que o caso específico. Se o processo conseguir congelar e eventualmente recuperar ativos roubados, ele cria um roteiro que outras vítimas podem seguir. Se produzir opiniões judiciais publicadas sobre questões de jurisdição e imunidade, essas opiniões se tornam ferramentas que futuros autores podem usar para agilizar seus próprios casos.

O caso também testa a disposição da indústria de criptomoedas em cooperar com ordens judiciais civis. Exchanges que recebem pedidos de congelamento apoiados por uma liminar federal enfrentam um cálculo diferente do que exchanges que recebem pedidos informais de uma vítima de hack. A formalização legal do processo de recuperação pode acelerar a conformidade em todo o ecossistema de exchanges.

Há também um argumento de dissuasão, embora sua força contra um ator estatal seja discutível. A maioria dos hackers criminosos pesa o lucro esperado contra a penalidade esperada. Para uma agência de inteligência estatal que canaliza os lucros do roubo para programas de armas, o cálculo é diferente. Mas o processo cria custos na fase de lavagem. Cada exchange que congela ativos em resposta à ordem judicial reduz a quantidade que chega ao seu destino pretendido. Se o processo civil tornar a lavagem 5 ou 10 por cento mais difícil, isso se traduz em centenas de milhões de dólares em valor roubado que não podem ser convertidos em dinheiro. Ao longo de múltiplas operações, o atrito incremental na fase de lavagem se acumula em uma redução significativa na eficácia do programa.

O que observar

Conformidade com a liminar. A ordem só é tão eficaz quanto a disposição dos custodiantes e exchanges em aplicá-la. Fique atento a relatos de exchanges congelando fundos em resposta à ordem, ou a disputas em que custodiantes contestem o escopo da liminar.

Novos réus adicionados ao caso. A estrutura John Doe permite que a Bybit adicione indivíduos e entidades identificados à medida que a descoberta avança. Se a rastreabilidade blockchain levar a custodiantes, exchanges ou balcões de OTC específicos que processaram fundos roubados, eles poderão se tornar partes no processo.

Resposta ou não resposta da Coreia do Norte. Réus soberanos em tribunais dos EUA normalmente invocam imunidade e contestam a jurisdição ou simplesmente ignoram os procedimentos. A abordagem da Coreia do Norte determinará se o caso prosseguirá por julgamento à revelia ou por litígio contestado sobre as questões jurisdicionais.

Taxa de recuperação em comparação com a via criminal. A Bybit vem trabalhando com as autoridades desde fevereiro de 2025. O processo civil agora corre em paralelo. Comparar os valores recuperados por cada via indicará se o litígio civil agrega capacidade de recuperação significativa além do que a aplicação da lei criminal alcança sozinha.

Ações judiciais subsequentes de outras vítimas de hacks. Se o caso da Bybit sobreviver aos desafios jurisdicionais e produzir recuperação de ativos, outras vítimas de hacks patrocinados por estados podem entrar com ações civis semelhantes. Fique atento a casos de vítimas dos ataques ao Drift Protocol e KelpDAO, que também são atribuídos ao Grupo Lazarus.

Coordenação internacional no congelamento de ativos. A ordem judicial dos EUA se aplica a entidades dentro da jurisdição dos EUA, mas criptomoedas roubadas circulam globalmente. Fique atento a ações legais paralelas em jurisdições como Singapura, Reino Unido e UE, onde exchanges e custodiantes podem deter partes dos fundos lavados. Um congelamento coordenado em múltiplas jurisdições seria significativamente mais eficaz do que uma ordem de um único país.

Adaptação da Coreia do Norte à pressão legal. Grupos de hackers patrocinados pelo Estado adaptam suas técnicas de lavagem de dinheiro em resposta a ações de execução. Se o processo civil tornar a lavagem de dinheiro baseada em exchanges convencionais mais difícil, os atacantes podem migrar para negociação peer-to-peer, exchanges descentralizadas sem KYC, ou blockchains de privacidade. A velocidade e a natureza dessa adaptação indicarão quanta fricção a abordagem legal cria.

Perguntas frequentes