Bybit подає до суду на Північну Корею, і це може спрацювати

Біржа подала цивільний позов до федерального суду США проти Північної Кореї, її розвідувального агентства та Lazarus Group у зв'язку з хакерською атакою на суму 1,5 мільярда доларів у лютому 2025 року. Суддя вже заморозив вкрадені активи. Ця справа перевіряє, чи може цивільне право зробити те, чого не змогло кримінальне переслідування.

7 серпня 2026 року Bybit оголосила, що подала цивільний позов до окружного суду США по округу Колумбія проти Корейської Народно-Демократичної Республіки, її розвідувального агентства Розвідувальне бюро Генерального штабу та Lazarus Group. Скарга стосується злому 21 лютого 2025 року, в результаті якого з біржі, що базується в Дубаї, було виведено понад 400 000 ефірів та стейкованих ефірів, що на той час оцінювалося приблизно в 1,5 мільярда доларів і досі залишається найбільшою зафіксованою крадіжкою криптовалюти.

Ця заява є незвичною майже в усіх аспектах. Приватна компанія подає до суду на суверенну державу в суді США. Відповідачі включають державне розвідувальне агентство та хакерську групу, яка діє під його керівництвом. Вкрадені активи були відмиті через тисячі гаманців, конвертовані між блокчейнами та пропущені через мікшер-сервіси, призначені для розриву сліду транзакцій. І все ж федеральний суддя видав попередню заборону, тобто суд уже визначив, що є достатньо доказів та правових підстав для заморожування ідентифікованих вкрадених активів, поки триває справа.

Питання не в тому, чи є цей позов символічно важливим. Очевидно, що так. Питання в тому, чи може він дати практичний результат: повернення вкрадених коштів, створення судового прецеденту для майбутніх справ або обидва. Справа з'являється в момент, коли криптоіндустрія шукає інституційні інструменти для доповнення своїх технічних захистів. Відстеження блокчейну, співпраця бірж та винагороди за виявлення помилок були основними механізмами відновлення після великих зломів. Цивільний позов, підкріплений постановою федерального суду, вводить правовий інструмент, який не був широко випробуваний у криптоконтексті, але має глибокий прецедент у традиційних судових процесах щодо повернення активів.

Що саме стверджує позов

У скарзі названо трьох відповідачів. Корейська Народно-Демократична Республіка названа суверенною державою, яка керувала крадіжкою через свій розвідувальний апарат. Розвідувальне бюро Генерального штабу, головна зовнішньорозвідувальна організація Північної Кореї, назване агентством, яке здійснювало нагляд за операцією. Lazarus Group названа загрозою, яка виконала технічну частину.

Справу порушено за теоріями цивільної відповідальності, які не вимагають присутності відповідачів у суді. Bybit домагається позову через правові механізми, доступні проти суверенних держав та їх агентів, коли ці держави звинувачуються у спонсоруванні дій, що завдають фінансової шкоди приватним особам. Закон про імунітет іноземних суверенів зазвичай захищає іноземні уряди від судових позовів у судах США, але існують винятки для державного спонсорства тероризму та певної комерційної діяльності.

Поряд зі скаргою Bybit отримала попередню заборону щодо відповідачів John Doe, неідентифікованих осіб та організацій, які володіють активами, відстеженими до крадіжки. Заборона забороняє їм передавати, продавати або іншим чином розпоряджатися визначеними активами. Попередня заборона не є остаточним рішенням. Вона зберігає майно під час судового розгляду. Але її отримання вимагає демонстрації судді, що позивач, ймовірно, досягне успіху по суті, і що активи будуть під загрозою розтрати без цього наказу.

Генеральний директор Bybit Бен Чжоу представив подання у термінах, які підкреслювали відповідальність, а не фінансове відшкодування. «Наш фокус ніколи не змінювався: захистити наших користувачів перш за все, відновити те, що ми можемо, і забезпечити, щоб люди, які стоять за цими атаками, були притягнуті до відповідальності», — сказав Чжоу у заяві.

Як відбувся злом у лютому 2025 року

Порушення сталося 21 лютого 2025 року, коли зловмисники зламали інфраструктуру безпеки Bybit і вивели з біржі понад 400 000 ETH та stETH. На той момент активи оцінювалися приблизно в 1,5 мільярда доларів, що зробило це найбільшою крадіжкою криптовалюти в історії.

ФБР приписало атаку північнокорейським акторам протягом кількох днів. Бюро ідентифікувало виконавців під операційною назвою TraderTraitor і закликало біржі, валідатори та блокчейн-компанії блокувати транзакції, пов'язані з адресами, визначеними в операції з відмивання грошей. Швидкість атрибуції була помітною. Розвідувальні служби США роками стежили за операціями Lazarus Group, і ончейн-сигнатури атаки збігалися з патернами попередніх північнокорейських кампаній.

Зловмисники швидко почали відмивати вкрадені кошти. Протягом першого тижня значна частина ETH була конвертована в Bitcoin через кросс-чейн мости. Потім Bitcoin був розподілений по тисячах гаманців за схемою, призначеною для перевантаження інструментів відстеження. До березня 2025 року генеральний директор Bybit повідомив, що 88,87 відсотка вкрадених коштів залишаються відстежуваними, тоді як 7,59 відсотка зникли через крипто-мікшери, а 3,54 відсотка були заморожені.

Правова архітектура скарги відображає прораховану стратегію для подолання незвичайного виклику подання позову проти суверенної держави та її розвідувального апарату. Подавши позов до округу Колумбія, Bybit розміщує справу в юрисдикції, де федеральні суди регулярно розглядають справи, що стосуються іноземних держав та міжнародних санкцій. Виняток FSIA для державного тероризму добре встановлений у цьому суді, з десятиліттями прецедентів у справах проти Ірану, Сирії та Лівії, що забезпечують дорожню карту для позивачів, які прагнуть пред'явити вимоги до суверенних відповідачів, які відмовляються з'являтися. Попередня заборона на заморожування вкрадених активів демонструє, що суд готовий здійснювати юрисдикцію та видавати виконувані накази ще до відповіді відповідачів, що у справі проти Північної Кореї може ніколи не статися.

Відстежувана частка зменшувалася протягом наступних місяців. До квітня 2025 року Чжоу розкрив, що 27,6 відсотка вкрадених коштів більше не можна відстежити. Зловмисники використовували комбінацію кросс-чейн протоколів, мікшерів та децентралізованих бірж, щоб заплутати сліди. Кожен перехід між ланцюгами та кожен прохід через мікшер робив решту коштів важчими для відстеження.

Bybit покрив негайний дефіцит через покупки ETH, кредити та депозити від контрагентів галузі. Біржа продовжувала обробляти виведення коштів клієнтами протягом усієї кризи, уникаючи колапсу ліквідності, який слідував за іншими великими зломами бірж. Оперативна реакція широко визнана однією з найефективніших відновлень після злому в історії галузі.

Масштаб операції з відмивання грошей виявляє витонченість північнокорейського апарату. Зловмисники не просто відправили вкрадені ETH в один мікшер і чекали. Вони запустили багатоетапний конвеєр. Спочатку ETH був обміняний на інші токени через децентралізовані біржі, щоб розірвати прямий зв'язок з гаманцями Bybit. Потім токени були переведені на інші ланцюги, в основному Bitcoin, через кросс-чейн протоколи. Потім Bitcoin був розділений на тисячі новостворених гаманців за схемою, яка називається відмиванням "peel chain", де кожен гаманець надсилає невелику частину до пункту призначення та пересилає решту наступному гаманцю в ланцюжку. Кожен етап додавав шар обфускації, і весь процес був автоматизований за допомогою скриптів, які виконувалися швидше, ніж аналітики могли стежити в реальному часі.

Чому цивільний позов і чому саме зараз

Час подання викликає очевидне питання: чому чекали 18 місяців? Відповідь включає як юридичну стратегію, так і еволюцію наявних доказів.

Кримінальні розслідування злому тривають. Правоохоронні органи США, включаючи ФБР, ведуть власні справи проти північнокорейських акторів. Цивільний позов Bybit явно відокремлений від цих кримінальних проваджень. Біржа не залежить від графіків чи пріоритетів прокурорів.

Інфраструктура відмивання грошей, яку використовувала група Lazarus після злому Bybit, демонструє, як державні хакери професіоналізували свої операції, щоб використовувати структурні прогалини у комплаєнсі криптовалют. Протягом кількох годин після крадіжки вкрадені Ether пройшли через каскад проміжних гаманців, призначених для розриву ланцюга походження. Потім кошти пройшли через децентралізовані біржі, міжланцюгові мости та міксери, які не проводять перевірку клієнтів (KYC). До того часу, коли правоохоронні органи почали координувати свою відповідь, значна частина вкрадених активів вже була конвертована в біткоїн і пройшла через додаткові шари обфускації. Це швидке розсіювання є ознакою північнокорейських криптооперацій, відточених роками практики під час численних гучних крадіжок.

Цивільний позов дає кілька переваг, яких немає у кримінальному переслідуванні. По-перше, тягар доказування нижчий. Кримінальні справи вимагають доказів поза розумним сумнівом. Цивільні справи вимагають переваги доказів. По-друге, цивільний позивач контролює свою справу. Bybit може домагатися відшкодування за власним графіком, а не чекати на кримінальне переслідування, яке може тривати роками, перш ніж буде винесено вирок.

По-третє, і це найпрактичніше, цивільний позов із попередньою судовою забороною дає Bybit юридичний інструмент, який біржі та зберігачі повинні поважати. Коли Bybit виявляє вкрадені кошти на платформі, вона тепер може посилатися на судовий наказ, а не покладатися на добровільну співпрацю. Біржі, які відмовляються заморозити активи, що підпадають під дію федерального судового наказу, стикаються з власною юридичною відповідальністю.

18-місячний розрив також дозволив дозріти відстеженню блокчейну. Перші тижні після великого злому хаотичні. Кошти швидко рухаються через ланцюги та міксери. З часом частина цього руху припиняється. Кошти осідають у гаманцях. Вони потрапляють на біржі, де виведення вимагає взаємодії з регульованими суб'єктами. Попередня судова заборона націлена на ці точки зупинки, гаманці та рахунки, де зараз знаходяться відстежувані вкрадені кошти.

Чи можете ви насправді подати до суду на Північну Корею та стягнути кошти

Це питання робить цю справу незвичайною. Подавати до суду на суверенну державу в іноземному суді не є стандартною практикою, а стягнення судового рішення проти країни, яка не бере участі в міжнародній фінансовій системі, створює очевидні труднощі.

Правова основа для подання позовів до іноземних урядів у судах США регулюється Законом про іноземні державні імунітети. За звичайних обставин іноземні держави мають імунітет від позовів у судах США. Але існують винятки. Виняток щодо тероризму, доданий після поправок 1996 року, дозволяє подавати позови проти держав, визнаних спонсорами тероризму. Північна Корея перебуває у списку держав-спонсорів тероризму Державного департаменту з 2017 року.

Чи підпадає крадіжка криптовалюти під виняток щодо тероризму, є юридичним питанням, яке суд має розглянути. Попередні справи за цим винятком стосувалися актів фізичного насильства, захоплення заручників та матеріальної підтримки терористичних організацій. Злом криптовалюти, здійснений з метою фінансової вигоди, а не політичного насильства, може перевірити межі статуту.

Навіть якщо Bybit отримає заочне рішення (Північна Корея навряд чи надішле адвокатів для захисту справи), стягнення за цим рішенням проти держави, яка діє поза межами звичайної фінансової системи, є окремим викликом. Практична цінність позову полягає не в отриманні платежу від Пхеньяна, а в супутніх ефектах: попередня судова заборона, яка заморожує активи, юридичний прецедент, на який можуть посилатися майбутні жертви, та сигнал біржам і зберігачам, що заморожені активи мають за собою судовий наказ.

Компонент John Doe у позові потенційно більш дієвий. Якщо під час судового розгляду будуть виявлені особи фізичних або юридичних осіб, які володіють вкраденими коштами, їх можна додати до справи та застосувати до них примусові заходи. На відміну від самої Північної Кореї, особи, які володіють вкраденою криптовалютою і не виконують федеральний судовий наказ, стикаються з наслідками, які можуть бути застосовані.

Ширша картина північнокорейської крадіжки криптовалют

Злом Bybit не був ізольованим інцидентом. Це була найбільша окрема подія в кампанії крадіжок криптовалют, яку американські розвідувальні служби приписують північнокорейській державі.

Північнокорейські групи вкрали приблизно 2,02 мільярда доларів у криптовалюті протягом 2025 року, згідно з даними Chainalysis. Атака на Bybit становила більшу частину цієї суми. Сукупно групи, пов'язані з Північною Кореєю, вкрали приблизно 6,75 мільярда доларів у цифрових активах за кілька років діяльності.

Загроза тривала і в 2026 році. У квітні атаки, пов'язані з Lazarus, нібито викачали 577 мільйонів доларів з Drift Protocol та KelpDAO у двох окремих інцидентах. Атаки використовували різні технічні методи, але мали спільний операційний сценарій: виявити вразливість у DeFi-протоколі або біржі, швидко її експлуатувати та перемістити вкрадені кошти через заздалегідь спланований ланцюг відмивання, який перетинає кілька блокчейнів протягом годин.

Масштаб крадіжки має геополітичні наслідки. Розвідувальні служби США та Південної Кореї оцінили, що Північна Корея спрямовує доходи від криптокрадіжок у свої програми озброєнь, включаючи розробку ядерної та ракетної зброї. Ця оцінка є однією з причин, чому ФБР так швидко приписало атаку на Bybit, і чому американська влада була надзвичайно активною в координації з біржами для заморожування коштів. Масштаб порушення в лютому 2025 року, який перевищив усі попередні інциденти втричі, змусив індустрію протистояти неадекватності своїх існуючих механізмів реагування та розглянути, чи може цивільне судочинство заповнити прогалину в правозастосуванні, яку залишило кримінальне переслідування.

Для криптоіндустрії північнокорейська загроза стала базовим припущенням безпеки, а не винятковим ризиком. Біржі, DeFi-протоколи та оператори мостів тепер розробляють свої моделі безпеки, розглядаючи державних спонсорованих зловмисників як основний сценарій загрози. Позов Bybit додає правовий вимір до того, що в основному було технічною та операційною відповіддю.

Схема північнокорейських атак також виявляє перевагу націлювання на інфраструктурні точки, де великі обсяги вартості зосереджені в одній операції підписання. Атака на Bybit скомпрометувала процес, за допомогою якого біржа переміщувала кошти між холодними та теплими гаманцями. Атака на міст Ronin націлилася на набір валідаторів, які контролювали кросчейн-перекази. В обох випадках зловмисники визначили момент, коли одна скомпрометована дія могла перемістити максимальну суму вартості. Ця схема націлювання змусила біржі переосмислити, як вони структурують високовартісні транзакції, додаючи багатосторонні обчислення, апаратні модулі безпеки та відкладені за часом виконання до того, що раніше було рутинними операціями.

Що ця справа означає для майбутнього повернення вкраденого

Позов Bybit може створити шаблон для того, як біржі та інші жертви можуть повертати вкрадені кошти через цивільні суди. Попередні великі злами, включаючи крадіжку моста Ronin у 2022 році та експлойт Wormhole того ж року, покладалися в основному на співпрацю з правоохоронними органами, добровільні замороження учасниками індустрії та програми винагород.

Цивільний позов із попередньою судовою забороною додає рівень, який добровільна співпраця не може забезпечити: примус. Коли суд наказує заморозити активи, зберігач, який їх утримує, має юридичне зобов'язання виконати. Наказ перетворює прохання на вимогу, а невиконання має юридичні наслідки.

Двоколійний підхід, цивільний і кримінальний, що діють одночасно, також має значення. Кримінальні справи рухаються за графіком прокурорів і служать цілям публічного правозастосування. Цивільні справи рухаються за графіком позивача і служать цілям відшкодування позивачу. Коли обидві колії діють паралельно, вкрадені кошти зазнають тиску з кількох правових напрямків.

Для менших жертв, які не мають ресурсів Bybit, прецедент важливіший, ніж конкретна справа. Якщо позов успішно заморозить і зрештою поверне вкрадені активи, це створить дорожню карту, якою можуть скористатися інші жертви. Якщо він призведе до опублікованих судових рішень з питань юрисдикції та імунітету, ці рішення стануть інструментами, які майбутні позивачі зможуть використовувати для спрощення власних справ.

Справа також перевіряє готовність криптоіндустрії співпрацювати з цивільними судовими наказами. Біржі, які отримують запити на замороження, підкріплені федеральною судовою забороною, стикаються з іншим розрахунком, ніж біржі, які отримують неформальні запити від жертви злому. Юридична формалізація процесу повернення може прискорити дотримання вимог у екосистемі бірж.

Існує також аргумент стримування, хоча його сила проти державного суб'єкта є дискусійною. Більшість кіберзлочинців зважують очікуваний прибуток проти очікуваного покарання. Для державної розвідувальної служби, яка спрямовує доходи від крадіжок у програми озброєнь, розрахунок інший. Але позов створює витрати на етапі відмивання. Кожна біржа, яка заморожує активи у відповідь на судовий наказ, зменшує суму, яка досягає призначеного пункту. Якщо цивільний позов ускладнить відмивання на 5 або 10 відсотків, це означає сотні мільйонів доларів вкраденої вартості, які не можна конвертувати в готівку. Протягом кількох операцій додаткове тертя на етапі відмивання накопичується у значне зниження ефективності програми.

Що дивитися

Дотримання попередньої судової заборони. Наказ діє настільки, наскільки зберігачі та біржі готові його виконувати. Слідкуйте за повідомленнями про заморожування коштів біржами у відповідь на наказ або за суперечками, де зберігачі оскаржують обсяг заборони.

Додаткові відповідачі, додані до справи. Структура John Doe дозволяє Bybit додавати ідентифікованих осіб та організації в міру розслідування. Якщо трасування блокчейну приведе до конкретних зберігачів, бірж або позабіржових майданчиків, які обробляли вкрадені кошти, вони можуть стати сторонами судового процесу.

Реакція Північної Кореї або її відсутність. Суверенні відповідачі в судах США зазвичай або посилаються на імунітет і оскаржують юрисдикцію, або просто ігнорують процес. Підхід Північної Кореї визначить, чи буде справа розглядатися за заочним рішенням, чи через оскаржуваний судовий процес з питань юрисдикції.

Рівень відшкодування порівняно з кримінальним шляхом. Bybit співпрацює з правоохоронними органами з лютого 2025 року. Цивільний позов тепер триває паралельно. Порівняння сум, відшкодованих через кожен шлях, покаже, чи додає цивільний процес значної здатності до відшкодування понад те, що досягається лише кримінальним переслідуванням.

Подальші позови від інших жертв хакерських атак. Якщо справа Bybit переживе оскарження юрисдикції та призведе до відшкодування активів, інші жертви державних хакерських атак можуть подати подібні цивільні скарги. Слідкуйте за справами жертв атак Drift Protocol та KelpDAO, які також приписують Lazarus Group.

Міжнародна координація заморожування активів. Наказ суду США застосовується до суб'єктів у межах юрисдикції США, але вкрадені криптовалюти рухаються глобально. Слідкуйте за паралельними судовими діями в таких юрисдикціях, як Сінгапур, Велика Британія та ЄС, де біржі та зберігачі можуть тримати частини відмитих коштів. Скоординоване багатоюрисдикційне заморожування було б значно ефективнішим, ніж наказ однієї країни.

Адаптація Північної Кореї до правового тиску. Державні хакерські групи адаптують свої методи відмивання грошей у відповідь на правоохоронні заходи. Якщо цивільний позов ускладнить традиційне відмивання через біржі, зловмисники можуть перейти до однорангової торгівлі, децентралізованих бірж без KYC або конфіденційних блокчейнів. Швидкість і характер цієї адаптації покажуть, наскільки правовий підхід створює перешкоди.

Часті запитання