Bybit podal přelomovou civilní žalobu na Severní Koreu kvůli hackerskému útoku skupiny Lazarus v hodnotě 1,5 miliardy dolarů

Žaloba byla původně podána pod pečetí 18. června 2026 a odtajněna byla začátkem srpna 2026 . Soud už mezitím stihl jednat: 19. června 2026 vyhověl soudce žádosti burzy Bybit o urychlené dokazování, čímž burze poskytl praktický nástroj k identifikaci údajných zprostředkovatelů a trasování ukradených finančních prostředků na blockchainu . Tentýž soudce také vydal předběžné opatření, které zmrazuje některá ukradená aktiva držená neidentifikovanými osobami a subjekty označenými jako „John Doe“, a zakazuje jim s těmito aktivy nakládat, dokud případ neskončí .

Společnost Bybit uvedla, že rozšiřuje spolupráci s orgány činnými v trestním řízení a průmyslovými partnery s cílem posílit odpovědnost za kybernetickou kriminalitu související s kryptoměnami . Civilní zmrazení aktiv a příkazy k dokazování přímo podporují schopnost orgánů činných v trestním řízení vysledovat a případně získat zpět ukradené prostředky, které se stále pohybují v kryptoměnovém ekosystému.

Jak to souvisí s trestním vyšetřováním

Civilní žaloba burzy Bybit probíhá souběžně s probíhajícím trestním vyšetřováním vedeným FBI. FBI již 26. února 2025 veřejně připsala útok na Bybit Severní Koreji a konkrétní škodlivou kybernetickou aktivitu označila jako „TraderTraitor“ (rovněž sledovanou jako APT38) . Společnost Bybit potvrdila, že civilní případ zůstává oddělený od probíhajících trestních vyšetřování v USA .

Tento dvoukolejný přístup – civilní vymáhání aktiv a trestní stíhání – je běžnou strategií u závažných finančních trestných činů. Umožňuje burze Bybit usilovat o okamžité zmrazení aktiv, zatímco orgány činné v trestním řízení budují svůj trestní případ.

Rozsah severokorejských krádeží kryptoměn

Útok na Bybit je největším jednotlivým incidentem v mnohem širším vzorci. Podle blockchainové analytické společnosti Chainalysis ukradli severokorejští hackeři v roce 2025 nejméně 2,02 miliardy dolarů v kryptoměnách, což je meziroční nárůst o 51 %, čímž se dolní hranice celkových kumulativních krádeží KLDR vyšplhala na 6,75 miliardy dolarů . Celosvětově dosáhla celková krádež kryptoměn v roce 2025 výše 3,4 miliardy dolarů .

Krádeže pokračovaly i v roce 2026. Jen v prvním pololetí ukradli hackeři napojení na Severní Koreu zhruba 643 milionů dolarů, což představuje přibližně dvě třetiny všech celosvětově ukradených kryptofondů . V dubnu 2026 se dva přesně provedené útoky na platformy decentralizovaného financování – prolomení Drift Protocol ve výši 285 milionů dolarů a zneužití Kelp DAO ve výši 292 milionů dolarů – podílely na 76 % všech ztrát z hackerských útoků na kryptoměny evidovaných do konce tohoto měsíce .

Metody používané severokorejskými hackery

Severokorejské hackerské skupiny si vytvořily sofistikovanou sadu nástrojů. Samotný útok na Bybit zahrnoval manipulaci s rozhraním pro podepisování multisig během rutinního převodu Etherea z cold wallet burzy Bybit do warm wallet, čímž podepsáním oklamali, aby schválili škodlivý kontrakt, který wallet vyprázdnil .

Mezi další metody patří:

• Sociální inženýrství: BlueNoroff, finančně motivovaná podjednotka skupiny Lazarus, která byla poprvé identifikována v roce 2014 , používá falešné hovory přes Zoom a Microsoft Teams s překlepovými odkazy na schůzky, hloubkový průzkum a unesené účty na Telegramu, aby nalákala manažery z kryptosféry k instalaci malwaru .
• Rozpoznávání peněženek: Phishingová sada BlueNoroff skenuje počítače obětí na přítomnost kryptoměnových peněženek ještě před spuštěním útoku, čímž zajišťuje, že jsou zpracovávány pouze vysoce hodnotné cíle .
• Útoky na dodavatelský řetězec: V červenci 2026 spojila společnost Amazon Threat Intelligence severokorejské aktéry s kompromitací populárních open-source softwarových knihoven (balíčků Node Package Manager) používaných k vkládání zadních vrátek .

Probíhající hrozby ze strany BlueNoroff

Skupina BlueNoroff je i v srpnu 2026 nadále vysoce aktivní. Výzkumníci popisují tuto operátorem řízenou phishingovou platformu jako nasazující AI deepfake video a malware pro skenování peněženek s CVSS skóre závažnosti 9,5 (kritické) . Skupina nadále cílí na manažery Web3, kryptoměnové burzy a platformy DeFi prostřednictvím stále sofistikovanějších kampaní sociálního inženýrství . Během pěti měsíců od konce roku 2025 bylo pro tyto útoky zaregistrováno více než 80 falešných domén a ukradené videozáznamy byly kombinovány s AI-generovanými obrázky pro zvýšení důvěryhodnosti . Výzkum společnosti Arctic Wolf identifikoval více než 100 obětí ve více než 20 zemích, včetně 41 % ve Spojených státech .

Tyto probíhající kampaně zdůrazňují, proč na civilní žalobě burzy Bybit, trestním vyšetřování FBI a spolupráci v rámci celého odvětví záleží: stejná státem sponzorovaná infrastruktura, která ukradla 1,5 miliardy dolarů burze Bybit, právě v tuto chvíli aktivně hledá svou další oběť.