Bybit подає до суду на Північну Корею та Lazarus Group через злом на $1,5 млрд: суд заморожує активи та дозволяє відстеження коштів

Позов спочатку був поданий під грифом "таємно" 18 червня 2026 року, а розсекречений на початку серпня 2026 року . Суд уже вжив заходів: 19 червня 2026 року федеральний суддя задовольнив клопотання Bybit про прискорене розкриття доказів (expedited discovery), що дало біржі практичний інструмент для ідентифікації ймовірних посередників і відстеження вкрадених коштів у блокчейні . Той самий суддя також видав попередню заборону (preliminary injunction), яка заморожує певні вкрадені активи, що перебувають у невстановлених осіб та організацій, визначених як відповідачі "John Doe", і забороняє їх передачу або розтрату на час судового процесу .

Bybit заявив, що розширює співпрацю з правоохоронними органами та індустріальними партнерами для підвищення відповідальності за кіберзлочини, пов'язані з криптовалютами . Цивільне замороження активів і судові накази про розкриття інформації безпосередньо допомагають правоохоронцям відстежувати і, зрештою, повертати вкрадені кошти, які все ще переміщуються криптоекосистемою.

Як це пов'язано з кримінальними розслідуваннями

Цивільний позов Bybit розглядається паралельно з кримінальними розслідуваннями, які веде ФБР. ФБР публічно звинуватило Північну Корею у зламі Bybit 26 лютого 2025 року, назвавши цю кібератаку "TraderTraitor" (також відома як APT38) . Bybit підтвердив, що цивільна справа залишається окремою від триваючих кримінальних розслідувань США .

Такий двосторонній підхід — цивільне повернення активів і кримінальне переслідування — є стандартною стратегією у справах про великі фінансові злочини. Він дозволяє Bybit домагатися негайного замороження активів, поки правоохоронці будують кримінальну справу.

Масштаби крадіжок криптовалюти Північною Кореєю

Злом Bybit — це найбільший інцидент у набагато ширшій схемі. За даними аналітичної компанії Chainalysis, північнокорейські хакери вкрали щонайменше $2,02 мільярда у криптовалюті у 2025 році, що на 51% більше, ніж роком раніше. Це підвищило нижню межу загальної суми вкрадених КНДР криптоактивів до $6,75 мільярда . Загалом у 2025 році обсяг криптовалютних крадіжок у світі сягнув $3,4 мільярда .

Крадіжки тривали і в 2026 році. Лише за перше півріччя хакери, пов'язані з Північною Кореєю, вкрали приблизно $643 мільйони, що становить близько двох третин усіх вкрадених у світі криптоактивів . У квітні 2026 року дві точно виконані атаки на платформи децентралізованих фінансів (DeFi) — злом Drift Protocol на $285 мільйонів та експлойт Kelp DAO на $292 мільйони — разом склали 76% усіх втрат від зломів за цей місяць .

Методи, які використовують північнокорейські хакери

Північнокорейські хакерські угруповання розробили складний інструментарій. Сам злом Bybit передбачав маніпуляцію інтерфейсом підписання multisig під час звичайного переказу Ethereum з холодного гаманця Bybit на теплий. Хакери обманом змусили підписантів схвалити шкідливий контракт, який спустошив гаманець .

Інші методи включають:

• Соціальна інженерія: BlueNoroff, фінансово мотивований підрозділ Lazarus Group, вперше виявлений у 2014 році , використовує підроблені дзвінки Zoom та Microsoft Teams з фальшивими посиланнями, глибоку розвідку та зламані акаунти Telegram, щоб обманом змусити керівників криптокомпаній встановити шкідливе програмне забезпечення .
• Фінгерпринтинг гаманців: Фішинговий набір BlueNoroff сканує комп'ютери жертв на наявність криптогаманців перед атакою, гарантуючи, що лише високоцінні цілі проходять далі .
• Атаки на ланцюжок постачання: У липні 2026 року Amazon Threat Intelligence пов'язала північнокорейських акторів із компрометацією популярних бібліотек відкритого програмного забезпечення (пакетів Node Package Manager) для впровадження бекдорів .

Постійна загроза від BlueNoroff

Станом на серпень 2026 року BlueNoroff залишається надзвичайно активним. Дослідники описують цю операторську фішингову платформу як таку, що розгортає AI-діпфейк-відео та шкідливе програмне забезпечення для сканування гаманців з оцінкою серйозності CVSS 9,5 (критична) . Група продовжує націлюватися на керівників Web3, криптобіржі та платформи DeFi через дедалі складніші кампанії соціальної інженерії . За п'ять місяців, починаючи з кінця 2025 року, для цих атак було зареєстровано понад 80 фальшивих доменів, а викрадені відеозаписи комбінувалися із зображеннями, згенерованими ШІ, для підвищення довіри . Дослідження Arctic Wolf виявило понад 100 жертв у більш ніж 20 країнах, включаючи 41% у США .

Ці постійні кампанії підкреслюють, чому цивільний позов Bybit, кримінальне розслідування ФБР та загальногалузева співпраця є такими важливими: та сама державна інфраструктура, яка вкрала $1,5 мільярда у Bybit, зараз активно шукає наступну жертву.