Bybit kiện Triều Tiên và Lazarus Group vụ hack 1,5 tỷ USD, thắng lệnh phong tỏa tài sản và truy vết tiền theo phán quyết của tòa

Trong vụ trộm tiền mã hóa lớn nhất lịch sử, nhóm Lazarus của Triều Tiên—được FBI chính thức xác nhận là thủ phạm—đã đánh cắp khoảng 1,5 tỷ USD từ Bybit vào ngày 21/2/2025 . 18 tháng sau, Bybit đã thực hiện một bước đi pháp lý chưa từng có: nộp đơn kiện dân sự chính quốc gia Triều Tiên.

Hành động pháp lý của Bybit và kết quả ban đầu

Vào ngày 7/8/2026, Bybit, sàn giao dịch tiền mã hóa lớn thứ hai thế giới tính theo khối lượng giao dịch, đã đệ đơn kiện dân sự lên Tòa án Quận Columbia của Mỹ, nhắm vào Cộng hòa Dân chủ Nhân dân Triều Tiên (DPRK), Cục Do thám Tổng hợp (RGB) và nhóm Lazarus .

Đơn kiện ban đầu được nộp dưới dạng niêm phong vào ngày 18/6/2026 và được công bố vào đầu tháng 8/2026 . Tòa án đã hành động ngay: ngày 19/6/2026, một thẩm phán liên bang đã chấp thuận yêu cầu của Bybit về việc thu thập chứng cứ nhanh (expedited discovery), mở đường cho sàn giao dịch xác định các bên trung gian bị cáo buộc và truy vết tiền bị đánh cắp trên blockchain . Cùng ngày, thẩm phán cũng ban hành lệnh cấm tạm thời (preliminary injunction) phong tỏa một số tài sản bị đánh cắp do các cá nhân và thực thể vô danh (bị đơn John Doe) nắm giữ, ngăn chặn việc chuyển nhượng hoặc tẩu tán các tài sản này trong thời gian vụ kiện diễn ra .

Bybit tuyên bố đang mở rộng hợp tác với các cơ quan thực thi pháp luật và các đối tác trong ngành để tăng cường trách nhiệm giải trình đối với tội phạm mạng liên quan đến tiền mã hóa . Lệnh phong tỏa tài sản dân sự và lệnh thu thập chứng cứ trực tiếp hỗ trợ khả năng của cơ quan chức năng trong việc theo dõi và cuối cùng là thu hồi số tiền bị đánh cắp vẫn đang di chuyển trong hệ sinh thái tiền mã hóa.

Mối liên hệ với các cuộc điều tra hình sự

Vụ kiện dân sự của Bybit diễn ra song song với cuộc điều tra hình sự do FBI dẫn đầu. FBI đã công khai quy kết vụ hack Bybit cho Triều Tiên vào ngày 26/2/2025, xác định hoạt động mạng độc hại cụ thể này là "TraderTraitor" (còn được theo dõi là APT38) . Bybit xác nhận vụ kiện dân sự vẫn tách biệt với các cuộc điều tra hình sự đang diễn ra của Mỹ .

Cách tiếp cận hai hướng—thu hồi tài sản dân sự và truy tố hình sự—là chiến lược tiêu chuẩn trong các vụ án tài chính lớn, cho phép Bybit theo đuổi lệnh phong tỏa tài sản ngay lập tức trong khi cơ quan thực thi pháp luật xây dựng hồ sơ hình sự của mình.

Quy mô và các vụ trộm tiền mã hóa của Triều Tiên

Vụ hack Bybit là sự kiện lớn nhất trong một mô hình rộng lớn hơn nhiều. Theo hãng phân tích blockchain Chainalysis, tin tặc Triều Tiên đã đánh cắp ít nhất 2,02 tỷ USD tiền mã hóa trong năm 2025, tăng 51% so với cùng kỳ năm trước, nâng tổng số tiền bị đánh cắp lũy kế lên 6,75 tỷ USD . Trên toàn cầu, tổng số tiền mã hóa bị đánh cắp trong năm 2025 đạt 3,4 tỷ USD .

Các vụ trộm tiếp diễn đến năm 2026. Riêng trong nửa đầu năm, tin tặc liên quan đến Triều Tiên đã đánh cắp khoảng 643 triệu USD, chiếm khoảng 2/3 tổng số tiền mã hóa bị đánh cắp trên toàn thế giới . Tháng 4/2026, hai vụ tấn công được thực hiện chính xác vào các nền tảng tài chính phi tập trung (DeFi)—một vụ xâm phạm Drift Protocol trị giá 285 triệu USD và một vụ khai thác Kelp DAO trị giá 292 triệu USD—chiếm tới 76% tổng thiệt hại do hack tiền mã hóa được theo dõi cho đến thời điểm đó .

Phương thức hoạt động của tin tặc Triều Tiên

Các nhóm tin tặc Triều Tiên đã phát triển một bộ công cụ tinh vi. Bản thân vụ hack Bybit liên quan đến việc thao túng giao diện ký đa chữ ký (multisig) trong một lần chuyển Ethereum thông thường từ ví lạnh sang ví ấm của Bybit, đánh lừa những người ký phê duyệt một hợp đồng độc hại khiến ví bị rút sạch .

Các phương pháp khác bao gồm:

• Kỹ thuật xã hội (Social engineering): BlueNoroff, một đơn vị nhỏ dưới trướng Lazarus chuyên về tài chính, được xác định lần đầu vào năm 2014 NN, sử dụng các cuộc gọi Zoom và Microsoft Teams giả mạo với các đường link họp có tên miền sai chính tả (typosquatting), do thám kỹ lưỡng và chiếm đoạt tài khoản Telegram để lừa các giám đốc điều hành tiền mã hóa cài đặt phần mềm độc hại N.
• Xác định loại ví (Wallet fingerprinting): Bộ công cụ lừa đảo của BlueNoroff quét máy tính nạn nhân để tìm ví tiền mã hóa trước khi tiến hành tấn công, đảm bảo chỉ nhắm vào các mục tiêu có giá trị cao N.
• Tấn công chuỗi cung ứng: Tháng 7/2026, Amazon Threat Intelligence cho biết các tác nhân Triều Tiên có liên quan đến các vụ xâm phạm các thư viện phần mềm mã nguồn mở phổ biến (gói Node Package Manager) để cài backdoor .

Mối đe dọa thường trực từ BlueNoroff

Tính đến tháng 8/2026, BlueNoroff vẫn hoạt động rất mạnh. Các nhà nghiên cứu mô tả nền tảng lừa đảo do người điều hành vận hành này triển khai video deepfake AI và phần mềm độc hại quét ví với điểm số nghiêm trọng CVSS lên tới 9,5 (mức nguy hiểm) N. Nhóm này tiếp tục nhắm mục tiêu vào các giám đốc điều hành Web3, sàn giao dịch tiền mã hóa và các nền tảng DeFi thông qua các chiến dịch kỹ thuật xã hội ngày càng tinh vi . Trong hơn 5 tháng bắt đầu từ cuối năm 2025, hơn 80 tên miền giả đã được đăng ký cho các cuộc tấn công này, và các đoạn video bị đánh cắp được kết hợp với hình ảnh do AI tạo ra để tăng độ tin cậy . Nghiên cứu của Arctic Wolf đã xác định hơn 100 nạn nhân ở hơn 20 quốc gia, trong đó 41% ở Mỹ N.

Những chiến dịch đang diễn ra này cho thấy lý do tại sao vụ kiện dân sự của Bybit, cuộc điều tra hình sự của FBI và sự hợp tác trong toàn ngành đều quan trọng: chính cơ sở hạ tầng do nhà nước bảo trợ đã đánh cắp 1,5 tỷ USD từ Bybit hiện đang tích cực nhắm vào nạn nhân tiếp theo ngay lúc này.