Bybit控告北韓及Lazarus Group 15億美元竊案：法院批准凍結資產與追查資金

該訴訟最初於2026年6月18日密封提交，並於2026年8月初解封。法院已採取行動：2026年6月19日，一名聯邦法官批准了Bybit的加速證據開示請求，爲該交易所提供了一條識別涉嫌中介機構並追蹤區塊鏈上被盜資金的實際途徑。同一法官還發佈了初步禁令，凍結了由被列爲「John Doe」被告的未具名個人和實體持有的部分被盜資產，在案件審理期間禁止他們轉移或揮霍這些資產。

Bybit表示，正在擴大與執法機構及行業夥伴的合作，以加強對加密相關網絡犯罪的究責。民事資產凍結和證據開示命令直接支持執法部門追蹤並最終追回仍在加密生態系統中流動的被盜資金的能力。

這與刑事調查的關聯

Bybit的民事訴訟與FBI主導的刑事調查平行進行。FBI於2025年2月26日公開將Bybit駭客攻擊歸咎於北韓，並將此特定惡意網絡活動命名爲「TraderTraitor」（也追蹤爲APT38）。Bybit已確認，此民事案件與正在進行的美國刑事調查保持獨立。

這種雙軌策略—民事資產追回與刑事起訴—是重大金融犯罪中的標準做法，允許Bybit在執法部門建立刑事案件的同時，立即尋求資產凍結。

北韓加密貨幣盜竊的規模

Bybit竊案是更大模式中的單一最大事件。根據區塊鏈情報公司Chainalysis的數據，北韓駭客在2025年至少竊取了20.2億美元的加密貨幣，年增51%，使北韓的累計加密貨幣盜竊總額（下限）達到67.5億美元。全球範圍內，2025年加密貨幣盜竊總額達到34億美元。

盜竊行爲持續到2026年。僅在該年上半年，與北韓有關的駭客就竊取了約6.43億美元，約佔全球所有被盜加密資金的三分之二。2026年4月，兩起針對去中心化金融平臺的精準攻擊—Drift Protocol的2.85億美元漏洞和Kelp DAO的2.92億美元漏洞—合計佔該月所有加密駭客損失的76%。

北韓駭客使用的手法

北韓駭客組織已發展出一套複雜的工具包。Bybit駭客攻擊本身涉及在從Bybit冷錢包向熱錢包進行例行以太坊轉賬時，操縱多重簽名簽署界面，欺騙簽署者批准一個惡意合約，從而耗盡錢包。

其他方法包括：

• 社交工程： BlueNoroff是Lazarus Group的一個以經濟動機爲主的分支，最初於2014年被識別，利用假的Zoom和Microsoft Teams通話（帶有錯植域名的會議鏈接）、深度偵察以及被劫持的Telegram賬戶，誘騙加密貨幣高管安裝惡意軟件。
• 錢包指紋識別： BlueNoroff的釣魚工具包在發動攻擊前會掃描受害者的機器以識別加密貨幣錢包，確保只針對高價值目標。
• 供應鏈攻擊： 2026年7月，Amazon Threat Intelligence將北韓行爲者與流行的開源軟件庫（Node Package Manager包）的入侵聯繫起來，這些入侵被用來注入後門。

BlueNoroff帶來的持續威脅

截至2026年8月，BlueNoroff仍然非常活躍。研究人員將此操作驅動的釣魚平臺描述爲部署了AI深度僞造視頻和錢包掃描惡意軟件，其CVSS嚴重性評分爲9.5（嚴重）。該組織繼續通過日益複雜的社交工程活動， targeting Web3高管、加密貨幣交易所和DeFi平臺。從2025年底開始的五個月內，爲這些攻擊註冊了超過80個虛假域名，被盜的視頻片段與AI生成的圖像相結合以增強可信度。Arctic Wolf的研究在超過20個國家的100多名受害者中找到了證據，其中41%在美國。

這些持續的活動凸顯了爲何Bybit的民事訴訟、FBI的刑事調查以及整個行業的合作都至關重要：那個從Bybit竊取了15億美元的同一批國家資助的基礎設施，此刻正在積極 targeting 下一個受害者。