FBI potwierdza, że północnokoreańscy hakerzy ukradli 1,5 miliarda dolarów podczas napadu na Bybit

FBI oficjalnie powiązało niedawny atak hakerski na giełdę kryptowalut Bybit z TraderTraitor, północnokoreańską grupą hakerską, która prawdopodobnie jest częścią niesławnej grupy Lazarus . Kradzież na kwotę 1,5 miliarda dolarów, która należy do największych włamań na kryptowaluty w historii, podkreśla ciągłe uzależnienie Korei Północnej od cyberprzestępczości w finansowaniu swojego reżimu.

Jak doszło do włamania do Bybit

Atak miał miejsce 21 lutego 2025 r., kiedy hakerzy z powodzeniem zinfiltrowali zimny portfel Ethereum firmy Bybit. Śledczy ustalili, że naruszenie pochodziło z Safe{Wallet}, zdecentralizowanej platformy depozytowej. Hakerzy zdołali włamać się do komputera programisty Safe{Wallet}, co pozwoliło im na wstrzyknięcie złośliwego kodu do pliku JavaScript.

Atak złośliwego kodu

19 lutego atakujący potajemnie zmodyfikowali kod JavaScript Safe{Wallet}, przygotowując grunt pod napad. Złośliwy kod pozostał uśpiony do czasu przetworzenia legalnej transakcji przez Bybit 21 lutego. Podczas procesu podpisywania transakcji kod zmienił adres odbiorcy, przekierowując środki do portfela kontrolowanego przez hakerów.

Po dokonaniu kradzieży napastnicy szybko usunęli złośliwy kod, zacierając ślady i utrudniając wykrycie.

FBI potwierdza zaangażowanie Grupy Lazarus

FBI wydało oficjalny alert w środę, stwierdzając, że za atak odpowiada TraderTraitor, podgrupa Lazarus. Agencja monitoruje TraderTraitor od 2022 r. ze względu na trwające cyberataki na firmy blockchain i kryptowalutowe.

Jak prane są skradzione kryptowaluty

Według FBI skradzione Ethereum jest szybko konwertowane na Bitcoin i inne wirtualne aktywa. Hakerzy wykorzystują tysiące adresów blockchain, aby zaciemnić przepływ środków, zanim ostatecznie zamienią je na walutę fiducjarną.

To nie jest pierwszy poważny atak na kryptowaluty przeprowadzony przez grupę Lazarus — wcześniej była ona powiązana z kradzieżą 308 milionów dolarów z serwisu Bitcoin.DMM.com i wieloma innymi cyberprzestępstwami.

Próby odzyskania skradzionych funduszy przez Bybita

Bybit, który twierdzi, że jest drugą co do wielkości giełdą kryptowalut na świecie pod względem wolumenu obrotu, uruchomił program bug bounty, aby zachęcić do odzyskiwania funduszy. Program oferuje:

• 5% odzyskanych środków zostanie przekazane podmiotowi, któremu uda się zamrozić skradzione kryptowaluty.
• 5% dla osób lub zespołów, które pomogą w odnalezieniu skradzionych aktywów.

Aktualny stan wysiłków na rzecz odzyskania

Pomimo tych wysiłków, do tej pory zamrożono tylko 42 mln USD (3% skradzionych funduszy). Kolejne 95 mln USD pozostaje „w oczekiwaniu na odpowiedź” od różnych usług kryptowalutowych, ale nie odzyskano żadnych dodatkowych funduszy.

Bybit wypłacił ponad 4 miliony dolarów nagród tym, którzy pomagali w śledzeniu i zamrażaniu skradzionych aktywów. Jednak niektóre usługi kryptograficzne odmówiły współpracy, co spowolniło wysiłki na rzecz odzyskania.

Bybit zapewnia użytkownikom stabilność finansową

Pośród obaw o masową kradzież, dyrektor generalny Bybit, Ben Zhou, zapewnił klientów, że firma pozostaje wypłacalna, a aktywa użytkowników są w pełni zabezpieczone. „Nie zatrzymamy się, dopóki Lazarus i inni źli aktorzy w branży nie zostaną wyeliminowani” — oświadczył Zhou. Ogłosił również plany otwarcia platformy nagród za błędy Bybit dla innych ofiar Lazarus Group w przyszłości.

Kryptoprzestępczość w górę

Hack Bybit to tylko część większego trendu w przestępczości kryptowalutowej. Raport o przestępczości kryptowalutowej z 2025 r. opublikowany w środę przez Chainalysis ujawnił, że znane adresy przestępcze związane z kryptowalutami otrzymały co najmniej 40 miliardów dolarów w nielegalnych transakcjach w 2024 r. Oczekuje się, że kwota ta wzrośnie do 51 miliardów dolarów po przeanalizowaniu wszystkich danych.

Hack Bybit podkreśla rosnące zagrożenie północnokoreańską cyberprzestępczością, szczególnie przeciwko platformom kryptowalutowym. Podczas gdy wysiłki na rzecz śledzenia i odzyskiwania skradzionych funduszy trwają, incydent podkreśla pilną potrzebę silniejszych środków bezpieczeństwa w branży blockchain.

Ponieważ Lazarus Group i TraderTraitor nadal aktywnie atakują aktywa kryptograficzne, giełdy i inwestorzy muszą zachować czujność i stosować solidne protokoły cyberbezpieczeństwa w celu ochrony przed coraz bardziej wyrafinowanymi atakami.