Bybit reicht wegen eines Hackerangriffs in Höhe von 1,5 Mrd. US-Dollar eine RICO-Klage gegen Nordkorea ein

Das Unternehmen reichte die Zivilklage am 18. Juni 2026 unter Verschluss beim US-Bezirksgericht für den District of Columbia ein. Sie wurde diese Woche öffentlich gemacht. In der Klage werden die Demokratische Volksrepublik Korea, ihr Generalbüro für Aufklärung sowie die Lazarus-Gruppe, die berüchtigte staatliche Hacker-Einheit, als Beklagte genannt.

Hacker nutzen eine Routinetransaktion aus

Im Mittelpunkt des Falls steht der Diebstahl von mehr als 400.000 Ethereum-Token am 21. Februar 2025. Die Hacker schlugen während einer scheinbar routinemäßigen Überweisung aus einer der „Cold Wallets“ – also Offline-Speicherwallets – von Bybit zu. Die Ermittler stellten später fest, dass die Angreifer den Computer eines Entwicklers bei Safe{Wallet} kompromittiert hatten – einer Art Multi-Signatur-Protokoll, das Bybit zur Verwaltung seiner Wallets nutzte – und dort bösartigen Code eingeschleust hatten, der sich erst aktivierte, wenn die spezifische Wallet-Adresse von Bybit erschien.

Nach der Genehmigung einer scheinbar normalen internen Überweisung veränderte der versteckte Code stattdessen die zugrunde liegende Transaktion. Dadurch konnten die Angreifer eine Hintertür installieren und die Wallet innerhalb weniger Minuten leerräumen.

Bybit bemüht sich, seine Kunden zu schützen

Bybit reagierte darauf, indem es Auszahlungsanträge von Kunden in Höhe von mehr als 4 Milliarden US-Dollar abdeckte, ohne Konten zu sperren – ein Schritt, der dazu beitrug, das Vertrauen in die Börse während der Krise zu bewahren. Das Unternehmen zahlte zudem 2,3 Millionen US-Dollar im Rahmen eines Kopfgeldprogramms aus, mit dem Ermittler für die Aufspürung der gestohlenen Gelder belohnt wurden.

Die Rückverfolgung dieser Gelder hat sich als schwierig erwiesen. Die Angreifer wandelten einen Großteil des Ethereum in Bitcoin um und verteilten es mithilfe von Mixern, kettenübergreifenden Brücken und unregulierten Handelsplattformen auf Tausende von Wallets. Als Bybit Klage einreichte, gab das Unternehmen an, dass etwa 90 % der gestohlenen Vermögenswerte nicht mehr nachverfolgbar seien.

Nordkoreas Hacking-Welle nimmt zu

Der Diebstahl war kein Einzelfall. Chainalysis, ein Blockchain-Analyseunternehmen, stellte fest, dass nordkoreanische Hacker allein im Jahr 2025 Kryptowährungen im Wert von etwa 2,02 Milliarden US-Dollar gestohlen haben – ein Anstieg um 51 % gegenüber dem Vorjahr. Forscher schätzen, dass das Regime im Laufe der Zeit digitale Vermögenswerte im Wert von 6,75 Milliarden US-Dollar gestohlen hat – Gelder, die laut US-Beamten zur Finanzierung seiner Waffenprogramme beitragen.

Die Lazarus-Gruppe hat seit Jahren Krypto-Plattformen ins Visier genommen, darunter einen Diebstahl in Höhe von 620 Millionen US-Dollar von der Ronin-Bridge im Jahr 2022 und einen Hack bei Harmony im selben Jahr, bei dem 100 Millionen US-Dollar erbeutet wurden. In der Klage von Bybit wird argumentiert, dass diese Vorfälle ein Muster organisierter Erpressung bilden, wobei sich das Unternehmen auf den „Racketeer Influenced and Corrupt Organizations Act“ (RICO) sowie auf den „Computer Fraud and Abuse Act“ und das „Alien Tort Statute“ beruft.

Gericht handelt zügig, um Gelder einzufrieren

Bybit fordert die Rückgabe der gestohlenen Gelder, Schadenersatz in Höhe von rund 1,5 Milliarden US-Dollar sowie zusätzlichen Strafschadenersatz. Das Gericht hat bereits auf einen Teil dieses Antrags reagiert.

Am 19. Juni erließ ein Richter eine einstweilige Verfügung, die die Übertragung bestimmter nachverfolgbarer Vermögenswerte untersagte. Am 30. Juli gab das Gericht einer einstweiligen Verfügung teilweise statt, mit der Vermögenswerte von nicht identifizierten Beklagten, die mit den gestohlenen Geldern in Verbindung stehen, eingefroren wurden.

Rückgewinnungsbemühungen zeigen erste Ergebnisse

Bislang hat Bybit rund 48,4 Millionen US-Dollar zurückgewonnen und weitere 30,5 Millionen US-Dollar bei mehr als 28 Börsen und Verwahrstellen eingefroren. Das Unternehmen erklärte, seine Zusammenarbeit mit den Ermittlern habe den deutschen Behörden zudem dabei geholfen, die Börse eXch zu schließen, und im Rahmen einer deutsch-schweizerischen Operation den Krypto-Mixer Cryptomixer.io außer Betrieb zu setzen. Zhou bezeichnete den Hack als „Angriff auf das Vertrauen in unsere Branche“ und betonte, Bybit sei weiterhin entschlossen, den Fall gemeinsam mit den Strafverfolgungsbehörden zu verfolgen.

Wie geht es weiter?

Rechtsexperten werden beobachten, wie das Gericht mit Klagen gegen einen souveränen Staat umgeht, da es nach wie vor unwahrscheinlich ist, dass ein Urteil direkt von Nordkorea vollstreckt werden kann. Die unmittelbareren Auswirkungen könnten sich aus den Vermögenssperren und den fortlaufenden Ermittlungsmaßnahmen ergeben, die Vermittler, die gestohlene Gelder halten, unter Druck setzen könnten, diese herauszugeben. Leser sollten im weiteren Verlauf des Rechtsstreits auf weitere Gerichtsentscheidungen in diesem Fall, zusätzliche Vermögensrückführungen sowie etwaige parallele Maßnahmen der US-Strafverfolgungsbehörden achten.