A Bybit új szintre emelte a 2025 februárjában történt, mintegy 1,5 milliárd dolláros kriptolopás utáni hajszát: a kriptotőzsde polgári pert indított Észak-Korea, annak katonai hírszerzése és a Lazarus Group ellen. Az amerikai bíróság közben előzetes intézkedéssel megtiltotta egyes, már azonosított ellopott eszközök továbbmozgatását. A Bybit hack ügye ezért már nem pusztán egy rekordméretű kibertámadás története, hanem annak tesztje is, hogy a blokkláncok nyilvános tranzakciós adatai, a nemzetközi hatósági együttműködés és a hagyományos jog milyen hatékonyan használható fel ellopott kriptovagyon visszaszerzésére.
A Bybit már bíróságon is üldözi a Lazarus Groupot
A Bybit 2026. augusztus 7-én jelentette be, hogy polgári pert indított az Egyesült Államok Columbia Kerületi Szövetségi Bíróságán. Az alperesek között szerepel a Koreai Népi Demokratikus Köztársaság, vagyis Észak-Korea, az ország Reconnaissance General Bureau nevű katonai hírszerző szervezete, valamint a Lazarus Group. A keresetben olyan, egyelőre ismeretlen személyeket és szervezeteket is megneveztek „John Doe” alperesként, amelyek a feltételezések szerint az ellopott vagyon birtoklásában vagy mozgatásában vesznek részt.
Az ügy egyik legfontosabb eddigi fejleménye, hogy a bíróság előzetes intézkedést, úgynevezett preliminary injunctiont adott ki. Ez megtiltja az ügyhöz kötött, már azonosított eszközök átruházását vagy eltüntetését a per folyamatban lévő szakaszában. A bíróság a Bybit közlése szerint azt is megállapította, hogy a tőzsde megfelelően valószínűsítette, hogy érdemben sikerrel járhat a keresetével.
Ez azonban fontos jogi különbséget rejt. A végzés nem jelenti azt, hogy a teljes 1,5 milliárd dollárnyi lopott kriptovagyon befagyott, és még kevésbé azt, hogy azt már vissza is kapta a Bybit. Az intézkedés azokra az azonosított eszközökre vonatkozik, amelyek elérhetővé váltak a jogi eljárás számára.
A polgári per ráadásul nem helyettesíti a büntetőeljárásokat. A Bybit szerint párhuzamosan továbbra is együttműködik többek között az FBI-jal, blokklánc-adatokat és nyomozati információkat osztva meg a hatóságokkal.
Mit jelent valójában a kriptovagyon befagyasztása?
A hagyományos pénzügyi rendszerben egy bírósági végzés alapján egy bank viszonylag egyszerűen zárolhat egy bankszámlát. A decentralizált kriptovalutáknál azonban más a helyzet.
A natív Ether vagy Bitcoin mögött nincs olyan központi kibocsátó, amely egyetlen utasítással befagyaszthatná az adott érméket. Ez lényegesen különbözik például bizonyos centralizált stablecoinoktól, amelyeknél a kibocsátó technikailag rendelkezhet címek blokkolását lehetővé tevő mechanizmussal.
Ez azonban nem jelenti azt, hogy az ellopott BTC vagy ETH érinthetetlen.
Ha a bűncselekményből származó kripto egy centralizált tőzsdére, letétkezelőhöz vagy más szabályozott szolgáltatóhoz kerül, megjelenik egy olyan szereplő, amely ténylegesen képes megtagadni a további kiutalást. Egy bírósági végzés, szankciós lista vagy hatósági megkeresés ezért kritikus jelentőségű lehet.
A Bybit jelenlegi eredménye éppen ezt mutatja: a nyilvános blokkláncon azonosított érmék önmagukban nem állnak meg, a pénzügyi infrastruktúra egyes „kapuinál” azonban igen.
A blokklánc egyik sajátossága ráadásul paradox módon segítheti a nyomozókat. Bár a címek jellemzően pszeudonimek, a tranzakciók tartósan és nyilvánosan rögzülnek. Emiatt még több száz vagy több ezer átutalás után is maradhat követhető kapcsolat az eredeti lopás és egy későbbi tárca között. A támadók ezért rétegezéssel, láncok közötti átjárókkal, decentralizált tőzsdékkel és mixerekkel próbálják elhomályosítani a pénz útját.
Így történt a rekordméretű Bybit hack
A támadás 2025. február 21-én történt. Az FBI később hivatalosan Észak-Koreát nevezte meg felelősként, és a műveletet a „TraderTraitor” elnevezésű észak-koreai kibertevékenységhez kötötte. Az amerikai szövetségi nyomozóiroda mintegy 1,5 milliárd dollár értékű virtuális eszköz eltulajdonításáról számolt be.
A támadás különösen tanulságos azért, mert nem egy egyszerű jelszólopás vagy egy Ethereum-protokollhiba okozta.
A Bybit egy úgynevezett cold walletből, vagyis a napi internetes működéstől nagyrészt elkülönített, nagyobb összegek biztonságos tárolására használt tárcából próbált eszközöket mozgatni egy operatív tárcába. A támadók azonban a tranzakció aláírási folyamatát támadták meg.
Technikai elemzések szerint a Safe{Wallet} infrastruktúrájához kapcsolódó kompromittált környezet segítségével olyan manipulált tranzakciót sikerült a jogosult aláírók elé helyezni, amely a felhasználói felületen legitim műveletnek tűnhetett, miközben a ténylegesen aláírt adat módosította a tárca működését. Az NCC Group részletes rekonstrukciója szerint a rosszindulatú kód kifejezetten a Bybit engedélyezett aláíróit célozta.
Ez a biztonsági modell egyik legfontosabb gyenge pontjára világított rá: egy cold wallet önmagában nem jelent teljes védelmet, ha a tranzakció-előkészítő vagy aláírási infrastruktúra kompromittálható.
A lopás értékét az elemzőcégek körülbelül 1,46 milliárd dollárra becsülték. Az eltulajdonított állomány ETH-t és Ethereumhoz kötött tokeneket is tartalmazott; a támadók a tokenek jelentős részét gyorsan Etherre váltották. Az Elliptic megfigyelése szerint röviddel a támadás után az eszközöket 50 különböző tárcába osztották szét, amelyek egyenként nagyjából 10 000 ETH-t tartottak.
THORChain, DEX-ek és mixerek: így próbálták eltüntetni a pénz nyomát
Egy ekkora összeg ellopása csak az első feladat. Az 1,5 milliárd dollárnyi kripto úgy történő pénzzé tétele, hogy a hatóságok és blokklánc-elemző cégek ne tudják követni, legalább ennyire komoly művelet.
A Lazarus Grouphoz kapcsolt szereplők ezért gyorsan elkezdték átalakítani és szétosztani a vagyont.
A DEX, vagy decentralizált tőzsde olyan blokkláncon működő kereskedési protokoll, ahol a felhasználók központi tőzsdei számla nélkül cserélhetnek tokeneket. Ez hasznos a legitim DeFi-piacon, ugyanakkor a bűnözők számára is lehetőséget kínál arra, hogy centralizált szolgáltató közreműködése nélkül váltsanak eszközöket.
Az Elliptic szerint a Bybittől ellopott tokeneket már közvetlenül a támadás után nagyrészt Etherre cserélték. Ennek egyik oka, hogy egyes tokenek kibocsátói képesek címeket befagyasztani, míg a natív ETH esetében nincs ilyen központi mechanizmus.
A következő lépés a láncok közötti mozgatás volt. A későbbi Elliptic-adatok szerint a lopott vagyon mintegy 1,2 milliárd dollárnyi, vagyis körülbelül 85 százalékos része haladt át a THORChain rendszerén. A THORChain egy decentralizált, cross-chain likviditási protokoll, amely lehetővé teszi különböző blokkláncok natív eszközeinek cseréjét. Önmagában ennek használata természetesen nem illegális, de egy ilyen szolgáltatás alkalmas arra, hogy például ETH-ból BTC legyen anélkül, hogy az eszköz feltétlenül hagyományos centralizált tőzsdén haladna át.
A lopott bitcoin egy része ezután mixerek és más adatvédelmi eszközök felé került. A mixer különböző felhasználók kriptoeszközeit keveri vagy más módon töri meg a közvetlen tranzakciós kapcsolatot, megnehezítve annak megállapítását, hogy egy adott kimenő érme pontosan melyik beérkező tranzakcióhoz tartozott.
A lényeg azonban a „megnehezíti” szó. A mixer nem feltétlenül teszi matematikailag vagy nyomozatilag lehetetlenné a kapcsolat feltárását.
A Bybit hack után több pénzmosási útvonalat is felszámoltak
Az ügy jelentőségét jól mutatja, hogy az ellopott vagyon után folyó nyomozás több országon és szolgáltatón vezetett keresztül.
Az egyik fontos szereplő az eXch kriptocsere-szolgáltatás volt. A német hatóságok 2025. április 30-án lefoglalták az infrastruktúráját és leállították a platformot. A német BKA-val együttműködő holland pénzügyi nyomozóhatóság, a FIOD szerint több mint 34 millió eurónyi kriptovalutát és nyolc terabájtnál több adatot foglaltak le. Az eXch-et többek között pénzmosással és illegális kereskedési platform működtetésével gyanúsították.
Az Elliptic már korábban arról számolt be, hogy a Bybittől ellopott vagyonból több tízmillió dollár értékű eszköz haladt át az eXch rendszerén.
2025 végén egy másik fontos infrastruktúra is kiesett. Europol támogatásával német és svájci hatóságok felszámolták a Cryptomixer szolgáltatást. A november 24. és 28. között zajló művelet során három szervert, több mint 12 terabájtnyi adatot és 25 millió eurót meghaladó értékű Bitcoint foglaltak le.
Görögországban szintén sikerült a Bybit-hackből származó pénzhez kapcsolódó eszközöket azonosítani és befagyasztani. A Chainalysis beszámolója szerint a görög pénzmosás elleni hatóság egy gyanús tranzakcióból kiindulva tudott kapcsolatot kimutatni egy helyi tárca és a Bybit támadás elsődleges címei között; ez lett Görögország első ilyen kriptoeszköz-befagyasztási ügye.
Mindez azt mutatja, hogy egy kriptolopás után a visszaszerzés nem egyetlen nagy műveletből áll. Sokkal inkább hónapokig vagy akár évekig tartó folyamat, amelyben egy-egy tőzsdei számla, szerverlefoglalás vagy rosszul elrejtett tranzakció új nyomot adhat.
Mennyi pénzt sikerült eddig visszaszerezni?
A Bybit 2026. augusztusi adatai szerint körülbelül 48,4 millió dollárnyi ellopott eszközt már visszaszereztek, további több mint 30,5 millió dollárt pedig befagyasztottak több mint 28 tőzsdénél és letétkezelőnél.
A két összeg együtt legalább 78,9 millió dollárt jelent. Az eredeti, körülbelül 1,5 milliárd dolláros veszteséghez képest ez nagyjából 5,3 százalék.
Ez egyszerre kevés és jelentős.
Kevés abban az értelemben, hogy a lopott vagyon túlnyomó része továbbra sem került vissza a Bybithez. Jelentős viszont azért, mert egy államilag támogatott, rendkívül fejlett pénzmosási infrastruktúrát használó támadói csoport által mozgatott kriptovagyonból tízmillió dollárokat sikerült ténylegesen elérni.
A „visszaszerzett” és a „befagyasztott” összeg között ugyanakkor különbséget kell tenni. A befagyasztott eszközök még nem feltétlenül kerültek vissza a károsulthoz; a tulajdonjogi, bírósági és adott esetben több országot érintő eljárások tovább folytatódhatnak.
A mostani per egyik fő célja éppen az lehet, hogy több már azonosított eszköz köré teremtsen olyan jogi keretet, amely később megkönnyítheti azok végleges visszaszolgáltatását.
Miért fontos a Bybit hack az egész kriptopiac számára?
Az ügy messze túlmutat egyetlen tőzsde veszteségén.
A Chainalysis becslése szerint az Észak-Koreához kötött hackerek 2025-ben legalább 2,02 milliárd dollárnyi kriptovalutát loptak el, ami 51 százalékos növekedést jelentett az előző évhez képest. A vállalat alsó becslése szerint az észak-koreai szereplők által ellopott kriptovagyon kumulált összege 2025 végére elérte a 6,75 milliárd dollárt.
Ebből következően a Bybit elleni egyetlen, körülbelül 1,5 milliárd dolláros támadás önmagában az egész éves észak-koreai kriptolopási volumen nagyjából háromnegyedét adta.
Ez komoly rendszerkockázati kérdést vet fel.
A kriptoszektor korábban elsősorban az okosszerződések hibáira, privát kulcsok védelmére és DeFi-protokollok sebezhetőségeire koncentrált. A Bybit esetében viszont az egyik legnagyobb veszteséget egy kifinomult, az aláírási és külső szolgáltatói infrastruktúrát célzó támadás okozta.
A biztonsági lánc pedig csak annyira erős, mint a leggyengébb pontja. Nem elegendő tehát egy privát kulcsot hidegen tárolni, ha a tranzakciót előkészítő szoftver, az aláírók által használt felület vagy egy külső technológiai partner kompromittálható.
Piaci szempontból ennek három következménye lehet.
Az első a letétkezelési és aláírási szabványok szigorodása. Nagy intézményeknél várhatóan még fontosabbá válik a tranzakciók egymástól független rendszereken történő ellenőrzése, a clear-signing és a külső szolgáltatók biztonságának auditálása.
A második a blokklánc-elemzés és az AML-rendszerek felértékelődése. Az AML, vagyis anti-money laundering a pénzmosás elleni ellenőrzési rendszereket jelenti. Egy tőzsde számára már nem feltétlenül elegendő azt ellenőrizni, hogy egy adott Ethereum-cím rajta van-e valamely tiltólistán: a pénz több láncon, DEX-en és bridge-en át történő mozgatását is fel kell tudni ismerni.
A harmadik a decentralizált infrastruktúra szabályozási kockázatának növekedése. A THORChainhez, DEX-ekhez vagy mixerekhez hasonló rendszereknek legitim felhasználása is van, ám amikor államilag támogatott támadók milliárdos összegeket mozgatnak rajtuk keresztül, elkerülhetetlenül nagyobb hatósági és politikai figyelem irányul rájuk.
Mi történhet most? Három lehetséges forgatókönyv
A kedvező forgatókönyv szerint a bírósági végzés és az újonnan megszerzett nyomozati adatok további tárcák és közvetítők azonosítását teszik lehetővé. Ha az eszközök szabályozott tőzsdékre vagy más, hatósági együttműködésre képes szolgáltatókhoz kerülnek, újabb befagyasztások és visszaszerzések következhetnek. Az eXch és a Cryptomixer infrastruktúrájából lefoglalt nagy mennyiségű adat később is adhat új nyomokat.
A semleges forgatókönyv szerint további kisebb összegek kerülnek elő, miközben a vagyon jelentős része tartósan olyan címeken vagy csatornákon marad, amelyek felett a hatóságok nem rendelkeznek gyakorlati kontrollal. Ebben az esetben a per fő jelentősége inkább precedensértékű és elrettentő lehet, mintsem a teljes kár visszaszerzésében mérhető.
A kedvezőtlen forgatókönyv az, hogy a pénzmosási lánc nagy része már olyan szinten fragmentálódott, illetve olyan fiat- vagy kriptoeszközökbe került át, amelyek tényleges lefoglalása nem lehetséges. Ebben az esetben még a tranzakciós út sikeres rekonstruálása sem jelent automatikusan visszaszerezhető vagyont.
A legfontosabb következtetés ezért nem az, hogy a Bybit biztosan visszakapja-e az 1,5 milliárd dollárt. Erre jelenleg nincs alap.
A lényeg inkább az, hogy a Bybit hack megmutatta a kriptopiac két, látszólag egymásnak ellentmondó tulajdonságát. A blokklánctranzakciók valóban nehezen visszafordíthatók, és a decentralizált eszközöket nem lehet egyszerűen központilag zárolni. Ugyanakkor a nyilvános tranzakciós előzmények miatt egy hatalmas lopás nyomai évekkel később is megmaradhatnak.
Ha pedig a lopott vagyon valamikor találkozik egy szabályozott tőzsdével, letétkezelővel vagy más, jogilag elérhető infrastruktúrával, a blokkláncon látható digitális nyom hirtelen nagyon is kézzelfogható eszközzé válhat.
Gyakori kérdések
Mi történt a Bybit hack során?
- február 21-én támadók körülbelül 1,5 milliárd dollár értékű kriptoeszközt tulajdonítottak el a Bybit Ethereum-tárcájából. Az FBI később hivatalosan Észak-Koreához kötötte a támadást.
Ki állt a Bybit feltörése mögött?
Az FBI a támadást az Észak-Koreához kapcsolódó TraderTraitor kibertevékenységnek tulajdonította. A Bybit keresetében Észak-Korea mellett a Reconnaissance General Bureau és a Lazarus Group is szerepel.
Mennyi pénzt szerzett vissza eddig a Bybit?
A vállalat 2026. augusztusi közlése szerint körülbelül 48,4 millió dollárt sikerült visszaszerezni, és további több mint 30,5 millió dollárnyi eszközt fagyasztottak be. Ez együtt az eredeti veszteség valamivel több mint 5 százalékának felel meg.
Visszakaphatja a Bybit a teljes 1,5 milliárd dollárt?
Jelenleg ezt nem lehet megállapítani. A már befagyasztott és visszaszerzett összegek csak a teljes kár kis részét jelentik. További vagyon kerülhet elő, de nincs garancia arra, hogy a lopott eszközök többsége visszaszerezhető lesz.
Mi az a kriptomixer?
A mixer olyan szolgáltatás vagy protokoll, amely megpróbálja megszakítani vagy elhomályosítani a különböző kriptotranzakciók közötti kapcsolatot. Legitim adatvédelmi célokra is használható, ugyanakkor lopott pénzek tisztára mosására is alkalmazhatják.
Miért lehet követni a lopott kriptovalutákat, ha a blokklánc anonim?
A legtöbb nyilvános blokklánc nem teljesen anonim, hanem pszeudonim. A tárcacím mögötti személy neve általában nem látható közvetlenül, de a tranzakciók nyilvánosak. Ha egy címet később egy valódi személyhez vagy tőzsdei számlához tudnak kapcsolni, korábbi tranzakciói is elemezhetők.
Jogi nyilatkozat
Ez az anyag kizárólag tájékoztató és ismeretterjesztő célokat szolgál. Nem minősül befektetési, pénzügyi, jogi vagy kereskedési tanácsadásnak. A kriptovaluták és más digitális eszközök magas kockázatú, jelentős árfolyam-ingadozásnak kitett eszközök lehetnek. Befektetési döntés előtt mindenki saját kutatás alapján, szükség esetén megfelelő szakértő bevonásával mérlegelje a kockázatokat.
