Bybit诉朝鲜案：拆解15亿美元追偿行动背后的法律布局（上）

2025年2月，加密交易所Bybit遭遇黑客攻击，损失约15亿美元，后FBI认定系朝鲜所为。2026年，Bybit在美国起诉朝鲜、Lazarus Group及匿名被告，援引RICO、CFAA等法律，旨在追回资产。文章分析其策略：通过RICO将攻击定性为犯罪组织行为，扩大追责范围；利用华盛顿特区法院管辖对朝起诉，但面临主权豁免障碍。核心是借助法院命令冻结涉案资产，并沿资金流追查协助者。

本文作者：张倩文

一、从15亿美元盗币案，到一场针对朝鲜的联邦诉讼

一次黑客攻击，如何升级为国家安全事件

2025年2月21日，Bybit在进行一笔以太坊冷钱包常规转账时遭遇攻击，超过40万枚ETH及相关质押资产被转走，当时价值约15亿美元，成为加密货币行业迄今规模最大的盗币事件之一。

攻击者并未直接破解Bybit冷钱包私钥，而是通过入侵Safe{Wallet}开发人员设备，篡改交易界面并生成一笔经过伪装的恶意交易。签名者看到的是一笔正常转账，实际签署的交易逻辑却已被篡改。

得手后，攻击者迅速将资产拆分至大量钱包地址，并通过代币兑换、跨链桥、混币工具和交易平台在多条区块链之间转移。资金轨迹虽然记录在公开账本上，但随着资产不断被拆分、转换和跨链，其控制人身份以及后续流向越来越难以识别。

五天后，美国联邦调查局（FBI）正式认定此次攻击由朝鲜实施，并将相关朝鲜网络行为体称为“TraderTraitor”。FBI同时公布了一批关联地址，并呼吁交易所、跨链桥、区块链分析机构、DeFi服务商及其他虚拟资产服务提供商阻断相关交易。

至此，这起事件不再只是一家交易所遭遇的重大安全事故，而被纳入了美国针对朝鲜国家支持型网络攻击、虚拟资产盗窃及制裁规避活动的执法框架。

攻击发生后，Bybit一面处理用户提现和流动性问题，一面与区块链分析机构、交易所、托管商及多国执法机关合作，持续追踪被盗资产。截至其公布诉讼时，约4,840万美元已经追回，另有约3,050万美元在超过28家交易所和托管机构被冻结。

但仅凭链上追踪和行业自愿协作仍然无法解决一些关键问题：谁有权要求平台冻结资产？冻结可以持续多久？匿名钱包由谁控制？资产经过多次兑换和转手以后，Bybit是否仍然享有可执行的返还请求权？

2026年6月18日，Bybit以密封方式向美国哥伦比亚特区联邦地区法院提起民事诉讼，将朝鲜民主主义人民共和国、朝鲜侦察总局、Lazarus Group以及若干身份尚未查明的个人和实体列为被告。该案名称为Bybit Technology Limited v. Democratic People’s Republic of Korea et al.，案号为1:26-cv-02173。

Bybit没有立即公开诉讼，而是在密封期间先申请紧急救济。法院随后签发临时限制令，并于2026年7月30日部分批准初步禁令，禁止相关匿名被告转移、出售或者以其他方式处分已经识别的涉案数字资产。直到8月6日，部分案卷才被解封；8月7日，Bybit正式对外宣布起诉朝鲜及Lazarus Group。

起诉朝鲜，真正要解决的问题是什么

从新闻标题看，这似乎是一场颇具戏剧性的诉讼：一家注册及运营均不在美国的加密资产交易所，来到美国联邦法院，起诉一个几乎不可能出庭和履行美国判决的主权国家。

但如果把注意力从“朝鲜会不会赔钱”转向“被盗资产如何追回”，这场诉讼的策略逻辑便开始显现——Bybit援引RICO法案，将案件提交至哥伦比亚特区联邦地区法院，把未知资金控制人列为John Doe匿名被告，并采取先密封起诉、申请资产保全，再公开案件的程序安排——这些行动说明，Bybit真正寻求的可能不只是一纸针对朝鲜的赔偿判决，更是一套围绕数字资产追回所设计的法律工程。

因此，这起案件真正值得讨论的不是朝鲜会不会出庭或赔偿，而是当攻击者无从抓捕、难以送达、资产分散在全球链上时，Bybit如何设计一场诉讼，让法院即使控制不了攻击者，也仍有机会控制其留下的资产。

二、为什么选择RICO：从一次攻击升级为一套犯罪网络的诉讼叙事

理解Bybit的第一项诉讼策略，需要先回答一个问题：为什么选择援引的是美国《反勒索及受贿组织法》，即RICO法案？

如果Bybit仅以盗窃、欺诈或者非法侵入计算机提起诉讼，案件更容易被聚焦于2025年2月21日发生的单次攻击及其直接参与者。

问题在于，直接攻击者可能身处朝鲜，身份不明，也几乎没有可以在美国直接执行的资产。即使Bybit取得胜诉判决，也未必能追回多少资金。

但国家支持型虚拟资产盗窃通常是一条完整的产业链：从目标筛选、恶意代码开发和钱包控制，到资产拆分、跨链兑换、混币处理、场外交易和法币退出，不同环节可能由不同主体完成。在这个链条中，真正有机会被找到、有账户可以冻结、有资产可以执行的，往往是后续资金转移和洗钱网络中的参与者。

因此，Bybit需要一种能够穿透单次攻击、覆盖整个犯罪链条的法律框架。RICO提供的正是这种可能性。

RICO关注的不是一次攻击，而是背后的犯罪组织

RICO是Racketeer Influenced and Corrupt Organizations Act的缩写，通常译为《反勒索及受贿组织法》或《反有组织犯罪法》。这部法律诞生于1970年，最初主要用于打击美国黑手党。当时，执法机关往往只能抓到直接实施杀人、纵火或敲诈的底层成员，却很难触及那些制定规则、分配利益、指挥组织，但不亲自实施犯罪的幕后核心人物。

RICO解决的正是这个问题。它不再只问“某个人是否实施了某一次犯罪”，还会进一步追问：是否存在一个持续运作的组织？不同参与者是否围绕共同目的分工合作？一系列看似独立的犯罪，是否实际上属于这个组织长期经营的一部分？换句话说，普通侵权诉讼关注的是一棵被砍倒的树；而RICO则试图证明，背后存在一支长期、有组织地砍伐整片森林的队伍。

本案中，Bybit试图建立的法律叙事是：这并非一次偶发的黑客攻击，而是朝鲜通过侦察总局、Lazarus Group及相关协助者，持续实施网络入侵、虚拟资产盗窃和资金清洗活动的一部分。案件关注的对象由此从“谁实施了这次攻击”，扩大为“谁参与经营或协助维持这套犯罪体系”。

要让这一叙事转化为有效的RICO主张，Bybit不能只证明资产被盗，还需要围绕几个核心要件建立证据链。

首先，需要证明存在一个RICO意义上的“企业”。这里的企业不一定是依法注册的公司，也可以是一群为了共同目的而持续协作的个人或实体。Bybit需要证明，朝鲜、侦察总局、Lazarus Group及相关协助者并非彼此孤立，而是一个围绕盗窃和处置虚拟资产形成的组织网络。

其次，需要证明存在“犯罪活动模式”。RICO针对的不是一次偶发违法，而是一系列相互关联并具有持续性的犯罪行为。因此，Bybit不能只证明本次攻击，还需要说明它与其他网络盗窃以及后续持续进行的欺诈、洗钱和资金转移活动存在联系。

再次，相关行为必须属于RICO列明的“前置犯罪”，例如电信欺诈、洗钱以及特定计算机犯罪等。

最后，还需要证明有关被告参与了该犯罪企业的经营、管理或共谋。链上记录可以清楚显示资产从哪里流向哪里，但某个钱包曾接收过被盗资产，只能说明资金流向，不能单独证明钱包控制人知道资产来源，更不能当然证明其与Lazarus Group具有共同犯罪目的。RICO要求法院进一步判断：地址背后是谁、其知道什么，以及其在整个犯罪网络中承担了什么角色。

RICO的第一项战略价值，是把责任从直接攻击者扩大到整个协助网络。

被盗资产最终要实现价值，通常仍需经过中转钱包、跨链和兑换服务、场外交易渠道、交易所、托管商及法币出口。这些主体未必参与最初的攻击，但如果明知资金来源，仍持续协助转移、隐藏或变现，就可能被纳入RICO企业或RICO共谋的责任范围。

因此，RICO真正威慑的对象，不是本来就不会服从美国法院的朝鲜，而是位于朝鲜之外、仍然依赖银行账户、商业牌照和主流金融体系的协助者。

RICO的第二项战略价值，是提高潜在责任。

民事RICO制度允许胜诉原告原则上请求三倍损害赔偿及合理律师费。以约15亿美元的直接损失计算，理论赔偿规模可能达到约45亿美元。

当然，理论赔偿金额不等于实际可执行的金额。但是，三倍赔偿会显著改变外围参与者的风险计算——对于协助转移资金的中间人而言，其面临的法律后果可能不再只是退回手续费或者返还经手资金，而是被指参与犯罪网络，并承担远高于自身获利的赔偿和应诉成本。

RICO的第三项战略价值，是为后续扩大被告范围提供法律框架。

起诉时，Bybit可能只能通过链上分析识别接收或转移被盗资产的钱包地址。随着诉讼推进，如果某些地址背后的主体被确认，或者证据显示某些主体反复参与拆分、兑换或清洗资金，Bybit便可以尝试追加具名被告，并进一步主张其参与RICO企业或共谋。