Bybit 起诉朝鲜：RICO 法案与链上资产追回的法律博弈

据 Woofun AI 消息，2026 年 6 月 18 日，美国哥伦比亚特区联邦地区法院受理了一起极具象征意义的民事诉讼，原告为加密资产交易所 Bybit，被告则包括朝鲜民主主义人民共和国、其下属机构侦察总局以及臭名昭著的网络黑客组织 Lazarus Group。

这一诉讼并非简单的财产纠纷，而是针对 2025 年 2 月 21 日发生的特大盗币事件所发起的法律反击，旨在通过美国联邦司法体系，对分散在全球链上的被盗资产实施冻结与追回。该案案号为 1:26-cv-02173，正式名称为 Bybit Technology Limited v. Democratic People's Republic of Korea et al.，标志着加密货币行业在应对国家级网络攻击时，正从单纯的技术追踪转向复杂的法律工程博弈。

2025 年 2 月 21 日，Bybit 在进行一笔常规的以太坊冷钱包转账时遭遇精心策划的攻击，超过 40 万枚 ETH 及相关质押资产被非法转移，当时市场价值高达 15 亿美元，这不仅是 Bybit 历史上最严重的损失，也是整个加密货币行业迄今规模最大的单一盗币事件之一。攻击者并未直接破解 Bybit 的冷钱包私钥，而是采取了更为隐蔽的社会工程学手段，入侵了 Safe{Wallet}开发人员的设备，篡改交易界面并生成了一笔经过伪装的恶意交易。当授权人员签署时，他们看到的是一笔正常的转账请求，但底层代码逻辑已被替换，导致资产流向攻击者控制的地址。得手后，攻击者迅速将巨额资产拆分至大量钱包地址，并通过代币兑换、跨链桥、混币工具及多个交易平台在多条区块链之间进行复杂转移。

尽管所有交易记录均公开可查，但随着资产不断被拆分、转换和跨链，其最终控制人身份及资金流向变得极难追踪。五天后，美国联邦调查局（FBI）正式认定此次攻击由朝鲜实施，并将相关网络行为体命名为"TraderTraitor"。FBI 同时公布了一批关联地址，并紧急呼吁全球交易所、跨链桥、区块链分析机构、DeFi 服务商及其他虚拟资产服务提供商阻断与这些地址相关的交易。至此，这起原本属于企业安全事故的事件，被正式纳入美国针对朝鲜国家支持型网络攻击、虚拟资产盗窃及制裁规避活动的执法框架之中。

在攻击发生后的数月里，Bybit 一方面全力处理用户提现压力和流动性危机，另一方面与区块链分析机构、全球交易所、托管商及多国执法机关展开紧密合作，持续追踪被盗资产的去向。截至其正式公布诉讼时，通过行业协作已追回约 4,840 万美元，另有约 3,050 万美元在超过 28 家交易所和托管机构被成功冻结。

然而，仅凭链上追踪和行业自愿协作无法解决根本性的法律难题：谁有权要求平台长期冻结资产？匿名钱包由谁实际控制？资产经过多次兑换和转手后，Bybit 是否仍享有可执行的返还请求权？为突破这些瓶颈，Bybit 于 2026 年 6 月 18 日以密封方式向美国哥伦比亚特区联邦地区法院提起民事诉讼。在密封期间，Bybit 优先申请紧急救济，法院随后签发临时限制令，并于 2026 年 7 月 30 日部分批准初步禁令，禁止相关匿名被告转移、出售或以其他任何方式处分已识别的涉案数字资产。直到 2026 年 8 月 6 日，部分案卷才被解封；8 月 7 日，Bybit 正式对外宣布起诉朝鲜及 Lazarus Group，将这场幕后博弈推向公众视野。

从表面看，一家注册及运营均不在美国的加密资产交易所，前往美国联邦法院起诉一个几乎不可能出庭且难以执行判决的主权国家，似乎是一场戏剧性大于实用性的诉讼。但若深入分析其策略逻辑，Bybit 的真正目标并非仅仅获得一纸针对朝鲜的赔偿判决，而是构建一套围绕数字资产追回的法律工程。Bybit 选择援引《反勒索及受贿组织法》（RICO），将案件提交至哥伦比亚特区联邦地区法院，并将未知资金控制人列为 John Doe 匿名被告，采取先密封起诉、申请资产保全再公开案件的程序安排，显示出其意图通过法律手段控制资产而非仅仅惩罚攻击者。

普通盗窃或侵权诉讼往往聚焦于单次攻击及其直接参与者，而直接攻击者可能身处朝鲜，身份不明且在美国境内无可供执行的资产。相比之下，国家支持型虚拟资产盗窃通常是一条完整的产业链，涵盖目标筛选、恶意代码开发、钱包控制、资产拆分、跨链兑换、混币处理、场外交易及法币退出等环节，不同环节可能由不同主体完成。在这个链条中，真正有机会被找到、有账户可以冻结、有资产可以执行的，往往是后续资金转移和洗钱网络中的参与者。因此，Bybit 需要一种能够穿透单次攻击、覆盖整个犯罪链条的法律框架，而 RICO 法案提供了这种可能性。

RICO 法案诞生于 1970 年，最初主要用于打击美国黑手党，旨在解决执法机关只能抓获底层执行者却难以触及幕后指挥者的困境。该法案不再仅关注"某个人是否实施了某一次犯罪"，而是追问是否存在一个持续运作的组织，不同参与者是否围绕共同目的分工合作，以及一系列看似独立的犯罪是否属于该组织长期经营的一部分。在本案中，Bybit 试图建立的法律叙事是：这并非一次偶发的黑客攻击，而是朝鲜通过侦察总局、Lazarus Group 及相关协助者，持续实施网络入侵、虚拟资产盗窃和资金清洗活动的一部分。

案件关注的对象由此从"谁实施了这次攻击"，扩大为"谁参与经营或协助维持这套犯罪体系"。要让这一叙事转化为有效的 RICO 主张，Bybit 必须围绕几个核心要件建立证据链。首先，需证明存在一个 RICO 意义上的"企业"，即一群为了共同目的而持续协作的个人或实体，Bybit 需证明朝鲜、侦察总局、Lazarus Group 及相关协助者并非彼此孤立，而是一个围绕盗窃和处置虚拟资产形成的组织网络。

其次，需证明存在"犯罪活动模式"，即一系列相互关联并具有持续性的犯罪行为，Bybit 不能只证明本次攻击，还需说明它与其他网络盗窃以及后续持续进行的欺诈、洗钱和资金转移活动存在联系。再次，相关行为必须属于 RICO 列明的"前置犯罪"，例如电信欺诈、洗钱以及特定计算机犯罪等。最后，还需证明有关被告参与了该犯罪企业的经营、管理或共谋。链上记录虽能显示资产流向，但仅凭钱包接收过被盗资产，并不能单独证明控制人知晓资产来源或具有共同犯罪目的，RICO 要求法院进一步判断地址背后是谁、其知道什么，以及其在整个犯罪网络中承担的角色。

Woofun AI 整理数据显示，RICO 法案为 Bybit 带来了显著的追偿优势，但也伴随着巨大的法律风险。其首要战略价值在于将责任从直接攻击者扩大到整个协助网络。被盗资产最终实现价值，通常需经过中转钱包、跨链和兑换服务、场外交易渠道、交易所、托管商及法币出口。这些主体未必参与最初攻击，但若明知资金来源仍持续协助转移、隐藏或变现，就可能被纳入 RICO 企业或 RICO 共谋的责任范围。因此，RICO 真正威慑的对象并非朝鲜，而是位于朝鲜之外、依赖银行账户、商业牌照和主流金融体系的协助者。

其次，民事 RICO 制度允许胜诉原告请求三倍损害赔偿及合理律师费。以约 15 亿美元的直接损失计算，理论赔偿规模可能达到约 45 亿美元。虽然理论金额不等于实际可执行金额，但三倍赔偿显著改变了外围参与者的风险计算，使其面临的法律后果远超退回手续费或返还经手资金。第三，RICO 为后续扩大被告范围提供了法律框架。随着诉讼推进，若某些地址背后的主体被确认，或证据显示某些主体反复参与拆分、兑换或清洗资金，Bybit 便可尝试追加具名被告，并进一步主张其参与 RICO 企业或共谋。

然而，RICO 的域外适用面临严峻挑战。美国最高法院在 2023 年的 Yegiazaryan v. Smagin 案中明确，外国原告提起民事 RICO 诉讼，必须证明其遭受的是"美国境内损害"。损害发生地不能仅根据原告住所机械判断，而应结合损害所涉及的权利、被告行为的指向及其他具体情境综合判断。Bybit 必须回答：一家境外交易所在境外遭受的数字资产损失，为何可被认定为美国境内损害？

此外，RICO 依赖的电信欺诈、洗钱和计算机犯罪等前置犯罪，也需分别满足美国法律有关域外适用的要求，Bybit 需将相关行为与美国境内的计算机、通信、平台、资产或损害建立足够具体的联系。

Bybit 选择华盛顿特区作为诉讼地点，并非偶然，而是基于联邦法院管辖权基础与外国主权豁免法的复杂考量。表面上看，本案与美国的联系并不紧密，Bybit 非美国公司，被告均位于境外，攻击行为和财产损失也具有明显境外因素。但 Bybit 提出的 RICO 及《计算机欺诈与滥用法》（CFAA）等请求，直接建立在美国联邦法律之上。一般而言，只要原告提出真实且非虚构的联邦法主张，美国联邦法院原则上可依据"联邦问题管辖权"受理案件。

因此，RICO 和 CFAA 在本案中具有双重作用：在实体上，它们构成追究有关主体责任的法律依据；在程序上，它们使案件成为美国联邦法争议，为进入美国联邦法院提供事项管辖基础。Bybit 选择位于华盛顿特区的哥伦比亚特区联邦地区法院，首先与被告的特殊身份有关。本案被告包括朝鲜这一外国国家，以及被描述为朝鲜国家机构的侦察总局。根据管辖地规则，针对外国国家或者外国国家政治分支提起的特定诉讼，在符合美国《外国主权豁免法》（FSIA）规定的管辖条件前提下，可在哥伦比亚特区联邦地区法院审理。

此外，该法院长期处理涉及外国主权、国家安全、国际制裁和外国国家资产等案件，对 FSIA 的管辖、送达、缺席审理及判决执行等问题积累了大量经验。更重要的是，美国国务院、财政部、司法部、FBI 总部以及外国资产控制办公室 OFAC 均位于华盛顿特区，美国政府此前已将朝鲜纳入制裁体系，将侦察总局及 Lazarus Group 列入相关制裁范围，并多次对朝鲜相关黑客活动采取刑事指控和资产追缴措施。FBI 还明确公开将 Bybit 被盗事件归因于朝鲜，并公布与此次攻击有关的钱包地址，呼吁行业阻断相关交易。这些行政归因、制裁决定和执法行动虽不能代替 Bybit 在民事诉讼中的举证，但能让法院在一个相对成熟的国家安全与制裁背景下理解本案，而非将其视为一起孤立的外国交易所与不明黑客之间的普通财产纠纷。

然而，选择华盛顿并不能自动绕过外国主权豁免障碍。根据 FSIA，外国国家原则上享有主权豁免，只有案件符合明确法定例外情形，美国法院才能对其行使管辖权。朝鲜受到全面制裁、被美国列为支持恐怖主义国家，并不意味着其在美国法院中丧失主权豁免。FSIA 确实规定了"国家支持恐怖主义例外"，但该例外的典型适用对象是酷刑、法外杀害、劫持人质、航空器破坏，以及为这些行为提供实质支持所造成的人身伤害或死亡。

Bybit 遭受的是数字资产和财产损失，并非该例外最典型的适用情形。商业活动例外同样存在障碍，判断一项行为是否属于商业活动，重点不在于其是否涉及具有经济价值的资产，而在于外国国家实施该行为时是否扮演了普通市场参与者的角色。国家情报机构组织黑客攻击，通常更接近主权、军事或者情报行为，而不是普通市场主体从事的商业活动。被盗对象是价值巨大的 ETH，并不当然使黑客攻击转化为商业活动。

非商业侵权例外通常要求相关侵权行为和损害具备较强的美国境内连接，如果黑客攻击、钱包控制及直接财产损失主要发生在美国境外，Bybit 就需要克服这一例外所包含的地域限制。因此，美国政府对朝鲜实施制裁以及 FBI 将此次攻击归因于朝鲜，可以强化 Bybit 的事实叙事，却不能自动突破外国主权豁免。Bybit 仍需证明案件符合 FSIA 规定的具体例外，这很可能成为其直接追究朝鲜国家责任时面临的主要法律障碍，也意味着本案不能把全部追偿希望寄托在朝鲜这一名义被告身上。

法院对不同被告和资产的控制能力存在显著差异，这构成了 Bybit 诉讼策略的另一关键维度。本案被告并非一个不可分割的整体，法院对不同被告、不同法律主张和不同救济请求，可能作出不同的管辖判断。对于朝鲜以及可能被认定为外国国家机构的侦察总局，核心问题是 FSIA 及其主权豁免例外，若不能证明适用某项法定例外，针对这些国家主体的诉讼就可能受到限制。

对于 Lazarus 成员、洗钱网络参与者和其他非国家实体，问题则主要转向人身管辖权，Bybit 需证明这些主体与美国存在足够的法律联系，例如其是否使用美国境内的计算机、通信设施、交易平台或金融服务，是否在美国实施或针对美国实施有关行为，以及美国联邦法律是否提供相应的送达和管辖依据。对于 John Doe 匿名被告，Bybit 首先需要通过链上分析、账户资料和证据开示逐步确认其身份、所在地及其与美国的联系，钱包地址可成为调查起点，却不能单独回答法院是否对地址背后的控制人具有管辖权。另一方面，法院能否对被告行使管辖权，与法院命令对资产流转的实际效果，是两个不同层面的问题。

如果资产仍在攻击者控制的非托管钱包中，法院可禁止有关被告处分资产，却未必能在技术上直接阻止其继续转账。如果资产进入中心化交易平台或托管机构，相关机构可能有能力限制账户提款；

如果资产被兑换为具有冻结功能的稳定币，发行人也可能在符合条件时限制有关地址的转移或赎回。这些平台、托管机构或发行人并不会因为技术上能够冻结资产，就自动承担返还义务，法院仍需考虑其所在地、法律身份、在案件中的程序地位以及相关命令能否对其发生效力。但每一个能够识别、限制或处分资产的中心化节点，都可能成为 Bybit 建立调查、保全和执行能力的重要连接点。这正是 Bybit 管辖策略的关键：正是因为法院对人的控制与对资产流转的影响不完全同步，所以即使法院难以直接控制身处朝鲜的攻击者，仍可能沿着资金流找到其所触及的平台、账户和服务机构等现实节点，进而对相关涉案资产施加一定程度的约束。

尽管法律框架和管辖策略已初步构建，Bybit 仍面临 Web3 环境下特有的送达难题与法律身份困境。要使法院命令对相关主体产生约束，并为后续缺席审理和判决执行奠定基础，Bybit 仍需依法解决通知与送达问题。朝鲜不会主动签收传票，Lazarus 也没有公开办公地址，匿名钱包控制人甚至连真实姓名都无法确定。当被告只有一个链上地址，没有姓名、国籍和现实联系方式时，法院应如何查明身份并完成送达？这不仅是程序法上的挑战，更是 Web3 法律身份认定的核心困境。链上地址虽能追踪资金流向，却无法直接对应现实中的法律主体，导致传统司法程序中的"人"与"资产"分离。Bybit 必须通过复杂的证据开示和链上分析，将匿名地址与现实主体建立法律上的连接，否则即便获得胜诉判决，也可能因无法送达或缺乏明确执行对象而沦为具文。

这一困境凸显了当前法律体系在应对去中心化技术时的滞后性，也预示着未来加密货币法律战将从单纯的资产追回，延伸至对链上身份认定、跨境司法协作及数字资产管辖权的深层重构。这是继传统金融制裁之后，Web3 领域首次尝试通过 RICO 法案将国家级网络攻击转化为可执行的民事赔偿责任，其结果将为全球加密行业应对类似威胁提供重要的法律先例。