Сколько из 1,5 миллиарда долларов можно вернуть? Реальные границы дела Bybit против Северной Кореи и уроки для отрасли

Главное, что должны запомнить компании Web3 из дела Bybit, это не тройные компенсации по RICO и не то, сможет ли американский суд в конечном итоге осудить Северную Корею, а полная правовая структура для возврата активов.

Автор: Чжан Цяньвэнь

Семь. Сколько денег можно вернуть с помощью этой стратегии?

RICO, John Doe, экстренные судебные запреты и санкции совместно создают сеть для возврата активов, но полная правовая схема не означает, что украденные активы уже находятся в состоянии, пригодном для возврата.

На момент публикации иска Bybit было раскрыто, что около 48,4 миллиона долларов украденных активов уже было возвращено, а еще около 30,5 миллиона долларов заморожено на более чем 28 биржах и депозитарных учреждениях. В сумме это составляет около 78,9 миллиона долларов, что составляет примерно 5,3% от первоначальных потерь в 1,5 миллиарда долларов. Если дальше различать «уже возвращенные» и «временно замороженные», фактическая доля возврата будет еще ниже.

Эти цифры показывают четыре часто путаемых этапа в возврате цифровых активов: видимость на блокчейне, контроль в реальности, доказуемость в праве и завершение возврата в реальности. Любой сбой на одном из этапов может сделать видимые на блокчейне активы недоступными для Bybit.

1. Первый порог: сколько отслеживаемых активов может попасть в контрольную точку

В предыдущей части уже обсуждалось, что видимость на блокчейне и контроль в реальности — это разные вещи. Для коэффициента возврата ключевым моментом является не то, сколько адресов может пометить организация, а сколько активов попадет на торговую платформу, в депозитарные учреждения, в систему стейблкоинов или на рынок фиатных валют. Активы, которые остаются в неуправляемом кошельке злоумышленника, даже если адрес и баланс полностью прозрачны, могут не иметь реального пути для заморозки.

Lazarus использует разделение, кросс-цепочные транзакции, смешивание и пиринговую торговлю, чтобы продлить пути и распределить балансы, что на практике сокращает временные окна для попадания этих активов в контролируемые точки и постоянно увеличивает стоимость каждой отдельной попытки возврата.

Когда расходы на расследование, судебные разбирательства и международное исполнение превышают ожидаемую сумму возврата по активу, даже если средства все еще «видны», продолжение попыток возврата может потерять коммерческую целесообразность.

2. Второй порог: сколько контролируемых активов может быть подтверждено правом собственности

Даже если активы попадают в контролируемую точку, Bybit все равно необходимо преобразовать результаты отслеживания на блокчейне в доказательства прав собственности, которые могут быть приняты в суде: доказать, что оригинальные активы находились под его законным контролем, что активы были выведены без разрешения, что существует надежная связь между заявляемым имуществом и украденными активами, и что объем заморозки соответствует отслеживаемым активам.

Каждый раз, когда актив проходит обмен, кросс-цепочную транзакцию, сделку в пуле ликвидности или объединение на платформе, методы отслеживания и объем возврата становятся предметом спора.

3. Третий порог: сколько замороженных активов может быть возвращено

Заморозка — это лишь временное удержание активов и не определяет окончательное право собственности. Bybit все еще необходимо завершить законное уведомление, доказать источник активов, получить окончательное решение или приказ о возврате и обработать возражения владельца счета и других заинтересованных сторон.

Если активы подлежат санкциям США, возврат также может потребовать соблюдения требований лицензирования OFAC; если активы находятся на зарубежной платформе, приказ американского суда также может потребовать местной судебной помощи, процедуры признания или новых мер по обеспечению.

Поэтому около 30,5 миллиона долларов замороженных активов не могут рассматриваться как уже возвращенные средства. Они просто попали в состояние «имеют шанс на возврат», окончательная сумма и время все еще зависят от прав собственности, санкций и международных процедур исполнения.

4. Смешение активов и притязания третьих лиц дополнительно ограничивают объем возврата

После многократных передач украденные активы могут попасть в руки третьих лиц, не осведомленных о ситуации, или смешаться с законными активами других пользователей. Если возникают возражения третьих лиц или невозможно четко отделить активы, участвующие в деле, от других активов, объем активов, которые Bybit может продолжать замораживать и запрашивать возврат, может соответственно сократиться.

В данном деле австралиец Джозеф Ф. Корриган, проживающий в Юго-Восточной Азии, самостоятельно подал возражение в суд, утверждая, что он является законным владельцем криптоактивов на платформе Nexo на сумму около 39 тысяч долларов и противится включению этого кошелька в первоначальный запрет суда. Хотя Bybit не согласен с описанием фактов Корригана, учитывая, что его личность уже установлена, сумма, о которой идет речь, относительно невелика, и его можно будет позже добавить в качестве ответчика, компания согласилась временно исключить этот кошелек из первоначального запрета. Суд, в свою очередь, не выдал первоначальный запрет на этот кошелек, но также не признал окончательно, что активы принадлежат Корригану.

Этот инцидент показывает, что сумма активов, отображаемая на блокчейне, не может напрямую равняться окончательной сумме, которую можно вернуть. Если третья сторона выдвигает обоснованные независимые претензии, Bybit может временно отказаться от экстренной заморозки соответствующих активов и вместо этого попытаться доказать свои более высокие права через последующие судебные разбирательства.

Смешение активов также может ограничить объем возврата. Например, если украденный ETH попадает в объединяющий кошелек на торговой платформе и смешивается с активами других пользователей, Bybit будет сложно заморозить весь объединяющий кошелек только на основании того, что часть средств связана с этой атакой, и потребуется дальнейшая идентификация вовлеченных счетов и доказательство того, что заявленный объем соответствует активам, которые можно продолжать отслеживать или разумно различать.

Если все косвенно соприкасающиеся с украденными активами кошельки будут навсегда считаться «загрязненными адресами», объем заморозки будет постоянно расширяться вдоль цепочки транзакций, затрагивая множество пользователей, не связанных с атакой; наоборот, если средства после одной передачи или смешивания полностью теряют возможность возврата, злоумышленник может легко разорвать цепочку возврата. Поэтому разные юрисдикции должны определить, на каком уровне Bybit может продолжать возврат, сколько можно заморозить и сколько можно вернуть, в соответствии с их правилами о добросовестном приобретении, отслеживании активов и обращении с смешением.

Таким образом, сумма, которую Bybit в конечном итоге сможет вернуть, зависит не только от того, сколько активов было отслежено и заморожено, но и от того, сколько из них не подверглось вызовам прав третьих лиц и может быть разумно идентифицировано из смешанных активов. «Сумма, связанная на блокчейне — временно замороженная сумма — окончательная сумма возврата» может постепенно уменьшаться.

5. Высокие решения и фактические возвраты сильно различаются, почему все еще стоит подавать в суд

В предыдущей части уже было указано, что гражданский RICO может привести к тройной компенсации ущерба, но между теоретическим запросом на сумму около 4,5 миллиарда долларов и фактическим возвратом все еще существует большая дистанция.

Северная Корея почти не может добровольно выполнить американское решение; даже если Bybit преодолеет суверенные иммунитеты и выиграет дело, на этапе исполнения все равно необходимо найти конкретные активы, принадлежащие соответствующим ответчикам, находящиеся в пределах исполнимой юрисдикции и не подлежащие иммунитету или другим правовым ограничениям. Активы, находящиеся под блокировкой OFAC, также не будут автоматически превращены в средства для погашения Bybit.

Таким образом, действительно определяющим для возврата является не цифра в решении, а то, сколько вовлеченных активов может попасть в распознаваемые, контролируемые, доказуемые и исполнимые реальные точки.

Тем не менее, этот иск все еще имеет реальную ценность.

Во-первых, база убытков в 1,5 миллиарда долларов достаточно велика. Даже если окончательный процент возврата будет невысоким, абсолютная сумма может покрыть значительную часть расходов на расследование и международные судебные разбирательства.

Во-вторых, возврат цифровых активов — это не одноразовое действие. Часть средств может оставаться в блокчейне в течение многих лет, прежде чем снова попасть на торговую платформу или в фиатный рынок, когда интерес общественности снизится. Постоянное отслеживание и сохранение правовых прав может создать основу для будущих возможностей контроля.

В-третьих, судебный процесс может предоставить информацию, которую трудно получить частным расследованием. С помощью судебных повесток и международной судебной помощи Bybit может получить информацию о KYC, записях входа, связанных счетах и банковской информации торговых платформ. Эта информация не только поможет вернуть текущие активы, но также может выявить более широкие сети отмывания денег и содействия.

Кроме того, судебный процесс может увеличить стоимость реализации для злоумышленников. Даже если не удастся немедленно вернуть все средства, постоянное помечание адресов, инициирование расследования счетов и привлечение к ответственности соучастников также сократит пространство для попадания украденных активов в законную финансовую систему.

Наконец, Bybit также необходимо восстановить доверие на рынке. Для торговых платформ, сосредоточенных на управлении активами пользователей, способность справляться с инцидентами после атаки сама по себе является частью деловой репутации. Постоянное отслеживание, сотрудничество в отрасли и федеральные иски — это сообщение Bybit пользователям, регуляторам и партнерам: платформа не просто спишет убытки, а продолжит возвращать средства с помощью технологий и правовых средств.

Таким образом, оценивать, успешен ли этот иск, нельзя только по тому, сможет ли Bybit вернуть все 1,5 миллиарда долларов. Более разумным критерием будет также: сколько активов было фактически возвращено и заморожено, сколько анонимных контролеров было идентифицировано, были ли получены ключевые записи платформы, были ли выявлены новые узлы отмывания денег, способствовали ли другие юрисдикции принятию параллельных мер и была ли создана повторно используемая схема возврата цифровых активов.

С этой точки зрения, наиболее важным результатом этого дела может быть не огромный заочный приговор против Северной Кореи, а то, сможет ли Bybit постепенно преобразовать часть активов, которые изначально имели только координаты на блокчейне и не имели реальной идентичности, в активы, которые могут быть фактически контролируемыми, поддерживаемыми доказательствами, обеспеченными судебными мерами и в конечном итоге возвращенными Bybit.

Для других компаний Web3 наиболее важным уроком этого дела является не только то, сколько в конечном итоге сможет вернуть Bybit, но и то, обладает ли компания, когда атака действительно происходит, способностью быстро преобразовать данные на блокчейне в доказательства, меры заморозки и международные действия по возврату.

Восемь. Какие уроки дело Bybit дает компаниям Web3?

Дело Bybit имеет явную специфику: убытки в 1,5 миллиарда долларов, атака, приписываемая правительством США к поддерживаемым государством киберугрозам Северной Кореи, федеральный иск в США, требования RICO и отслеживание активов через несколько блокчейнов и юрисдикций — не каждый бизнес Web3 сталкивается с такими сценариями.

Но логика управления рисками, выявленная в этом деле, имеет универсальное значение: компании должны создать механизм, который позволит быстро преобразовать аномалии на блокчейне в доказательства, меры заморозки и международные действия по возврату до того, как произойдет атака.

Как только средства покидают кошелек компании, инцидент уже не является лишь вопросом технической безопасности, а также затрагивает право собственности на активы, сохранение доказательств, сотрудничество с платформами, проверку санкций, уголовные дела и международные судебные разбирательства. Если технические, юридические и комплаенс-команды продолжают действовать в своем собственном ритме, компания может упустить наиболее важное окно для сохранения активов, пока внутренние процессы еще не завершены.

1. Переход от технического реагирования к совместному реагированию

Первая реакция компаний Web3 на атаку обычно заключается в приостановке вывода средств, исправлении уязвимостей, проверке убытков и публикации объявлений. Эти меры могут остановить дальнейшие потери, но не решают, как вернуть уже украденные активы.

Полный ответ на инциденты должен одновременно задействовать несколько рабочих направлений: техническая команда подтверждает путь атаки и сохраняет системные журналы; команда по работе с кошельками и финансами проверяет активы, права и влияние на бухгалтерский учет; аналитики блокчейна отслеживают и помечают средства; юристы определяют права собственности, доказательства и пути заморозки; команда по соблюдению норм проводит оценку санкций и противодействия отмыванию денег; руководство отвечает за принятие решений о приостановке услуг, подаче заявлений в правоохранительные органы, раскрытии информации и трансграничном возмещении ущерба.

Эти действия не могут быть просто расположены друг за другом. Например, техническая команда может перезаписать ключевые журналы во время восстановления системы; если PR-команда слишком рано обнародует адреса, связанные с делом, и пути отслеживания, это может предупредить злоумышленников о необходимости перемещения активов; если бизнес-команда закроет счета до сохранения данных, это также может повлиять на последующее расследование. Смысл совместного реагирования заключается в том, чтобы все команды работали синхронно на основе единого фактического документа и приоритетов действий.

Компании также должны заранее определить механизмы экстренного полномочия. Кто имеет право приостановить операции с кошельками, кто может отправить запрос на заморозку на торговую платформу, кто отвечает за связь с правоохранительными органами и внешними юристами, при каком уровне убытков необходимо вмешательство руководства или совета директоров — все это не должно обсуждаться поэтапно после того, как произойдет атака.

Внешняя коммуникация также должна быть частью совместного реагирования. Объявления должны различать уже подтвержденные факты и еще не исследованные суждения, правительственные или третьи стороны, а также окончательные решения суда, уже возвращенные активы и лишь временно замороженные активы. Недостаток раскрытия может усугубить рыночные подозрения, в то время как чрезмерное раскрытие может подвергнуть риску пути расследования и планы заморозки.

Для компаний, застраховавших киберстрахование, страхование от преступлений или страхование цифровых активов, также следует своевременно уведомить страховщиков и заранее уточнить требования к доказательствам, распределение судебных издержек, суброгацию и распределение возвращенных средств. В противном случае задержки или неправильные формулировки в процессе урегулирования могут дополнительно повлиять на страховые выплаты.

2. Захват окна для возмещения активов после атаки

Ключевое время для возврата цифровых активов часто не совпадает с моментом, когда суд выносит окончательное решение, а приходится на первые часы и дни после атаки. Чем раньше начнется отслеживание, тем легче компании будет установить полный первоначальный поток средств, определить время, когда активы поступают на торговую платформу или другие централизованные узлы, и подать запрос на заморозку до того, как средства будут многократно разделены, перемещены между цепочками и смешаны.

Таким образом, компании не должны временно изучать ряд основных вопросов только после инцидента: с какой аналитической организацией по блокчейну следует связаться, какая из внутренних структур должна подать заявление и заявить права, кто отвечает за взаимодействие с торговыми платформами и депозитарными учреждениями, в какой юрисдикции можно подать экстренные меры, и нужно ли уведомлять пользователей, регулирующие органы и страховщиков.

Эти ресурсы и пути принятия решений должны быть заранее прописаны в плане реагирования на инциденты. По крайней мере, следует заранее подготовить контактную сеть ключевых торговых платформ, депозитарных учреждений, эмитентов стабильных монет, аналитических организаций по блокчейну, правоохранительных органов и внешних юристов, а также создать шаблон запроса на заморозку, который можно быстро заполнить и отправить.

Эффективный запрос на экстренную заморозку обычно требует указания пострадавшей стороны, хода событий, оригинального хеша транзакции, связанных адресов, ключевых путей средств, а также конкретной информации о транзакциях, связанных с поступлением активов на соответствующие платформы. Компания также должна одновременно требовать от платформы сохранить KYC, IP-адреса входа, устройства, записи транзакций и вывода средств, а также подтвердить, требуется ли платформе письмо от полиции, судебный приказ или другие материалы для продления срока заморозки.

Первая цель уведомления — дать платформе понять риск, временно сохранить статус-кво и сохранить возможные доказательства. Только добившись этого окна, последующие заявления, судебные разбирательства и процедуры возврата могут иметь реальный объект.

3. Создание системы доказательств на блокчейне, пригодной для суда

Компании не могут ждать, пока судебный процесс начнется, чтобы преобразовать потоки средств на блокчейне в доказательства. Исходные данные о транзакциях, время получения, высота блока, хеш транзакции, лица, осуществляющие вывод, аналитические инструменты и процесс проверки должны быть полностью зафиксированы с момента возникновения инцидента. Также следует четко различать объективные факты, профессиональные выводы и оценку рисков. Например, «100 ETH переведены с адреса A на адрес B» — это факт на блокчейне; «адреса A и C могут контролироваться одним и тем же субъектом» — это аналитический вывод; «этот субъект принадлежит группе Lazarus» требует подтверждения от правительства или доказательств вне цепочки.

При найме аналитической организации по блокчейну компании также следует подтвердить, может ли она сохранить исходные данные, объяснить методы кластеризации и диапазон ошибок, а также при необходимости предоставить экспертное заключение или сотрудничать с судом в процессе допроса.

Компании также должны заранее прояснить правовой статус активов. В крупных группах Web3 управление брендом, услуги сайта, управление кошельками, клиентские контракты и бухгалтерские записи могут принадлежать разным компаниям. После атаки суд и торговая платформа будут дополнительно спрашивать: кто контролирует украденный кошелек, принадлежат ли активы компании или пользователю, какая структура несет обязательства по выплате, кто понес юридические убытки и кто имеет право подавать заявление, запрашивать заморозку и инициировать судебный процесс.

Если компании не могут четко ответить на эти вопросы в ходе своей повседневной деятельности, даже если пути средств на блокчейне совершенно ясны, это может задержать возмещение из-за неясности в отношении истца, прав собственности на активы и распределения убытков.

Система доказательств на блокчейне в конечном итоге должна соединять два конца: с одной стороны — хеши транзакций, адреса кошельков и пути средств, с другой стороны — юридические лица, клиентские контракты, бухгалтерские записи и права на активы. Только при соответствии этих двух сторон «видимые деньги» на блокчейне могут стать имуществом, которое суд может обрабатывать.

4. Предварительная карта контроля активов

Компании должны заранее записать, кто контролирует закрытые ключи, права доступа к счетам, управление смарт-контрактами или вывод фиатных средств, и на основе этого создать карту контроля активов.

Эта карта должна по крайней мере охватывать эмитентов, способы хранения, права на кошельки, пути выкупа, экстренные функции контрактов, основные торговые площадки, соответствующие юрисдикции и экстренные контакты, и быстро ответить на вопрос: на каком узле находятся активы, кто может технически остановить их перемещение, какой суд или регулирующий орган может повлиять на этот субъект.

Для проектов DeFi также следует конкретно проверить, может ли контракт быть обновлен, существуют ли ключи администратора, функции приостановки или многоподписка, а также кто контролирует инфраструктуру, такую как фронтенд и оракулы. Карта контроля активов не требует от всех протоколов настройки функции заморозки, а помогает компаниям точно находить реальные контрольные точки.

5. Создание многоуровневой системы заморозки, реагирования на санкции и трансграничного возмещения

Цифровые активы могут проходить через платформы нескольких стран всего за несколько минут. Одному суду, одному правоохранительному органу или одной команде юристов трудно завершить всю работу по возмещению. Компаниям необходимо классифицировать цели возмещения в зависимости от местоположения средств, степени контроля и ожидаемой стоимости возврата.

Первый уровень — это активы с большой суммой, четким путем средств и уже поступившие на соответствующие торговые платформы или депозитарные учреждения. Эти активы должны быть приоритетно отправлены запросами на заморозку и сохранение доказательств, и быстро оценить, нужно ли подавать заявление, запрашивать экстренные судебные запреты или принимать местные судебные меры.

Второй уровень — это активы, которые все еще находятся в неуправляемых кошельках, временно недоступны для контроля, но имеют высокую степень отслеживаемости. Компании могут продолжать мониторить адреса и немедленно усиливать меры, когда активы поступают на торговую платформу, в систему стабильных монет или выводятся в фиат.

Третий уровень — это активы с небольшой суммой, которые уже серьезно смешаны или попали в юрисдикции, не сотрудничающие с судебной системой. Эти активы все еще могут сохранять записи отслеживания, но необходимо оценить, стоит ли предпринимать отдельные юридические действия, учитывая стоимость расследования, судебные издержки и вероятность исполнения.

Проверка санкций также должна использоваться с учетом рисков, а не просто проверять, появляется ли адрес пополнения непосредственно в списке OFAC. Для случаев, когда компании или соответствующие транзакции подлежат правилам санкций США, если активы непосредственно попадают на адреса кошельков из санкционного списка или есть достаточные основания полагать, что они принадлежат или контролируются субъектами, подлежащими санкциям, необходимо принять меры по блокировке и отчетности в соответствии с применимыми правилами; для транзакций с высокорисковыми адресами, имеющими короткие пути средств или другие высокие связи, можно приостановить обработку и усилить расследование; для общих исторических контактов, находящихся на большом расстоянии и не имеющих других индикаторов риска, не следует замораживать только на основании связи с блокчейном.

Что касается трансграничного возмещения, компании должны заранее определить ключевые юрисдикции вокруг популярных торговых платформ, депозитарных учреждений, эмитентов стабильных монет и фиатного вывода, а также узнать, признают ли местные власти правовой статус цифровых активов, разрешают ли подавать иски против анонимных ответчиков, можно ли запрашивать меры заморозки без уведомления, можно ли требовать от платформы раскрытия данных KYC и как признавать и исполнять иностранные судебные решения.

Конечно, это не означает, что каждую атаку необходимо обжаловать в глобальном масштабе. Разумные цели возмещения не заключаются в том, чтобы без учета затрат вернуть каждую монету, а в том, чтобы в рамках ограниченного бюджета и времени приоритизировать ресурсы на активы, которые легче контролировать, имеют большую сумму и относительно четкие юридические пути.

В конечном итоге компании должны сформировать руководство по возврату цифровых активов, которое можно немедленно запустить. Оно должно по крайней мере охватывать список активов, кошельков и прав, внутреннюю классификацию инцидентов и механизмы экстренного полномочия, стандарты сохранения данных на блокчейне и системных журналах, контактную сеть внешних организаций, шаблоны запросов на заморозку и приложений к доказательствам, правила классификации рисков санкций и противодействия отмыванию денег, экстренные меры в ключевых юрисдикциях, а также механизмы коммуникации с пользователями, регулирующими органами, страховщиками и СМИ.

Дело Bybit наиболее запоминающееся для компаний Web3 не в тройной компенсации по RICO, не в том, сможет ли американский суд в конечном итоге осудить Северную Корею, а в полной правовой структуре возмещения активов — только создав единую систему из технического отслеживания, сохранения доказательств, обеспечения активов, соблюдения санкций и трансграничного исполнения, компании смогут не просто наблюдать за движением средств на блокчейне, но и снова получить возможность действовать, когда активы попадают на централизованные платформы, раскрывают реальную личность или приближаются к фиатному выводу.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.