一、从15亿美元盗币案，到一场针对朝鲜的联邦诉讼一次黑客攻击，如何升级为国家安全事件
2025年2月21日，Bybit在进行一笔以太坊冷钱包常规转账时遭遇攻击，超过40万枚ETH及相关质押资产被转走，当时价值约15亿美元，成为加密货币行业迄今规模最大的盗币事件之一。
攻击者并未直接破解Bybit冷钱包私钥，而是通过入侵Safe{Wallet}开发人员设备，篡改交易界面并生成一笔经过伪装的恶意交易。签名者看到的是一笔正常转账，实际签署的交易逻辑却已被篡改。
得手后，攻击者迅速将资产拆分至大量钱包地址，并通过代币兑换、跨链桥、混币工具和交易平台在多条区块链之间转移。资金轨迹虽然记录在公开账本上，但随着资产不断被拆分、转换和跨链，其控制人身份以及后续流向越来越难以识别。
五天后，美国联邦调查局（FBI）正式认定此次攻击由朝鲜实施，并将相关朝鲜网络行为体称为“TraderTraitor”。FBI同时公布了一批关联地址，并呼吁交易所、跨链桥、区块链分析机构、DeFi服务商及其他虚拟资产服务提供商阻断相关交易。
至此，这起事件不再只是一家交易所遭遇的重大安全事故，而被纳入了美国针对朝鲜国家支持型网络攻击、虚拟资产盗窃及制裁规避活动的执法框架。
从行业协作到联邦诉讼
攻击发生后，Bybit一面处理用户提现和流动性问题，一面与区块链分析机构、交易所、托管商及多国执法机关合作，持续追踪被盗资产。截至其公布诉讼时，约4,840万美元已经追回，另有约3,050万美元在超过28家交易所和托管机构被冻结。
但仅凭链上追踪和行业自愿协作仍然无法解决一些关键问题：谁有权要求平台冻结资产？冻结可以持续多久？匿名钱包由谁控制？资产经过多次兑换和转手以后，Bybit是否仍然享有可执行的返还请求权？
2026年6月18日，Bybit以密封方式向美国哥伦比亚特区联邦地区法院提起民事诉讼，将朝鲜民主主义人民共和国、朝鲜侦察总局、Lazarus Group以及若干身份尚未查明的个人和实体列为被告。该案名称为Bybit Technology Limited v. Democratic People’s Republic of Korea et al.，案号为1:26-cv-02173。
Bybit没有立即公开诉讼，而是在密封期间先申请紧急救济。法院随后签发临时限制令，并于2026年7月30日部分批准初步禁令，禁止相关匿名被告转移、出售或者以其他方式处分已经识别的涉案数字资产。直到8月6日，部分案卷才被解封；8月7日，Bybit正式对外宣布起诉朝鲜及Lazarus Group。
起诉朝鲜，真正要解决的问题是什么
从新闻标题看，这似乎是一场颇具戏剧性的诉讼：一家注册及运营均不在美国的加密资产交易所，来到美国联邦法院，起诉一个几乎不可能出庭和履行美国判决的主权国家。
但如果把注意力从“朝鲜会不会赔钱”转向“被盗资产如何追回”，这场诉讼的策略逻辑便开始显现——Bybit援引RICO法案，将案件提交至哥伦比亚特区联邦地区法院，把未知资金控制人列为John Doe匿名被告，并采取先密封起诉、申请资产保全，再公开案件的程序安排——这些行动说明，Bybit真正寻求的可能不只是一纸针对朝鲜的赔偿判决，更是一套围绕数字资产追回所设计的法律工程。
因此，这起案件真正值得讨论的不是朝鲜会不会出庭或赔偿，而是当攻击者无从抓捕、难以送达、资产分散在全球链上时，Bybit如何设计一场诉讼，让法院即使控制不了攻击者，也仍有机会控制其留下的资产。
二、为什么选择RICO：从一次攻击升级为一套犯罪网络的诉讼叙事
理解Bybit的第一项诉讼策略，需要先回答一个问题：为什么选择援引的是美国《反勒索及受贿组织法》，即RICO法案？
普通盗窃或侵权诉讼的局限性
如果Bybit仅以盗窃、欺诈或者非法侵入计算机提起诉讼，案件更容易被聚焦于2025年2月21日发生的单次攻击及其直接参与者。
问题在于，直接攻击者可能身处朝鲜，身份不明，也几乎没有可以在美国直接执行的资产。即使Bybit取得胜诉判决，也未必能追回多少资金。
但国家支持型虚拟资产盗窃通常是一条完整的产业链：从目标筛选、恶意代码开发和钱包控制，到资产拆分、跨链兑换、混币处理、场外交易和法币退出，不同环节可能由不同主体完成。在这个链条中，真正有机会被找到、有账户可以冻结、有资产可以执行的，往往是后续资金转移和洗钱网络中的参与者。
因此，Bybit需要一种能够穿透单次攻击、覆盖整个犯罪链条的法律框架。RICO提供的正是这种可能性。
RICO关注的不是一次攻击，而是背后的犯罪组织
RICO是Racketeer Influenced and Corrupt Organizations Act的缩写，通常译为《反勒索及受贿组织法》或《反有组织犯罪法》。这部法律诞生于1970年，最初主要用于打击美国黑手党。当时，执法机关往往只能抓到直接实施杀人、纵火或敲诈的底层成员，却很难触及那些制定规则、分配利益、指挥组织，但不亲自实施犯罪的幕后核心人物。
RICO解决的正是这个问题。它不再只问“某个人是否实施了某一次犯罪”，还会进一步追问：是否存在一个持续运作的组织？不同参与者是否围绕共同目的分工合作？一系列看似独立的犯罪，是否实际上属于这个组织长期经营的一部分？换句话说，普通侵权诉讼关注的是一棵被砍倒的树；而RICO则试图证明，背后存在一支长期、有组织地砍伐整片森林的队伍。
本案中，Bybit试图建立的法律叙事是：这并非一次偶发的黑客攻击，而是朝鲜通过侦察总局、Lazarus Group及相关协助者，持续实施网络入侵、虚拟资产盗窃和资金清洗活动的一部分。案件关注的对象由此从“谁实施了这次攻击”，扩大为“谁参与经营或协助维持这套犯罪体系”。
RICO需要证明哪些核心要件
要让这一叙事转化为有效的RICO主张，Bybit不能只证明资产被盗，还需要围绕几个核心要件建立证据链。
首先，需要证明存在一个RICO意义上的“企业”。这里的企业不一定是依法注册的公司，也可以是一群为了共同目的而持续协作的个人或实体。Bybit需要证明，朝鲜、侦察总局、Lazarus Group及相关协助者并非彼此孤立，而是一个围绕盗窃和处置虚拟资产形成的组织网络。
其次，需要证明存在“犯罪活动模式”。RICO针对的不是一次偶发违法，而是一系列相互关联并具有持续性的犯罪行为。因此，Bybit不能只证明本次攻击，还需要说明它与其他网络盗窃以及后续持续进行的欺诈、洗钱和资金转移活动存在联系。
再次，相关行为必须属于RICO列明的“前置犯罪”，例如电信欺诈、洗钱以及特定计算机犯罪等。
最后，还需要证明有关被告参与了该犯罪企业的经营、管理或共谋。链上记录可以清楚显示资产从哪里流向哪里，但某个钱包曾接收过被盗资产，只能说明资金流向，不能单独证明钱包控制人知道资产来源，更不能当然证明其与Lazarus Group具有共同犯罪目的。RICO要求法院进一步判断：地址背后是谁、其知道什么，以及其在整个犯罪网络中承担了什么角色。
RICO带来的追偿优势与适用风险
RICO的第一项战略价值，是把责任从直接攻击者扩大到整个协助网络。
被盗资产最终要实现价值，通常仍需经过中转钱包、跨链和兑换服务、场外交易渠道、交易所、托管商及法币出口。这些主体未必参与最初的攻击，但如果明知资金来源，仍持续协助转移、隐藏或变现，就可能被纳入RICO企业或RICO共谋的责任范围。
因此，RICO真正威慑的对象，不是本来就不会服从美国法院的朝鲜，而是位于朝鲜之外、仍然依赖银行账户、商业牌照和主流金融体系的协助者。
RICO的第二项战略价值，是提高潜在责任。
民事RICO制度允许胜诉原告原则上请求三倍损害赔偿及合理律师费。以约15亿美元的直接损失计算，理论赔偿规模可能达到约45亿美元。
当然，理论赔偿金额不等于实际可执行的金额。但是，三倍赔偿会显著改变外围参与者的风险计算——对于协助转移资金的中间人而言，其面临的法律后果可能不再只是退回手续费或者返还经手资金，而是被指参与犯罪网络，并承担远高于自身获利的赔偿和应诉成本。
RICO的第三项战略价值，是为后续扩大被告范围提供法律框架。
起诉时，Bybit可能只能通过链上分析识别接收或转移被盗资产的钱包地址。随着诉讼推进，如果某些地址背后的主体被确认，或者证据显示某些主体反复参与拆分、兑换或清洗资金，Bybit便可以尝试追加具名被告，并进一步主张其参与RICO企业或共谋。
换言之，RICO不仅用于追究已经确定的攻击者，也为Bybit沿着资金流不断追查和扩展责任网络提供了空间。
但RICO既是Bybit诉讼策略中最具进攻性的武器，同时也是最具挑战性的法律主张。
Bybit并非美国公司，朝鲜和Lazarus也在美国境外，主要攻击和财产损失也具有明显的境外因素。美国最高法院已经明确，外国原告提起民事RICO诉讼，必须证明其遭受的是“美国境内损害”。最高法院在2023年的Yegiazaryan v. Smagin案中进一步说明，损害发生地不能仅根据原告的住所机械判断，而应结合损害所涉及的权利、被告行为的指向及其他具体情境综合判断。本案中，仅仅因为部分网络通信经过美国服务器，或者部分被盗资产后来进入美国交易平台，并不当然意味着Bybit遭受了美国境内的财产损害。Bybit必须回答一个非常关键的问题：一家境外交易所在境外遭受的数字资产损失，为什么可以被认定为美国境内损害？
此外，RICO依赖的电信欺诈、洗钱和计算机犯罪等前置犯罪，也需要分别满足美国法律有关域外适用的要求。Bybit不能只证明朝鲜长期从事黑客攻击，还需要把相关行为与美国境内的计算机、通信、平台、资产或者损害建立足够具体的联系。
Bybit还需证明本次攻击与其他犯罪之间具有关联性和持续性，并区分直接参与者、明知协助者与无意接收涉案资产的第三方。否则，一条复杂的链上资金路径未必能够被法律重新定义为一个RICO犯罪企业。
Bybit真正想借RICO完成什么？
Bybit援引RICO，并不只是为了争取一个更高的赔偿数额，而是尝试把看似彼此独立的交易，重新描述为同一门犯罪生意中的不同环节——攻击者可以隐藏身份，钱包可以不断更换，资产可以跨链转移，但只要整个过程仍然需要一群人持续协作，法律就可以尝试把这些分散的地址、账户和服务商重新连接成一个“组织”。
不过，RICO解决的主要是实体法上的责任范围的问题。在此之前，还有另一个同样基础的程序问题：一家境外交易所为什么能把在一场境外的数字资产盗窃案件送进美国联邦法院的大门，又为什么选择华盛顿特区？
三、为什么选择华盛顿：联邦法院的管辖基础与主权豁免障碍
美国法院为什么有权审理？又为什么选择华盛顿？这里首先需要区分两个概念：管辖权与管辖地。管辖权回答的是“美国法院是否有权审理这一争议”；管辖地回答的则是“即使美国法院有权审理，具体应当由哪个地区的联邦法院受理”。二者共同决定了Bybit能否把一场境外数字资产盗窃，转化为美国法院可以介入的资产追回行动。
联邦法诉因使案件进入美国联邦法院
表面上看，本案与美国的联系并不紧密。Bybit并非美国公司，朝鲜、侦察总局和Lazarus均位于美国境外，黑客攻击、钱包控制和主要财产损失也具有明显的境外因素。华盛顿特区既不是攻击发生地，也不是Bybit的注册地或主要营业地。
但Bybit并不是仅以普通盗窃或财产侵权为由，将一场境外纠纷提交美国法院。其提出的RICO及《计算机欺诈与滥用法》（CFAA）等请求，直接建立在美国联邦法律之上。一般而言，只要原告提出真实且非虚构的联邦法主张，美国联邦法院原则上可以依据“联邦问题管辖权”受理案件；与这些请求基于同一组事实的相关州法主张，也可能由联邦法院一并审理。
因此，RICO和CFAA在本案中具有双重作用：在实体上，它们构成Bybit追究有关主体责任的法律依据；在程序上，它们使案件成为一场美国联邦法争议，为进入美国联邦法院提供事项管辖基础。
不过，取得这一程序入口，并不意味着Bybit提出的联邦法请求必然成立。由于原告、主要被告、攻击行为和财产损失均具有明显的境外因素，法院仍需进一步判断RICO和CFAA能否适用于相关行为、Bybit能否证明RICO要求的美国境内损害，以及有关请求与美国是否具有法律要求的联系。
联邦问题管辖也只回答法院原则上能否审理“这类争议”，不能自动解决法院能否审理针对每一个被告的请求。对于朝鲜及其国家机构，法院还需审查外国主权豁免；对于Lazarus成员和匿名钱包控制人，则需要分别判断人身管辖权及其他程序条件。
外国国家被告构成华盛顿的管辖地连接点
Bybit选择位于华盛顿特区的哥伦比亚特区联邦地区法院，首先与被告的特殊身份有关。
本案被告包括朝鲜这一外国国家，以及被Bybit描述为朝鲜国家机构的侦察总局。在符合美国《外国主权豁免法》（FSIA）规定的管辖条件的前提下，根据管辖地规则，针对外国国家或者外国国家政治分支提起的特定诉讼，可以在哥伦比亚特区联邦地区法院审理。这为Bybit选择华盛顿提供了较为直接的法定管辖地基础。
此外，该法院长期处理涉及外国主权、国家安全、国际制裁和外国国家资产等案件，对FSIA的管辖、送达、缺席审理及判决执行等问题积累了大量经验。
并且，美国国务院、财政部、司法部、FBI总部以及外国资产控制办公室OFAC均位于华盛顿特区，美国政府此前已将朝鲜纳入制裁体系，将侦察总局及Lazarus Group列入相关制裁范围，并多次对朝鲜相关黑客活动采取刑事指控和资产追缴措施。FBI还明确公开将Bybit被盗事件归因于朝鲜，并公布与此次攻击有关的钱包地址，呼吁行业阻断相关交易。
这些行政归因、制裁决定和执法行动不能代替Bybit在民事诉讼中的举证，但它们能让法院在一个相对成熟的国家安全与制裁背景下理解本案，而不是把它当作一起孤立的外国交易所与一群不明黑客之间的普通财产纠纷。
因此，华盛顿特区并非与攻击事实距离最近的地方，却可能是最容易将外国主权、联邦执法和跨境追偿问题集中处理的司法地点。
选择华盛顿并不能绕过外国主权豁免
根据FSIA，外国国家原则上享有主权豁免。只有案件符合明确法定例外情形，美国法院才能对其行使管辖权。朝鲜受到全面制裁、被美国列为支持恐怖主义国家，并不意味着其在美国法院中丧失主权豁免。
FSIA确实规定了“国家支持恐怖主义例外”，但该例外的典型适用对象是酷刑、法外杀害、劫持人质、航空器破坏，以及为这些行为提供实质支持所造成的人身伤害或死亡。Bybit遭受的是数字资产和财产损失，并非该例外最典型的适用情形。
商业活动例外同样存在障碍。判断一项行为是否属于商业活动，重点不在于其是否涉及具有经济价值的资产，而在于外国国家实施该行为时是否扮演了普通市场参与者的角色。国家情报机构组织黑客攻击，通常更接近主权、军事或者情报行为，而不是普通市场主体从事的商业活动。被盗对象是价值巨大的ETH，并不当然使黑客攻击转化为商业活动。
非商业侵权例外通常要求相关侵权行为和损害具备较强的美国境内连接。如果黑客攻击、钱包控制及直接财产损失主要发生在美国境外，Bybit就需要克服这一例外所包含的地域限制。
因此，美国政府对朝鲜实施制裁以及FBI将此次攻击归因于朝鲜，可以强化Bybit的事实叙事，却不能自动突破外国主权豁免。Bybit仍需证明案件符合FSIA规定的具体例外，这很可能成为其直接追究朝鲜国家责任时面临的主要法律障碍，也意味着本案不能把全部追偿希望寄托在朝鲜这一名义被告身上。
法院对不同被告和资产的控制能力并不相同
本案的被告并不是一个不可分割的整体。法院对不同被告、不同法律主张和不同救济请求，可能作出不同的管辖判断。
对于朝鲜以及可能被认定为外国国家机构的侦察总局，核心问题是FSIA及其主权豁免例外。如果不能证明适用某项法定例外，针对这些国家主体的诉讼就可能受到限制。
对于Lazarus成员、洗钱网络参与者和其他非国家实体，问题则主要转向人身管辖权。Bybit需要证明这些主体与美国存在足够的法律联系，例如其是否使用美国境内的计算机、通信设施、交易平台或金融服务，是否在美国实施或针对美国实施有关行为，以及美国联邦法律是否提供相应的送达和管辖依据。
对于John Doe匿名被告，Bybit首先需要通过链上分析、账户资料和证据开示逐步确认其身份、所在地及其与美国的联系。钱包地址可以成为调查起点，却不能单独回答法院是否对地址背后的控制人具有管辖权。
另一方面，法院能否对被告行使管辖权，与法院命令对资产流转的实际效果，是两个不同层面的问题。
如果资产仍在攻击者控制的非托管钱包中，法院可以禁止有关被告处分资产，却未必能在技术上直接阻止其继续转账。如果资产进入中心化交易平台或托管机构，相关机构可能有能力限制账户提款；如果资产被兑换为具有冻结功能的稳定币，发行人也可能在符合条件时限制有关地址的转移或赎回。
这些平台、托管机构或发行人并不会因为技术上能够冻结资产，就自动承担返还义务。法院仍需考虑其所在地、法律身份、在案件中的程序地位以及相关命令能否对其发生效力。但每一个能够识别、限制或处分资产的中心化节点，都可能成为Bybit建立调查、保全和执行能力的重要连接点。
这也正是Bybit管辖策略的关键：正是因为法院对人的控制与对资产流转的影响不完全同步，所以即使法院难以直接控制身处朝鲜的攻击者，仍可能沿着资金流找到其所触及的平台、账户和服务机构等现实节点，进而对相关涉案资产施加一定程度的约束。
不过，要使法院命令对相关主体产生约束，并为后续缺席审理和判决执行奠定基础，Bybit仍需依法解决通知与送达问题。朝鲜不会主动签收传票，Lazarus也没有公开办公地址，匿名钱包控制人甚至连真实姓名都无法确定。于是，在管辖权之后，本案紧接着面临一个更具Web3特色的问题：当被告只有一个链上地址，没有姓名、国籍和现实联系方式时，法院应如何查明身份并完成送达？
