¿Cuánto se puede recuperar de los 1.500 millones de dólares? Límites reales del caso de Bybit contra Corea del Norte y lecciones para la industria

Lo que las empresas de Web3 deben recordar del caso de Bybit no es la compensación triple bajo RICO, ni si un tribunal estadounidense puede finalmente juzgar a Corea del Norte, sino un conjunto completo de estrategias legales para la recuperación de activos.

Escrito por: Zhang Qianwen

¿Cuánto se puede recuperar realmente con esta estrategia?

RICO, John Doe, órdenes de restricción de emergencia y sanciones han creado una red para la recuperación de activos, pero un camino legal completo no significa que los activos robados ya estén en un estado recuperable.

Hasta el momento en que Bybit anunció la demanda, había revelado que aproximadamente 48,4 millones de dólares en activos robados habían sido recuperados, y otros 30,5 millones de dólares estaban congelados en más de 28 intercambios y custodios. En total, esto suma aproximadamente 78,9 millones de dólares, que representan alrededor del 5,3% de la pérdida inicial de 1.500 millones de dólares. Si se distingue entre los

Una respuesta completa a un incidente debe activar múltiples líneas de trabajo simultáneamente: el equipo técnico debe confirmar la ruta del ataque y guardar los registros del sistema; el equipo de billeteras y finanzas debe verificar los activos, permisos y el impacto contable; los analistas de blockchain deben rastrear y marcar los fondos; los abogados deben determinar la propiedad, las pruebas y las rutas de congelación; el equipo de cumplimiento debe llevar a cabo evaluaciones de sanciones y de prevención de lavado de dinero; y la dirección debe decidir sobre la suspensión de servicios, la denuncia, la divulgación externa y la recuperación transfronteriza de manera oportuna.

Estas tareas no pueden simplemente organizarse en una secuencia lineal. Por ejemplo, el equipo técnico podría sobrescribir registros clave mientras repara el sistema; si el equipo de relaciones públicas publica prematuramente las direcciones involucradas y las rutas de seguimiento, podría alertar a los atacantes para que transfieran los activos; y si el equipo de negocios cierra cuentas sin haber guardado la documentación, podría afectar la investigación posterior. El significado de una respuesta conjunta es permitir que todos los equipos avancen de manera sincronizada en torno a un mismo hecho y prioridades de acción.

Las empresas también deben establecer de antemano mecanismos de autorización de emergencia. Quién tiene la autoridad para suspender las operaciones de la billetera, quién puede enviar solicitudes de congelación a las plataformas de intercambio, quién es responsable de contactar a las autoridades y abogados externos, y a partir de qué monto de pérdidas se requiere la intervención de la dirección o la junta directiva, no debe discutirse en niveles sucesivos después de que ocurra un ataque.

La comunicación externa también debe incluirse en la respuesta conjunta. Los anuncios deben diferenciar entre hechos confirmados y juicios pendientes de investigación, atribuciones gubernamentales o de terceros y determinaciones finales de los tribunales, activos recuperados y activos que solo están temporalmente congelados. Una divulgación insuficiente puede aumentar la sospecha del mercado, mientras que una divulgación excesiva puede exponer las rutas de investigación y los planes de congelación.

Para las empresas que han asegurado ciberseguridad, seguros contra delitos o seguros de activos digitales, también deben notificar a los aseguradores de manera oportuna y aclarar de antemano los requisitos de prueba, la carga de costos de litigio, la subrogación y el mecanismo de distribución de los fondos recuperados. De lo contrario, los retrasos o declaraciones inapropiadas durante el proceso de manejo pueden afectar aún más la reclamación del seguro.

2. Aprovechar la ventana de recuperación de activos tras un ataque

El momento más crítico para recuperar activos digitales a menudo no es cuando el tribunal emite un fallo final, sino en las primeras horas y días tras el ataque. Cuanto antes se inicie el rastreo, más fácil será para la empresa establecer un flujo de fondos inicial completo, identificar el momento en que los activos ingresan a plataformas de intercambio u otros nodos centralizados, y presentar solicitudes de congelación antes de que los fondos sean divididos, cruzados y mezclados repetidamente.

Por lo tanto, las empresas no deben esperar a que ocurra un incidente para investigar una serie de cuestiones básicas: qué agencia de análisis de blockchain contactar, qué entidad del grupo debe presentar la denuncia y reclamar derechos, quién es responsable de coordinar con las plataformas de intercambio y custodios, en qué jurisdicción se pueden solicitar medidas de emergencia, y si es necesario notificar a los usuarios, reguladores y aseguradores.

Estos recursos y rutas de decisión deben ser incorporados de antemano en el plan de respuesta a incidentes. Al menos, se debe preparar una red de contactos de plataformas de intercambio clave, custodios, emisores de stablecoins, agencias de análisis de blockchain, autoridades y abogados externos, y establecer plantillas de solicitudes de congelación que puedan ser rápidamente completadas y enviadas.

Una solicitud de congelación de emergencia efectiva generalmente debe especificar el sujeto afectado, el desarrollo del evento, el hash de la transacción original, la dirección involucrada, la ruta de fondos clave, así como la información de transacción específica sobre cómo los activos ingresaron a la plataforma correspondiente. La empresa también debe solicitar simultáneamente a la plataforma que conserve registros de KYC, IP de inicio de sesión, dispositivos, transacciones y registros de retiros, y confirmar si la plataforma necesita una carta de la policía, una orden judicial u otros documentos para extender el período de congelación.

El objetivo de la primera notificación es principalmente hacer que la plataforma sea consciente del riesgo, conservar temporalmente el estado actual y preservar las pruebas que podrían perderse. Solo al asegurar esta ventana, los procedimientos posteriores de denuncia, litigio y devolución tendrán un objeto real.

3. Establecer un sistema de evidencia en blockchain que pueda ser presentado ante el tribunal

Las empresas no pueden esperar a que se inicie un litigio para convertir el flujo de fondos en blockchain en evidencia. Los datos de transacción originales, el momento de adquisición, la altura del bloque, el hash de la transacción, las personas que retiran, las herramientas de análisis y el proceso de revisión deben ser registrados de manera completa desde el inicio del evento. Al mismo tiempo, se debe distinguir claramente entre hechos objetivos, inferencias profesionales y calificaciones de riesgo. Por ejemplo, "100 ETH se transfirieron de la dirección A a la dirección B" es un hecho en blockchain; "las direcciones A y C pueden ser controladas por el mismo sujeto" es una conclusión de análisis; "ese sujeto pertenece al grupo Lazarus" requiere atribución gubernamental o evidencia fuera de la cadena para su apoyo.

Al contratar una agencia de análisis de blockchain, las empresas también deben confirmar si pueden conservar los datos subyacentes, explicar los métodos de agrupamiento y los márgenes de error, y emitir informes de expertos o colaborar con el tribunal en la presentación de pruebas cuando sea necesario.

Las empresas también deben revisar de antemano la propiedad legal de los activos. En grandes grupos de Web3, la operación de marca, los servicios web, la gestión de billeteras, los contratos con clientes y los registros contables pueden pertenecer a diferentes empresas. Tras un ataque, los tribunales y las plataformas de intercambio preguntarán más: ¿quién controla la billetera robada?, ¿los activos pertenecen a la empresa o a los usuarios?, ¿qué entidad asume la obligación de pago?, ¿quién ha sufrido pérdidas en un sentido legal?, y ¿quién tiene derecho a presentar una denuncia, solicitar congelación y presentar una demanda?

Si las empresas no pueden responder claramente a estas preguntas en su operación diaria, incluso si el camino de los fondos en blockchain es muy claro, pueden retrasar la recuperación debido a la falta de claridad sobre el sujeto demandante, la propiedad de los activos y la atribución de pérdidas.

El sistema de evidencia en blockchain debe conectar finalmente ambos extremos: un extremo son los hashes de transacción, direcciones de billetera y rutas de fondos, y el otro extremo son los sujetos de la empresa, contratos con clientes, registros contables y derechos sobre los activos. Solo cuando ambos correspondan, el "dinero visible" en blockchain puede convertirse en propiedad que el tribunal pueda manejar.

4. Dibujar un mapa de control de activos por adelantado

Las empresas deben registrar de antemano quién tiene las claves privadas, permisos de cuentas, derechos de gestión de contratos inteligentes o salidas de moneda fiduciaria, y dibujar un mapa de control de activos en consecuencia.

Este mapa debe cubrir al menos a los emisores, métodos de custodia, permisos de billetera, rutas de redención, funciones de emergencia de contratos, principales lugares de transacción, jurisdicciones relevantes y contactos de emergencia, y debe responder rápidamente tras un ataque: ¿dónde están los activos?, ¿quién puede técnicamente impedir su movimiento?, ¿qué tribunal o autoridad reguladora puede influir en ese sujeto?

Para los proyectos de DeFi, también se debe revisar específicamente si los contratos pueden actualizarse, si existen claves de administrador, funciones de pausa o gobernanza multi-firma, y quién controla la infraestructura como front-end y oráculos. El mapa de control de activos no exige que todos los protocolos establezcan funciones de congelación, sino que ayuda a las empresas a encontrar con precisión los puntos de control reales.

5. Establecer mecanismos de congelación por capas, respuesta a sanciones y recuperación transfronteriza

Los activos digitales pueden pasar por múltiples plataformas en cuestión de minutos. Es difícil que un solo tribunal, una sola autoridad de aplicación o un solo equipo de abogados complete todo el trabajo de recuperación. Las empresas necesitan clasificar los objetivos de recuperación según el nodo donde se encuentran los fondos, el grado de control y el valor de recuperación esperado.

La primera capa son los activos de mayor valor, con rutas de fondos claras y que ya han ingresado a plataformas de intercambio o entidades de custodia en cumplimiento. Estos activos deben ser priorizados para enviar solicitudes de congelación y conservación de pruebas, y evaluar rápidamente si es necesario presentar una denuncia, solicitar una orden de emergencia o tomar medidas judiciales locales.

La segunda capa son los activos que aún permanecen en billeteras no custodiadas, que no se pueden controlar temporalmente pero tienen un alto potencial de rastreo. Las empresas pueden monitorear continuamente las direcciones y, cuando los activos ingresen a plataformas de intercambio, sistemas de stablecoins o salidas de moneda fiduciaria, deben actualizar inmediatamente su manejo.

La tercera capa son los activos de menor valor, que ya están severamente mezclados o han ingresado a jurisdicciones que no cooperan con la justicia. Estos activos aún pueden conservar registros de rastreo, pero se debe evaluar si vale la pena tomar acciones legales individuales en función de los costos de investigación, gastos de litigio y probabilidad de ejecución.

La revisión de sanciones también debe adoptar un enfoque de clasificación de riesgos, en lugar de simplemente verificar si la dirección de recarga aparece directamente en la lista de OFAC. Para las empresas o transacciones relevantes sujetas a las reglas de sanciones de EE. UU., si los activos impactan directamente en la dirección de la billetera en la lista de sanciones, o hay suficientes pruebas que indiquen que son propiedad o están controlados por un sujeto sancionado, se deben tomar medidas de bloqueo y reporte de acuerdo con las reglas aplicables; para transacciones con rutas de fondos cortas o altamente relacionadas con direcciones de alto riesgo, se puede suspender el procesamiento y reforzar la investigación; para contactos históricos generales que están más alejados y carecen de otros indicadores de riesgo, no se debe congelar permanentemente solo por la asociación en blockchain.

En cuanto a la recuperación transfronteriza, las empresas deben identificar de antemano las jurisdicciones clave en torno a plataformas de intercambio, custodios, emisores de stablecoins y salidas de moneda fiduciaria, y entender si las leyes locales reconocen la propiedad de los activos digitales, si permiten demandas contra demandados anónimos, si se pueden solicitar medidas de congelación sin notificación, si se puede exigir a las plataformas que revelen datos de KYC, y cómo se reconocen y ejecutan las órdenes judiciales extranjeras.

Por supuesto, esto no significa que cada ataque requiera litigios a nivel mundial. Un objetivo de recuperación razonable no es recuperar cada token sin considerar los costos, sino priorizar la inversión de recursos en activos que sean más controlables, de mayor valor y con rutas legales relativamente claras dentro de un presupuesto y tiempo limitados.

Finalmente, las empresas necesitan formar un manual de recuperación de activos digitales que pueda ser activado de inmediato. Este manual debe cubrir al menos una lista de activos, billeteras y permisos, niveles internos de eventos y mecanismos de autorización de emergencia, estándares de conservación de datos en blockchain y registros del sistema, redes de contacto con instituciones externas, plantillas de solicitudes de congelación y anexos de pruebas, reglas de clasificación de riesgos de sanciones y prevención de lavado de dinero, medidas de emergencia en jurisdicciones clave, y mecanismos de comunicación con usuarios, reguladores, aseguradores y medios de comunicación.

El caso de Bybit es lo que las empresas de Web3 deben recordar: no son los daños triples de RICO, ni si un tribunal estadounidense puede finalmente juzgar a Corea del Norte, sino un conjunto completo de disposiciones legales para la recuperación de activos. Solo al integrar el rastreo técnico, la conservación de pruebas, la protección de activos, el cumplimiento de sanciones y la ejecución transfronteriza en un mismo sistema, las empresas no solo observarán cómo los fondos se mueven en blockchain, sino que podrán recuperar la oportunidad de actuar cada vez que los activos ingresen a una plataforma centralizada, expongan su identidad real o se acerquen a la salida de moneda fiduciaria.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.