15 億美元究竟能追回多少？Bybit 訴朝鮮案的現實邊界與行業啟示

By: foresightnews.pro|2026/09/02 07:52:14

Bybit 案最值得 Web3 企業記住的，並不是 RICO 的三倍賠償，也不是美國法院能否最終審判朝鮮，而是一套完整的資產追償法律佈局。

撰文：張倩文

七、這套策略究竟能追回多少錢？

RICO、John Doe、緊急禁令和制裁協同共同搭建了一張資產追償網絡，但一套完整的法律路徑，並不等於被盜資產已經進入可回收狀態。

截至 Bybit 公布訴訟時，其披露約 4,840 萬美元被盜資產已經追回，另有約 3,050 萬美元在超過 28 家交易所和托管機構凍結。兩者合計約 7,890 萬美元，約占 15 億美元初始損失的 5.3%。如果進一步區分「已經追回」和「暫時凍結」，實際回款比例還要更低。

這組數字揭示了數字資產追償中經常被混淆的四個階段：鏈上能夠看見，現實中能夠控制，法律上能夠證明，現實中完成返還。任何一個環節中斷，都可能使一筆清晰可見的鏈上資產無法真正回到 Bybit 手中。

1. 第一道門檻：可追蹤資產有多少能夠進入控制節點

中篇已經討論過，鏈上可見與現實可控是兩回事。對於回收率而言，關鍵不是分析機構能夠標記多少地址，而是其中有多少資產會進入交易平台、托管機構、穩定幣體系或法幣出口等可干預節點。仍停留在攻擊者非托管錢包中的資產，即使地址和餘額完全透明，也可能缺少能夠執行凍結的現實路徑。

Lazarus 通過拆分、跨鏈、混幣和點對點交易延長路徑、分散餘額，實際效果正是壓縮這些資產進入可控制節點的時間窗口，並不斷提高單筆追索成本。

當調查、訴訟及跨境執行成本超過某筆資產的預期回收金額時，即使資金仍然「看得見」，繼續追索也可能失去商業合理性。

2. 第二道門檻：可控制資產有多少能夠通過權屬證明

即使資產進入可控制節點，Bybit 仍需把鏈上追蹤結果轉化為能夠接受質證的權屬證據：證明原始資產由其合法控制、資產未經授權轉出、當前主張的財產與被盜資產之間具有可靠聯繫，並使凍結範圍與可追蹤資產相匹配。

資產每經歷一次兌換、跨鏈、流動性池交易或平台歸集，追蹤方法和返還範圍就會增加一層爭議。

3. 第三道門檻：已經凍結的資產有多少能夠完成返還

凍結只是暫時保留資產，並不決定最終歸屬。Bybit 仍需完成合法送達、證明資產來源、取得最終判決或返還命令，並處理帳戶持有人及其他利害關係人的異議。

如果資產受到美國制裁規則約束，返還還可能需要滿足 OFAC 许可要求；如果資產位於境外平台，美國法院的命令也可能需要通過當地司法協助、承認程序或新的保全措施才能落地。

因此，約 3,050 萬美元的凍結資產不能直接視為已經回款。它只是進入了「有機會返還」的狀態，最終金額和時間仍取決於權屬、制裁與跨境執行程序。

4. 資產混同與第三方權利主張進一步限制追償範圍

被盜資產經過多次轉手後，可能進入不知情的第三方手中，也可能與其他用戶的合法資產發生混同。一旦出現第三方異議，或者無法將涉案資產與其他財產清楚區分，Bybit 能夠繼續凍結和請求返還的資產範圍就可能相應縮小。

本案中，一名居住在東南亞的澳大利亞公民 Joseph F. Corrigan 自行向法院提出異議，主張其是 Nexo 平台某錢包內價值約 3.9 萬美元加密資產的合法權利人，並反對法院將該錢包納入初步禁令範圍。Bybit 雖然不同意 Corrigan 對事實的描述，但考慮到其身份已經明確、涉案金額相對有限，且日後仍可以將其追加為具名被告主張權利，因此同意暫時將該錢包排除在初步禁令之外。法院據此沒有對該錢包簽發初步禁令，但也尚未最終認定有關資產屬於 Corrigan。

這一插曲說明，鏈上顯示的關聯資產金額不能直接等同於最終可追償金額。一旦第三方提出具有一定基礎的獨立權利主張，Bybit 可能需要暫時放棄對有關資產的緊急凍結，轉而通過後續訴訟證明其享有更優權利。

資產混同也會限制追償範圍。例如，被盜 ETH 進入交易平台的歸集錢包並與其他用戶資產混合後，Bybit 很難僅憑其中部分資金與本次攻擊有關，就要求凍結整個歸集錢包，而需要進一步識別涉案帳戶，並證明其主張的範圍與能夠持續追蹤或合理區分的資產相對應。

如果所有間接接觸過被盜資產的錢包都被永久視為「污染地址」，凍結範圍就會沿著交易鏈不斷擴張，影響大量與攻擊無關的用戶；反過來，如果資金經過一次轉手或混同便完全失去可追償性，攻擊者又可以輕易切斷追索。因此，不同司法轄區需要根據其有關善意取得、資產追蹤和混同處理的規則，確定 Bybit 可以繼續追索到哪一層、凍結多少以及返還多少。

由此可見，Bybit 最終能夠追回的金額，不僅取決於多少資產被追蹤和凍結，還取決於其中有多少未受到第三方權利挑戰，並且能夠從混同財產中合理識別。「鏈上關聯金額---暫時凍結金額---最終返還金額」很可能逐級遞減。

5. 高額判決與實際回款相距甚遠，為什麼仍然值得起訴

上篇已經說明，民事 RICO 可能帶來三倍損害賠償，但約 45 億美元的理論請求規模與實際回款之間仍有很長距離。

朝鮮幾乎不可能主動履行美國判決；即使 Bybit 克服主權豁免並勝訴，執行階段仍需找到歸屬於相關被告、位於可執行範圍且不受執行豁免或其他權利限制的具體財產。受到 OFAC 封鎖的資產，也不會自動轉化為 Bybit 的清償財產。

因此，真正決定回款的不是判決書上的數字，而是有多少涉案資產能夠進入可識別、可控制、可證明和可執行的現實節點。

儘管如此，這場訴訟仍然具有現實價值。

首先，15 億美元的損失基數足夠大。即使最終追回比例不高，絕對金額也可能覆蓋相當一部分調查和跨境訴訟成本。

其次，數字資產追償並不是一次性行動。部分資金可能在鏈上沉寂數年，待外界關注下降後再進入交易平台或法幣出口。持續追蹤和保留法律權利，可以為未來出現的控制機會提供基礎。

再次，訴訟能夠獲得私人調查難以取得的資料。通過法院傳票和跨境司法協助，Bybit 可能取得交易平台 KYC、登錄記錄、帳戶關聯及銀行信息。這些資料不僅有助於追回當前資產，也可能識別更廣泛的洗錢和協助網絡。

此外，訴訟還能夠提高攻擊者的變現成本。即使不能立即追回全部資金，持續標記地址、推動帳戶調查並追究協助者的責任，也會壓縮被盜資產進入合規金融體系的空間。

最後，Bybit 還需要修復市場信任。對於以托管用戶資產為核心業務的交易平台而言，攻擊發生後的處置能力本身就是商業信譽的一部分。持續追蹤、行業協作和聯邦訴訟是 Bybit 向用戶、監管機構和合作夥伴傳遞的信息：平台不會簡單核銷損失，而會繼續通過技術和法律手段追償。

因此，評價這場訴訟是否成功，不能只看 Bybit 能否追回全部 15 億美元。更合理的標準還包括：實際追回和凍結了多少資產，識別了多少匿名控制人，是否取得關鍵平台記錄，是否發現新的洗錢節點，是否推動其他司法轄區採取平行措施，以及是否建立了一套能夠重複使用的數字資產追償路徑。

從這個角度看，本案最重要的結果可能不是一份針對朝鮮的巨額缺席判決，而是 Bybit 能否把一部分原本只有鏈上坐標、沒有現實身份的資產，逐步轉化為能夠被實際控制、有證據支持、有司法措施保障，並最終返還給 Bybit 的財產。

對於其他 Web3 企業而言，本案最值得關注的也不只是 Bybit 最終能夠拿回多少，而是當攻擊真正發生時，企業是否已經具備將鏈上數據迅速轉化為證據、凍結措施和跨境追償行動的能力。

八、Bybit 案給 Web3 企業帶來了什麼啟示？

Bybit 案具有明顯的特殊性：15 億美元的損失、被美國政府歸因於朝鮮國家支持型網絡行為體的攻擊、美國聯邦訴訟、RICO 主張，以及橫跨多條區塊鏈和司法轄區的資產追蹤，並非每個 Web3 企業都會遇到的場景。

但本案揭示的風險處置邏輯具有普遍意義：企業應當在攻擊發生之前，就建立一套能夠將鏈上異常迅速轉化為證據、凍結措施和跨境追償行動的機制。

一旦資金離開企業錢包，事件就不再只是技術安全問題，而會同時涉及資產權屬、證據保存、平台協作、制裁篩查、刑事報案和跨境訴訟。如果技術、法律和合規團隊仍按照各自的節奏依次行動，企業很可能在內部流程尚未完成時，就已經錯過最重要的資產保全窗口。

1. 從技術響應升級為聯合響應

Web3 企業遭遇攻擊後的第一反應，通常是暫停提幣、修復漏洞、核對損失和發布公告。這些措施能夠阻止損失繼續擴大，卻不能解決已經被盜的資產如何追回。

完整的事件響應應當同時啟動多條工作線：技術團隊確認攻擊路徑並保存系統日誌；錢包和財務團隊核對資產、權限及帳務影響；鏈上分析人員追蹤和標記資金；律師判斷權屬、證據和凍結路徑；合規團隊開展制裁及反洗錢評估；管理層則負責決定暫停服務、報案、對外披露和跨境追償等重大事項。

這些工作不能簡單地前後排列。例如，技術團隊在修復系統時可能覆蓋關鍵日誌；公關團隊如果過早公布涉案地址和追蹤路徑，可能提醒攻擊者轉移資產；業務團隊如果在未保存資料前關閉帳戶，也可能影響後續調查。聯合響應的意義，就是讓所有團隊圍繞同一份事實底稿和行動優先級同步推進。

企業還應提前確定緊急授權機制。誰有權暫停錢包操作，誰可以向交易平台發送凍結請求，誰負責聯繫執法機關和外部律師，達到何種損失金額後需要管理層或董事會介入，都不應等到攻擊發生後再逐級討論。

對外溝通也應納入聯合響應。公告需要區分已經確認的事實與尚待調查的判斷、政府或第三方歸因與法院最終認定、已經追回的資產與僅被暫時凍結的資產。披露過少可能加劇市場猜疑，披露過多又可能暴露調查路徑和凍結計劃。

對於投保網絡安全險、犯罪險或數字資產保險的企業，還應及時通知保險人，並提前明確證據要求、訴訟費用承擔、代位求償和追回款分配機制。否則，處置過程中的延誤或不當表述可能進一步影響保險理賠。

2. 搶佔攻擊發生後的資產追償窗口

數字資產追回最關鍵的時間，往往不是法院最終作出判決時，而是攻擊發生後的最初幾個小時和幾天。越早啟動追蹤，企業越容易建立完整的初始資金流，識別資產進入交易平台或其他中心化節點的時點，並在資金尚未被反復拆分、跨鏈和混同之前提出凍結請求。

因此，企業不應在事故發生後才臨時研究一系列基礎問題：應聯繫哪家鏈上分析機構，由集團內哪家實體報案和主張權利，誰負責對接交易平台和托管機構，在哪個司法轄區可以申請緊急措施，以及是否需要通知用戶、監管機構和保險人。

這些資源和決策路徑應當提前寫入事件響應預案。至少應預先準備重點交易平台、托管機構、穩定幣發行人、鏈上分析機構、執法機關和外部律師的聯繫網絡，並建立可以快速填寫和發出的凍結請求模板。

一份有效的緊急凍結請求，通常需要說明受害主體、事件經過、原始交易哈希、涉案地址、關鍵資金路徑，以及資產進入有關平台的具體交易信息。企業還應同時要求平台保存 KYC、登錄 IP、設備、交易及提幣記錄，並確認平台是否需要警方函件、法院命令或其他材料才能延長凍結期限。

第一封通知的目標主要是讓平台意識到風險、暫時保留現狀並保存可能滅失的證據。只有先爭取到這個窗口，後續報案、訴訟和返還程序才有現實對象。

3. 建立可以進入法庭的鏈上證據體系

企業不能等到訴訟啟動後，才把鏈上資金流改造成證據。原始交易數據、獲取時間、區塊高度、交易哈希、提取人員、分析工具和復核過程，都應從事件發生之初完整記錄。同時應明確區分客觀事實、專業推斷和風險評級。例如，「100 枚 ETH 從地址 A 轉入地址 B」是鏈上事實；「地址 A 和地址 C 可能由同一主體控制」是分析結論；「該主體屬於 Lazarus Group」則需要政府歸因或鏈下證據支持。

聘請鏈上分析機構時，企業還應確認其能否保存底層數據、解釋聚類方法和誤差範圍，並在必要時出具專家報告或配合法庭質證。

企業還應提前梳理資產的法律權屬。大型 Web3 集團中，品牌運營、網站服務、錢包管理、客戶合同和帳務記錄可能分屬不同公司。攻擊發生後，法院和交易平台會進一步追問：被盜錢包由誰控制，資產屬於公司還是用戶，哪家實體承擔兌付義務，誰遭受了法律意義上的損失，以及誰有權報案、申請凍結和提起訴訟。

如果企業在日常經營中無法清楚回答這些問題，即使鏈上資金路徑十分明確，也可能因為原告主體、資產權屬和損失歸屬不清而延誤追償。

鏈上證據體系最終必須連接兩端：一端是交易哈希、錢包地址和資金路徑，另一端是公司主體、客戶合同、帳務記錄和資產權利。只有二者對應，鏈上「看得見的錢」才可能成為法院能夠處理的財產。

4. 預先繪製資產控制地圖

企業應預先記錄不同資產由誰掌握私鑰、帳戶權限、智能合約管理權或法幣出口，並據此繪製資產控制地圖。

這張地圖至少應覆蓋發行人、托管方式、錢包權限、贖回路徑、合約緊急功能、主要交易場所、相關司法轄區和緊急聯繫人，並在攻擊發生後迅速回答：資產位於哪個節點，誰能在技術上阻止其移動，哪個法院或監管機構能夠影響該主體。

對於 DeFi 項目，還應具體審查合約能否升級，是否存在管理員密鑰、暫停功能或治理多簽，以及前端、預言機等基礎設施由誰控制。資產控制地圖不是要求所有協議設置凍結功能，而是幫助企業準確找到現實控制點。

5. 建立分層凍結、制裁應對與跨境追償機制

數字資產可能在幾分鐘內經過多個國家的平台。單一法院、單一執法機關或單一律師團隊很難完成全部追償工作。企業需要根據資金所在節點、可控制程度和預期回收價值，對追償目標進行分層。

第一層是金額較大、資金路徑清晰且已經進入合規交易平台或托管機構的資產。這類資產應當優先發送凍結和證據保存請求，並迅速評估是否需要報案、申請緊急禁令或採取當地司法措施。

第二層是仍停留在非托管錢包、暫時無法控制但具有較高可追蹤性的資產。企業可以持續監控地址，並在資產進入交易平台、穩定幣體系或法幣出口時立即升級處置。

第三層是金額較小、已經嚴重混同或進入不配合司法轄區的資產。這類資產仍可保留追蹤記錄，但需要結合調查成本、訴訟費用和執行概率，判斷是否值得單獨採取法律行動。

制裁篩查也應採用風險分級，而不是只檢查充值地址是否直接出現在 OFAC 名單中。對於企業或有關交易受到美國制裁規則約束的情形，如果資產直接命中制裁名單中的錢包地址，或者有充分依據表明其由受制裁主體擁有或控制，應按照適用規則採取封鎖和報告措施；對於與高風險地址存在較短資金路徑或其他高度關聯的交易，可以暫停處理並加強調查；對於距離較遠、缺少其他風險指標的一般歷史接觸，則不宜僅憑鏈上關聯永久凍結。

跨境追償方面，企業應圍繞常用交易平台、托管機構、穩定幣發行人和法幣出口，提前識別重點司法轄區，並了解當地是否承認數字資產的財產屬性、是否允許針對匿名被告起訴、能否申請無通知凍結措施、是否可以要求平台披露 KYC 資料，以及如何承認和執行外國法院命令。

當然，這些並不意味著每次攻擊都需要在全球範圍內提起訴訟。合理的追償目標不是不計成本地追回每一枚代幣，而是在有限的預算和時間內，將資源優先投入控制可能性高、金額較大且法律路徑相對明確的資產。

最終，企業需要形成一份可直接啟動的數字資產追回手冊。其中至少應覆蓋資產、錢包和權限清單，內部事件分級及緊急授權機制，鏈上數據和系統日誌的保存標準，外部機構聯繫網絡，凍結請求及證據附件模板，制裁和反洗錢風險分級規則，重點司法轄區的緊急措施，以及用戶、監管機構、保險人和媒體溝通機制。

Bybit 案最值得 Web3 企業記住的，並不是 RICO 的三倍賠償，也不是美國法院能否最終審判朝鮮，而是一套完整的資產追償法律佈局------只有把技術追蹤、證據保存、資產保全、制裁合規和跨境執行設計成同一套系統，企業才不會只能看著資金在鏈上移動，而能在資產每一次進入中心化平台、暴露現實身份或接近法幣出口時，重新獲得採取行動的機會.