本文作者：张倩文

上篇讨论了Bybit为什么选择RICO，以及一场境外数字资产攻击为什么能够进入美国联邦法院。

但进入法院只是追偿的起点。攻击者身份不明、资产仍在链上流转，即使法院愿意介入，也必须先解决三个现实问题：如何在不知道被告姓名的情况下启动诉讼，如何在攻击者获知诉讼前保住资产，以及如何让法院命令通过交易平台、托管机构和制裁体系产生实际效果。

四、匿名被告如何进入诉讼：John Doe、身份追查与替代送达

传统诉讼通常先确定被告身份，再完成起诉和送达。但在数字资产案件中，受害人往往能在链上看到资产，却不知道钱包背后的人是谁——钱包地址不会显示控制人的姓名、国籍和联系方式。一个地址可能属于攻击者，也可能是交易平台的归集钱包、托管机构的服务地址、OTC商的交易地址，甚至只是与涉案资金发生过正常交易的普通用户。如果必须等到所有地址控制人的身份查明后才能起诉，被盗资产可能早已被再次拆分、跨链或变现。

John Doe制度则为这种困境提供了出口：它允许在被告身份不明时先行启动诉讼。

1. John Doe：为匿名主体预留诉讼位置

“John Doe”是美国诉讼中对身份暂时不明被告的代称，它允许原告在掌握部分行为和财产线索、但暂时无法确认真实姓名时，先为相关主体保留诉讼位置。这种安排改变了数字资产案件的诉讼顺序：Bybit不必等到每一个地址背后的控制人全部查明后再采取行动，而是先以现有链上证据启动案件，再根据后续取得的资料，将匿名被告替换为真实姓名或追加具名被告。

当然，它不意味着原告可以在毫无线索的情况下起诉任何未知主体，原告通常需要向法院说明：确实存在实施相关行为或控制相关财产的主体；现阶段无法通过合理调查确定其身份；原告已经掌握足以识别其行为、账户或财产的信息；随着诉讼推进，其身份有望通过民事发现程序查明。在Bybit案中，匿名被告主要通过钱包地址和资金路径识别。Bybit暂时无法告诉法院“被告叫什么”，但可以说明哪些地址接收或转移了被盗资产，以及这些地址为何可能与盗窃或洗钱活动相关。

这使得钱包地址成为一种临时“身份坐标”：它不能代替被告的真实身份，但可以帮助Bybit界定调查对象、描述相关行为和资产，并为后续身份调查及保全申请提供起点。

2.从钱包地址到现实身份：匿名被告如何被识别

区块链公开记录能够显示交易时间、资产数量、转入和转出地址以及资金流转路径，却不能直接揭示地址背后的自然人或机构。要追查John Doe的真实身份，Bybit仍需完成从“钱包地址”到“现实主体”的转换。这一过程大致分为三步：第一步是链上分析。根据资金来源、交易时间、Gas费支付地址、资金拆分方式、跨链路径及历史交互关系，判断多个钱包是否可能由同一主体控制，并识别其中反复出现的交易模式。

例如，多个地址如果在相近时间接收资金、使用相同来源的Gas费、按照相似比例拆分资产，并将资金集中转入同一平台账户，就可能表明这些地址之间存在共同控制关系。但这一分析形成的通常只是调查线索，而不是最终的身份结论。第二步是寻找中心化节点。当资金进入中心化交易所、托管平台、稳定币发行体系或法币兑换渠道时，匿名地址可能开始与现实身份发生连接。这些机构可能掌握客户KYC资料、登录IP、设备信息、提币地址、银行账户、交易记录和内部风险调查结果。

当然，这些资料通常受到合同、隐私和数据保护义务约束，相关机构未必能够仅凭Bybit的一封律师函直接披露，尤其是在信息跨越不同司法辖区的情况下，平台往往需要法院传票、司法协助请求或其他正式法律依据。第三步是借助民事发现程序调取资料。案件启动后，Bybit可以在符合法律条件的情况下，申请传票或其他调查命令，向掌握相关信息的第三方调取资料，再将平台账户资料、登录信息和资金记录与链上地址进行比对及交叉验证。由此形成一条相对完整的调查路径：通过链上分析确定资金路径，通过中心化机构的记录找到现实身份，法院程序则将二者连接起来。

3.从身份识别到责任认定需要跨越的证明门槛

即使Bybit通过上述路径查明了某个钱包的实际控制人，也不能仅凭该钱包接收过涉案资产，就认定其是Lazarus成员或参与了RICO所指控的犯罪网络，这中间仍然存在较大的证明距离。同一笔涉案资金进入某个地址，可能存在多种解释：该地址可能由攻击者直接控制，也可能属于协助转移资金的中间人；可能是交易平台或托管机构的归集钱包，也可能是在正常交易中无意接收涉案资产的普通用户；某些情况下，资金还可能因为智能合约自动执行而短暂经过某个地址。

因此，链上资金关联首先只能证明资产如何移动，要将这种关联进一步转化为法律责任，Bybit至少还需要证明三个层面的问题：第一，相关资产确实来源于本次攻击；第二，涉案地址和相关交易可以归属于特定主体；第三，该主体明知资金来源并实际参与了攻击、转移、隐匿或变现活动。

其中，资产来源主要依赖链上资金追踪；地址控制需要结合平台账户、登录IP、设备信息和其他链下资料；主观认知与实际参与则通常需要通过对行为模式的分析等证据综合判断，例如：该主体是否反复接收同一盗窃事件中的资金，是否采用具有明显规避特征的拆分、混币或跨链操作，是否与已知Lazarus地址长期互动，是否按照统一节奏处理资产，以及是否存在通信记录、报酬安排或明知资金来源仍协助转移的其他证据。这也是John Doe制度的边界。它允许Bybit在被告身份尚未完全查明时启动诉讼和调查，却不会降低其最终举证责任。

钱包地址可以成为追查线索和程序上的被告标识，但不能直接替代对被告身份、具体行为、主观认知和法律责任的证明。

4.匿名被告的送达难题

即使Bybit通过钱包地址描述了匿名被告，仍然需要解决另一个程序问题：如何让地址背后的控制人知道自己已经被起诉？送达并不是简单地把诉讼文件“发出去”，而是为了保证被告获得合理通知和答辩机会。未经合法送达，法院对匿名被告作出的缺席判决可能在后续程序中受到质疑，也可能影响判决的承认和执行。传统的当面送达或邮寄送达很难适用于只有链上地址的被告。

在类似数字资产案件中，原告可能申请法院批准替代送达，例如向已知电子邮箱或社交媒体账户发送通知，通过交易平台账户的站内信送达，在指定网站公布诉讼文件，或者向钱包地址发送包含诉讼通知链接的链上信息。本案中，Bybit向涉案钱包发送NFT，载明临时限制令、异议期限，并提供起诉状和法院命令的链接。法院在批准初步禁令时，认可了该通知已满足初步禁令阶段的程序要求。但这一认定必须放在具体的程序阶段中理解。美国法院对“通知”（notice）与“送达”（service of process）的区分，在不同诉讼阶段具有不同的法律含义。

在初步禁令阶段，根据《联邦民事诉讼规则》第65(a)(1)条（Fed. R. Civ. P. 65(a)(1)），法院不得在未通知不利方的情况下签发初步禁令。这里的通知不必达到第4条规定的正式送达标准，但必须在具体情况下能够合理地使相关主体知悉程序，并给予其提出异议的机会。本案中，Bybit通过NFT通知后，一名钱包控制人实际提出异议，也说明该通知确实触达了相关主体。当案件进一步进入实体审理，尤其是Bybit希望在被告缺席的情况下取得最终判决时，就