Według Chainalysis, powiązani z Koreą Północną hakerzy odpowiadają za niemal 89% zgłoszonych strat z tytułu ataków hakerskich na kryptowaluty w 2026 roku, podczas gdy Pjongjang odrzucił międzynarodowe sankcje wymierzone w jego programy dochodowe i zbrojeniowe.
Podsumowanie
- Podejrzewane ataki powiązane z Koreą Północną odpowiadają za niemal 89% zgłoszonych strat z tytułu ataków hakerskich na kryptowaluty w tym roku.
- Średnie straty na podejrzewany atak powiązany z KRLD osiągnęły 185,65 mln dolarów, w porównaniu z 50,65 mln dolarów w 2021 roku.
- Śledczy powiązali skradzione środki z Binance z aktywami zabranymi we wrześniowym ataku na Bitget przypisywanym Korei Północnej.
- Pjongjang odrzucił wielonarodowe oświadczenie w sprawie sankcji dotyczące pracowników zagranicznych, działań cybernetycznych i współpracy wojskowej.
Chainalysis opublikowała dane 30 października, opierając się na zgłoszonych stratach do 29 października. W całym okresie od 2021 roku podejrzewane operacje Korei Północnej odpowiadały za 13,24 mld dolarów z 22,34 mld dolarów zgłoszonych strat z tytułu ataków hakerskich na kryptowaluty, czyli około 59%.
Najnowszy roczny udział porównuje się z 15% w 2021 roku. Obliczona na podstawie opublikowanych wartości procentowych różnica wynosi 74 punkty procentowe, podczas gdy średnia zgłoszona strata na podejrzewany atak powiązany z Koreą Północną jest około 3,7 razy wyższa niż jej poziom w 2021 roku.
Kradzieże kryptowalut przez Koreę Północną są coraz większe w przeliczeniu na atak
W swojej ocenie z 2025 roku Chainalysis oszacowała, że północnokoreańscy hakerzy ukradli w tym roku 2,02 mld dolarów, o 51% więcej niż w 2024 roku, mimo przeprowadzenia mniejszej liczby ataków. Firma oszacowała ich łączne kradzieże do 2025 roku na 6,75 mld dolarów.
Jej badacze opisali operacje obejmujące pracowników IT osadzonych w usługach kryptowalutowych oraz schematy podszywania się wymierzone w kadrę kierowniczą. W przypadku usług scentralizowanych raport zidentyfikował ataki na procesy podpisywania i infrastrukturę kluczy prywatnych, w tym próby nakłonienia legalnych podpisujących do zatwierdzenia złośliwych transakcji.
Sam lutowy atak na Bybit w 2025 roku odpowiadał za 1,5 mld dolarów. Historyczna ocena Chainalysis wykazała, że trzy największe ataki hakerskie stanowiły 69% strat usług w tym roku, przy czym poszczególne duże włamania odpowiadały za znaczną część skradzionej wartości.
Po ataku na Binance z 29 października śledczy opublikowali szacunki przekraczające 6 mld dolarów dla jednego incydentu. Jak informował crypto.news, Binance oszacował, że jego naruszenie bezpieczeństwa dotknęło 6,3 mld dolarów i zobowiązał się pokryć straty klientów ze środków firmy oraz swojego Funduszu Bezpiecznych Aktywów dla Użytkowników.
Śledzenie Binance łączy dwie kradzieże na giełdach
W swoim śledztwie Chainalysis przypisała kradzież z Binance grupie TraderTraitor, północnokoreańskiej grupie cyberprzestępczej. Śledczy zaobserwowali, że skradzione aktywa z Binance mieszają się ze środkami z wrześniowego exploitu Bitget, który wcześniej przypisano północnokoreańskim podmiotom.
Firma opisała bezpośrednie powiązanie między dwiema pulami skradzionych środków jako swój najsilniejszy dowód potwierdzający przypisanie. Jej ocena opiera się na aktywności w łańcuchu bloków zaobserwowanej po ataku na Binance.
Osobno TRM Labs przypisała atak grupie TraderTraitor z wysokim stopniem pewności, powołując się na informacje wywiadowcze zebrane zarówno w łańcuchu bloków, jak i poza nim. TRM wyceniła transfery na 6,36 mld dolarów, wykorzystując ceny aktywów w momencie zabrania środków, i prześledziła wypływy w 10 łańcuchach bloków.
Jej śledczy zidentyfikowali przygotowania rozpoczęte co najmniej 36 godzin przed kradzieżą, w tym niewielkie wypłaty z Tornado Cash, wdrożony kod ataku i próby na portfelach. TRM podała, że operacja na Ethereum wykorzystywała wstępnie podpisane autoryzacje, podczas gdy portfele w innych sieciach wysyłały zwykłe podpisane transfery.
Śledczy obserwują zautomatyzowane wzorce prania pieniędzy
Po ataku Chainalysis zaobserwowała tysiące transakcji, w których skradzione środki wielokrotnie krążyły między adresami, czasami wracając do portfeli użytych wcześniej w sekwencji.
Wiele adresów najpierw otrzymywało dokładnie 1 TRX, zanim przyjęło i przekazało dalsze środki. Śledczy stwierdzili, że powtarzająca się sekwencja sugeruje zautomatyzowany proces dystrybucji skradzionych aktywów.
Podczas wstępnych działań mających na celu uniknięcie zamrożenia stablecoinów, atakujący przenieśli 500 milionów dolarów w stablecoinach do portfela używanego do swapów. Według firmy, w ciągu prawie 20 minut 325 milionów dolarów wymieniono na 285 milionów dolarów w ETH. Pozostałe 175 milionów dolarów zostało następnie przesłane do portfeli pośredniczących.
Binance ogłosił później, że zarezerwował ponad 6,34 miliarda dolarów na zastąpienie dotkniętych aktywów i rozpoczął odkupywanie skradzionych altcoinów przy użyciu Bitcoina, Ethereum i stablecoinów.
Pjongjang odrzuca wspierane przez USA egzekwowanie sankcji
W osobnym oświadczeniu dyplomatycznym opublikowanym przez KCNA 31 października, bezimienny rzecznik północnokoreańskiego ministerstwa spraw zagranicznych odrzucił wielonarodowe dążenie do egzekwowania sankcji, poinformowała Reuters.
„Sankcje i presja mogą działać na słabych, ale nigdy na nas” – powiedział rzecznik, odnosząc się do środków przeciwko krajowi i jego statusowi broni jądrowej.
Wspólne oświadczenie, opublikowane przez Unię Europejską 28 października, stwierdzało, że USA, Australia i UE nałożyły sankcje wymierzone w pracowników zagranicznych, złośliwe działania cybernetyczne i nielegalną współpracę Korei Północnej z Rosją.
Wydane przez 11 krajów i UE, wzywało członków ONZ do wdrożenia istniejących rezolucji Rady Bezpieczeństwa. Sygnatariusze powołali się na raporty Wielostronnego Zespołu Monitorowania Sankcji, utworzonego po tym, jak Rosja zablokowała odnowienie mandatu poprzedniego panelu ekspertów ONZ w 2024 roku.
