Hakerzy z Korei Północnej zdobyli 7,61 mld USD w 2026 roku bez łamania jakiegokolwiek kodu

Hakerzy z Korei Północnej ukradli szacunkowo 7,61 mld USD w kryptowalutach w 38 incydentach między styczniem a październikiem 2026 roku – podaje firma wywiadu blockchain BitOK. We wszystkich sześciu największych atakach przejęli ludzi i systemy podpisujące wypłaty zamiast wykorzystywać błędy w kodzie.

Zamrożenia i konfiskaty objęły 2,86 mld USD, zostawiając poza zasięgiem 4,75 mld USD. Sam Binance odpowiada za 6,41 mld USD z tej sumy, a 32 mniejsze kradzieże na kontach osób i firm dają razem 178,4 mln USD.

Dlaczego audyty kodu nie powstrzymały hakerów z Korei Północnej

Z raportu BitOK wynika, iż każda wypłata w sześciu największych atakach miała istotny podpis lub przeszła standardowe kontrole. W Binance punktem wejścia był laptop inżyniera DevOps i pojemnik z usługą podpisującą.

To pokrywa się z wcześniejszymi ustaleniami na temat tego, jak doszło do ataku w październiku. W innych miejscach napastnicy przejęli sygnatariuszy multisig na platformie Drift opartej na Solanie, pojedynczego weryfikatora mostu w KelpDAO oraz system portfeli w Bitget.

Przed każdym skokiem operatorzy testowali trasę na małych kwotach. Na przykład kontrakt atakujący Binance działał publicznie cztery godziny przed kradzieżą.

Harmonogram wygląda jak praca biurowa. W próbie 540 transakcji aż 48% aktywności przypadało na godziny 16:00–21:00 czasu pjongjańskiego.

Operatorzy robili choćby wolne w północnokoreańskie święta państwowe, na które nie odnotowano żadnej aktywności. Sobota, niedziela i poniedziałek razem stanowiły tylko 10% transakcji.

Jednak gdy atak się zaczynał, rytm się zmieniał. Skrypty przejmowały kontrolę, a przesyłanie środków trwało przez całą dobę.

Minuty na wymianę, dni na zniknięcie

Szybkość decyduje o tym, co można jeszcze zamrozić. W kilka minut hakerzy wymieniali stablecoiny na ETH lub zaciągali pożyczki pod zastaw skradzionych środków w ETH, bo żaden wystawca nie może zamrozić ETH.

Po kwietniowym ataku na most rsETH pierwsze 52 440 ETH opuściło protokoły pożyczkowe w trochę ponad osiem minut. Potem środki leżały bez ruchu od 2,5 do 5 dni, zanim trafiły do THORChain – protokołu do swapów międzyłańcuchowych.

Pranie okazało się tanie. Na 2257 swapach powiązanych z Binance o wartości 55,8 mln USD łączny koszt wyniósł tylko 0,50%.

Zamrożenia działały więc tylko tam, gdzie stablecoiny jeszcze nie zostały przesunięte. W Binance zamrożono lub skonfiskowano 43% skradzionych środków, a w innych dużych atakach razem tylko 6%.

Nawet tam timing szkodził. Pierwsze żądanie zamrożenia do Tether trafiło 34 minuty po wypłacie z Binance. W tym czasie 345 mln USDT już opuściło pierwotny adres.

Udział zaatakowanych środków zamrożonych lub skonfiskowanych. Źródło: BitOK

Pomyłka na 0,27 ETH łączy 5 ataków

Najbardziej wyraźny trop pochodził z błędu podczas czyszczenia. Po przesłaniu 5047 ETH przez Umbra, narzędzie do prywatnych adresów oraz most Stargate, operator zgarnął resztki do jednego portfela.

31 sierpnia 150 adresów opróżniło się do tego kolektora w ciągu 3 minut i 36 sekund. Operacja połączyła kradzieże AFX i z 28 sierpnia, a adresy Bitget dołączyły w kolejnych tygodniach. Portfel otrzymał w sumie tylko 0,27 ETH.

Wspólne adresy rozliczeniowe teraz łączą pięć ataków hakerów z Korei Północnej: od KelpDAO w kwietniu po Binance w październiku. BitOK uważa, iż za pranie odpowiada jeden operator, chociaż ataków mogły dokonać różne zespoły.

“Te drobne końcówki sald stały się w tym roku najjaśniejszym tropem operatora”

Klucze podpisujące – nowy cel ataków

Chainalysis już powiązał kradzież Bitget z Koreą Północną w październiku. Dane BitOK pokazują teraz, iż hakerzy z Korei Północnej powtarzają jeden schemat na giełdach i w protokołach DeFi.

Słaby punkt przeniósł się ze smart kontraktów na pracowników, urządzenia i usługi podpisujące. Zamrożenie przez wystawcę pomaga tylko w pierwszych minutach, a Binance pokrył już większość strat użytkowników z własnych rezerw.

BeInCrypto Polska - Hakerzy z Korei Północnej zdobyli 7,61 mld USD w 2026 roku bez łamania jakiegokolwiek kodu