Північнокорейські хакери викрали $7,61 млрд у 2026 році через ключі підпису, а не код

Скільки коштів вдалося повернути

Загальна сума викрадень становить $7,61 млрд. З неї $2,86 млрд перехопили через блокування та вилучення активів, а $4,75 млрд досі недосяжні для правоохоронних органів.

Основна частина викраденого припала на Binance, тоді як 32 дрібніші атаки разом дали $178,4 млн.

Чому аудит коду не зупинив зловмисників

У шести найбільших атаках зловмисники отримали контроль над людьми та системами, які підписують транзакції виведення. Кожна така операція мала дійсні підписи або проходила стандартні перевірки, тому вразливості коду не знадобилися.

• Binance: початковою точкою став робочий ноутбук DevOps-інженера та контейнер сервісу підписання транзакцій.
• Drift: схема multisig на базі Solana.
• KelpDAO: міст з одноосібним верифікатором.
• Bitget: система гаманців біржі.

Тестові перекази та робочий графік хакерів

Перед основною крадіжкою оператори пробували конкретний маршрут на невеликих сумах. Договір для атаки на Binance було задіяно публічно за чотири години до головної фази.

В аналізі 540 транзакцій 48 % активності припадало на проміжок з 16:00 до 21:00 за пхеньянським часом. У державні свята Північної Кореї рух активів повністю зупинявся, а на суботу, неділю та понеділок разом припало 10 % транзакцій. Щойно атака стартувала, переклади виконували скрипти, і рух коштів ставав безперервним упродовж доби.

Швидкість виведення і частка заблокованих коштів

У перші хвилини після злому хакери обмінювали стейблкойни на ETH або брали ETH у позику під викрадену заставу. Жоден емітент не має механізму блокування ETH, тож цей шлях залишався відкритим.

Після експлойту мосту rsETH у квітні перші 52 440 ETH вивели з лендингових протоколів менш ніж за дев'ять хвилин. Далі кошти лежали нерухомо від 2,5 до 5 діб, поки скрипти не перевели їх через THORChain.

Обмінні операції, прив'язані до Binance, охопили 2 257 транзакцій на суму $55,8 млн, а витрати на відмивання склали 0,50 %.

• Binance: заморожено або вилучено 43 % викрадених активів.
• Інші великі атаки: 6 %.

Перший запит на блокування Tether надійшов через 34 хвилини після виведення з Binance. До того з вихідної адреси вже вивели 345 млн USDT.

Спільні адреси як слід одного оператора

Найочевиднішим слідом стала технічна недбалість під час очищення адрес. Після переказу 5 047 ETH через Umbra (інструмент приватності з прихованими адресами) і міст Stargate оператор переслав залишок на один гаманець.

31 серпня 150 адрес обнулили за 3 хвилини 36 секунд, і так операція пов'язала епізоди з AFX та 28 серпня. У вересні до цього кластера додалися адреси Bitget. Загалом на збиральний гаманець надійшло лише 0,27 ETH.

За оцінками BitOK, спільні адреси розрахунків зараз пов'язують щонайменше п'ять атак КНДР: від KelpDAO у квітні до Binance у жовтні. Це вказує на єдиного оператора відмивання, хоча безпосередні зломи могли здійснювати різні групи.

Мізерні залишки стали найочевиднішим слідом оператора за рік

BitOK, аналітична фірма з блокчейн-розвідки

Що це означає для ринку

Блокування працює лише доти, доки стейблкойни не вийшли з підконтрольних емітентам зон. Тому швидкість реакції важить більше, ніж сам факт заморожування.

• Ключі підпису, робочі пристрої та сервіси транзакцій стали головною ціллю, а не смарт-контракти.
• Контроль доступу до підписів потребує уваги поряд із кодовим аудитом.
• Раніше Chainalysis відносила атаку на Bitget до КНДР, також у жовтні, що узгоджується з висновками BitOK.

Часті питання