Door Noord-Korea gelinkte hackers waren verantwoordelijk voor bijna 89% van de gerapporteerde verliezen door cryptohacks in 2026, volgens bevindingen die Chainalysis op 30 oktober publiceerde. De bevinding volgde op de diefstal van ongeveer $6,3 miljard bij Binance in oktober, terwijl Pyongyang tegelijkertijd een internationale verklaring verwierp die opriep tot strengere handhaving van sancties.

De omvang van de cryptohackverliezen dit jaar

De cijfers van het bedrijf omvatten gerapporteerde gevallen tot en met 29 oktober. Van de $22,34 miljard die sinds 2021 door cryptohacks is verloren, wordt ongeveer 59% — of $13,24 miljard — toegeschreven aan vermeende Noord-Koreaanse cybercriminaliteit. Vermoedelijk door Noord-Korea gelinkte hacks zijn verantwoordelijk voor bijna 89% van de gerapporteerde cryptohackverliezen tot nu toe dit jaar, tegen een aandeel van 15% in 2021. Het gemiddelde gerapporteerde verlies per vermoedelijk aan de DPRK gelinkte hack steeg van $50,65 miljoen in 2021 naar $185,65 miljoen in 2026 tot op heden, ongeveer 3,7 keer groter.

Vermoedelijk door Noord-Korea gelinkte hacks zijn verantwoordelijk voor bijna 89% van de gerapporteerde cryptohackverliezen tot nu toe dit jaar. In 2021 was dat aandeel 15%. Het gemiddelde gerapporteerde verlies per vermoedelijk aan de DPRK gelinkte hack steeg van $50,65M in 2021 naar $185,65M in 2026 YTD, ongeveer 3,7x groter. From 2021… pic.twitter.com/zT4nFqqvWK

— Chainalysis (@chainalysis) October 30, 2026 (bronpost)

Chainalysis merkte op dat deze percentages de waarde weerspiegelen die aan de aanvallers wordt toegeschreven, en niet het werkelijke aantal zaken of rechterlijke uitspraken. Omdat de cijfers alleen gerapporteerde gevallen tot en met 29 oktober omvatten, kunnen de definitieve jaartotalen nog veranderen naarmate er meer incidenten worden gemeld.

Waarom nemen de Noord-Koreaanse cryptohackverliezen toe?

Chainalysis schat dat de gemiddelde waarde van een met Noord-Korea geassocieerde cryptohack steeg van $50,65 miljoen in 2021 naar $185,65 miljoen in 2026, een toename van 3,7 keer. Het bedrijf schatte eerder dat de waarde van crypto die door Noord-Koreaanse hackers is gestolen $2,02 miljard bedroeg in 2025, een stijging van 51% ten opzichte van 2024 als gevolg van minder aanvallen maar grotere incidenten.

Eén van dergelijke grote incidenten was de inbreuk bij Bybit in februari 2025, die verliezen van ongeveer $1,5 miljard veroorzaakte. Volgens Chainalysis waren de drie grootste cyberincidenten verantwoordelijk voor 69% van de verliezen bij cryptodiensten in 2025.

Onderzoekers beschreven ook phishingfraude en externe IT-medewerkers die probeerden toegang te krijgen tot cryptobedrijven. Gestolen ondertekeningsrechten kunnen aanvallers in staat stellen geld op te nemen zonder dat daar een kwetsbaarheid in het blockchainprotocol zelf voor wordt misbruikt.

De cijfers van dit jaar zijn sterk beïnvloed door de inbreuk bij Binance in oktober, waarbij de beurs ongeveer $6,3 miljard aan ongeautoriseerde opnames meldde.

Hoe werd de Binance-hack opgespoord?

Chainalysis koppelde de hack aan TraderTraitor, een threat actor die het bedrijf indelingt bij Noord-Korea. Het bedrijf zei de geldstromen vanaf Binance te hebben gevolgd en verbindingen te hebben geïdentificeerd met geld dat is gestolen bij de Bitget-hack in september, een incident waarvan het bedrijf eveneens denkt dat het is uitgevoerd door actoren die in Noord-Korea opereren. Chainalysis omschreef dit als zijn sterkste bewijs tot nu toe, maar heeft nog niet kunnen vaststellen hoe de aanvaller de noodzakelijke ondertekeningsautorisatie verkreeg. Binance heeft zijn technische uitleg over de kwestie nog niet vrijgegeven. (Bron: Finance Magnates) Hoe de aanvaller die ondertekeningsautorisatie verkreeg, blijft de centrale onopgeloste vraag in de zaak.

TRM Labs bevestigde onafhankelijk dat de diefstal aan TraderTraitor kan worden toegeschreven. Het rapport van 30 oktober gaf aan dat in totaal $6,36 miljard in 20 minuten over tien verschillende netwerken werd verplaatst. TRM Labs stelde ook vast dat Noord-Korea verantwoordelijk was voor 85% van de cryptohackverliezen in 2026.

Waar zijn de gestolen assets heengegaan?

Chainalysis merkte op dat duizenden transacties heen en weer bewogen tussen adressen. Deze adressen begonnen met het ontvangen van één TRX voordat ze grotere bedragen ontvangen en het geld weer verstuurden. Volgens onderzoekers duidde dit repetitieve gedrag op geautomatiseerde witwassing na de hack. Ze konden echter niet vaststellen wie de software programmeerde of welke methode werd gebruikt voor de eerste compromittering.

De hacker verplaatste $500 miljoen aan stablecoins naar conversieroutes. In minder dan 20 minuten werd bijna $325 miljoen daarvan omgezet in $285 miljoen aan ETH, terwijl $175 miljoen werd aangehouden in tussenliggende wallets.

Stablecoin-uitgevers en hun industriepartners hebben bijna $2,8 miljard bevroren, volgens Chainalysis. De eerdere snapshot van TRM Labs meldde het bevriezen van bijna $2,7 miljard, wat verschillende momenten in het rapportageproces weerspiegelt. Het bevriezen van stablecoins kan verhinderen dat ze bewegen totdat ze worden omgezet. Native bitcoin en Ethereum hebben geen uitgever en kunnen daarom niet worden bevroren, waardoor tijd essentieel is bij het onderzoeken van hacks met deze assets. Of meer van de gestolen fondsen kunnen worden bevroren voordat ze worden omgezet, is nog een open vraag.

Waarom verwierp Pyongyang de sanctieverklaring?

Op 31 oktober verwierp Noord-Korea multilaterale pogingen om sancties af te dwingen tegen zijn activiteiten buiten de landsgrenzen. Het ministerie van Buitenlandse Zaken van het land verklaarde dat sancties en druk het nucleaire bewapeningsbeleid niet zullen beïnvloeden, volgens staatsmedia.

Een open brief van 11 landen en de Europese Unie, gepubliceerd op 28 oktober, verwees naar werknemers in het buitenland, cyberspace-operaties en militaire samenwerking met Rusland. Deze riep lidstaten van de Verenigde Naties op om reeds aangenomen resoluties van de Veiligheidsraad te handhaven. De ondertekenaars brachten sanctiebeleid in verband met de financiering van illegale wapenprogramma's.

De diplomatieke brief noemde geen van de partijen die verantwoordelijk zouden zijn voor de cryptodiefstal bij Binance. De bevindingen van Chainalysis en TRM Labs kunnen worden beschouwd als onderzoeksattributie. Voorlopig komt de toerekening van de diefstal in oktober van private analyse in plaats van van een formele aanwijzing door de regeringen achter de brief.