Noord-Koreaanse hackers stalen van januari tot en met oktober naar schatting $7,61 miljard verspreid over 38 incidenten — gemiddeld zo'n $200 miljoen per incident — volgens een rapport dat op 6 november werd gepubliceerd door blockchain-intelligencebedrijf BitOK. Het bedrijf meldde dat de zes grootste aanvallen geen breken van smartcontractcode vereisten. In plaats daarvan namen aanvallers de controle over medewerkers, ondertekenapparatuur en opnamesystemen.

BitOK telde diefstallen bij exchanges, decentralized finance-platforms en andere cryptobedrijven. Van het geschatte totaal werd $2,86 miljard onderschept via bevriezingen en inbeslagnames, terwijl $4,75 miljard — ruim 62% van het geschatte totaal — buiten bereik bleef. De cijfers beschrijven vele afzonderlijke incidenten in plaats van één transactie of één gecoördineerde aanval.

Ondertekensystemen werden het belangrijkste aanvalsoppervlak

Het rapport wijst de systemen die opnames autoriseren aan als primair doelwit. In het geval van Binance gebruikten aanvallers, aldus BitOK, de laptop van een DevOps-engineer en een ondertekencontainer. De resulterende transacties droegen geldige handtekeningen of passeerden standaardcontroles, hoewel de ondertekenomgeving was gecompromitteerd — voor de blockchain is een correct ondertekende opname geldig, ongeacht wie het apparaat beheerste dat deze produceerde.

Andere incidenten betroffen multisig-ondertekenaars bij Drift, een bridge-verifieerder bij KelpDAO en het walletsysteem van Bitget. BitOK meldde dat aanvallers routes testten met kleine bedragen voordat ze grotere diefstallen uitvoerden. In het geval van Binance was het aanvalcontract vier uur vóór de grotere diefstal publiek actief.

Het rapport beschrijft ook een snelle omzetting van stablecoins in ETH, een activum dat uitgevers niet kunnen bevriezen. Tether ontving het eerste bevriezingsverzoek 34 minuten na de Binance-opname; tegen die tijd hadden 345 miljoen USDT het oorspronkelijke adres al verlaten. BitOK meldde dat 43% van de gestolen fondsen in de Binance-aanval werd bevroren of in beslag genomen, tegenover 6% bij de andere grote aanvallen samen.

Gedeelde sporen verbinden afzonderlijke incidenten

BitOK meldde dat gedeelde afwikkeladressen vijf aanvallen verbonden, van de KelpDAO-diefstal in april tot het Binance-incident in oktober. Het bedrijf spoorde resterende saldi na die eindigden in een verzamelwallet. Op 31 augustus leegden 150 adressen zich binnen 3 minuten en 36 seconden in die verzamelaar, waarbij 0,27 ETH achterbleef.

Het bedrijf interpreteerde het gedeelde spoor als bewijs van één witwasoperator, terwijl het openhield dat verschillende teams de indringingen kunnen hebben uitgevoerd. Het rapport noemt geen personen die naar aanleiding van de incidenten in 2026 zijn aangeklaagd of veroordeeld, waardoor de relatie tussen degenen die toegang kregen en degenen die de fondsen verplaatsten onopgehelderd blijft.

BlockTelegraph berichtte eerder over Binance-uitstromen na de hack, waaronder de gemelde $4,7 miljard aan netto-uitstromen nadat opnames waren hervat. Een ander rapport onderzocht de walletrechten die aan Binance-wallets zijn gekoppeld. De berichtgeving over Bitget beschreef de zero-day die aan de diefstal was gekoppeld.

Terugvordering hangt af van vroegtijdig ingrijpen

De cijfers van BitOK laten zien hoe timing de terugvorderingsresultaten bepaalde. Stablecoins of activa die bij een dienst werden aangehouden die transfers kon blokkeren, boden een kans om de verplaatsing te stoppen. Zodra aanvallers fondsen omzetten in ETH of via andere diensten en chains routeerden, werd terugvording aanzienlijk moeilijker, aldus het rapport.

De volgende beveiligingsfocus van het rapport ligt op ondertekensleutels en de mensen of systemen die deze beheren. Het wijst op apparatuur van medewerkers, containers en goedkeuringspaden als onderdeel van de beveiligingsgrens voordat transacties een blockchain bereiken. De uiteenzetting benadrukt ook de waarde van kleine restsaldi: de verzamelaar met 0,27 ETH hielp adressen verbinden die aan afzonderlijke aanvallen waren gekoppeld.

De schatting van BitOK voor 2026 omvat incidenten tot en met oktober en werd op 6 november gepubliceerd. Het rapport presenteert gedeelde witwasverbindingen als een manier om geldstromen te koppelen, terwijl open blijft of de afzonderlijke indringingen van één team kwamen. Het plaatsen van snelle detectie en bevriezingsverzoeken behoort tot de responsmaatregelen die bepaalden wat uiteindelijk kon worden teruggevorderd.