Hakerzy powiązani z Koreą Północną odpowiadali za blisko 89% zgłoszonych strat z hacków na kryptowaluty w 2026 roku — wynika z ustaleń opublikowanych 30 października przez Chainalysis. Odkrycie nastąpiło po kradzieży około 6,3 miliarda dolarów z Binance w październiku, podczas gdy Phenian oddzielnie odrzucił międzynarodową deklarację wzywającą do zaostrzenia egzekwowania sankcji.

Skala tegorocznych strat z hacków kryptońskich

Dane firmy obejmują zgłoszone przypadki do 29 października. Z 22,34 miliarda dolarów utraconych w wyniku hacków na kryptowaluty od 2021 roku około 59% — czyli 13,24 miliarda dolarów — przypisuje się domniemanej cyberprzestępczości północnokoreańskiej. Podejrzewane hacki powiązane z Koreą Północną stanowią blisko 89% zgłoszonych strat z hacków kryptońskich w tym roku, w porównaniu z udziałem 15% w 2021 roku. Średnia zgłaszana strata na jeden podejrzewany hack powiązany z KRLD wzrosła z 50,65 miliona dolarów w 2021 roku do 185,65 miliona dolarów od początku 2026 roku — około 3,7-krotnie.

Suspected North Korea-linked hacks account for nearly 89% of reported crypto hack losses so far this year. In 2021, that share was 15%. The average reported loss per suspected DPRK-linked hack rose from $50.65M in 2021 to $185.65M in 2026 YTD, about 3.7x larger. From 2021… pic.twitter.com/zT4nFqqvWK

— Chainalysis (@chainalysis) October 30, 2026 (źródłowy wpis)

Chainalysis zauważyło, że odsetki te odzwierciedlają wartość przypisaną atakującym, a nie rzeczywistą liczbę przypadków czy ustaleń sądowych. Ponieważ dane obejmują zgłoszone przypadki tylko do 29 października, końcowe sumy na koniec roku mogą jeszcze ulec zmianie w miarę zgłaszania kolejnych incydentów.

Dlaczego straty z północnokoreańskich hacków kryptońskich rosną?

Według szacunków Chainalysis średnia wartość hacku kryptońskiego powiązanego z Koreą Północną wzrosła do 185,65 miliona dolarów w 2026 roku z 50,65 miliona dolarów w 2021 roku — wzrost 3,7-krotny. Firma wcześniej oszacowała wartość kryptowalut skradzionych przez północnokoreańskich hakerów na 2,02 miliarda dolarów w 2025 roku, o 51% więcej niż w 2024 roku, ponieważ ataków było mniej, ale miały większą skalę.

Jednym z takich dużych incydentów było włamanie na Bybit w lutym 2025 roku, które spowodowało straty wynoszące około 1,5 miliarda dolarów. Według Chainalysis trzy największe incydenty cybernetyczne odpowiadały za 69% strat usług kryptowalutowych w 2025 roku.

Badacze opisali także oszustwa phishingowe oraz zdalnych pracowników IT próbujących uzyskać dostęp do firm kryptońskich. Skradzione uprawnienia do podpisywania mogą pozwolić atakującym na wypłatę środków bez wykorzystywania jakiejkolwiek podatności w samym protokole blockchain.

Wyniki tegoroczne zostały silnie ukształtowane przez październikowe włamanie na Binance, w którym giełda zgłosiła około 6,3 miliarda dolarów nieautoryzowanych wypłat.

Jak namierzono hack na Binance?

Chainalysis powiązało hack z grupą TraderTraitor, którą kategoryzuje jako podmiot zagrożenia należący do Korei Północnej. Firma poinformowała, że śledziła przepływ środków z Binance i zidentyfikowała powiązania ze środkami skradzionymi w hacku na Bitget we wrześniu — incydencie, który według firmy również przeprowadzili sprawcy działający w Korei Północnej. Chainalysis opisało to jako najsilniejszy dowód do tej pory, ale nie ustaliło jeszcze, w jaki sposób atakujący uzyskał niezbędne uprawnienia do podpisywania. Binance nie opublikowało jeszcze swojego technicznego wyjaśnienia sprawy. (Źródło: Finance Magnates) Sposób, w jaki atakujący uzyskał uprawnienia do podpisywania, pozostaje centralną nierozwiązaną kwestią w tej sprawie.

TRM Labs niezależnie potwierdziło, że kradzież należy do grupy TraderTraitor. Jego raport z 30 października wskazywał, że łącznie 6,36 miliarda dolarów przetransferowano przez dziesięć różnych sieci w 20 minut. TRM Labs ustaliło również, że Korea Północna odpowiadała za 85% strat z hacków kryptońskich w 2026 roku.

Dokąd trafiły skradzione środki?

Chainalysis odnotowało, że tysiące transakcji przemieszczało się tam i z powrotem między adresami. Adresy te zaczynały od otrzymania jednego TRX, po czym otrzymywały większe kwoty i ponownie wysyłały środki. Według śledczych takie powtarzające się zachowanie wskazywało na zautomatyzowane pranie pieniędzy po hacku. Nie udało się jednak ustalić, kto zaprogramował oprogramowanie ani jakiej metody użyto do początkowego przełamania zabezpieczeń.

Haker przetransferował stablecoiny o wartości 500 milionów dolarów na ścieżki konwersji. W mniej niż 20 minut prawie 325 milionów dolarów z nich wymieniono na ETH o wartości 285 milionów dolarów, podczas gdy 175 milionów dolarów pozostawiono w portfelach pośredniczących.

Emitenci stablecoinów i ich partnerzy branżowi zamrozili blisko 2,8 miliarda dolarów — według Chainalysis. Wcześniejszy zapis TRM Labs wskazywał na zamrożenie prawie 2,7 miliarda dolarów, co odzwierciedla różne momenty procesu raportowania. Zamrożenie stablecoinów może zatrzymać ich przemieszczanie do czasu konwersji. Natywne bitcoin i Ethereum nie mają emitenta i dlatego nie mogą zostać zamrożone, co sprawia, że czas ma kluczowe znaczenie przy badaniu hacków z udziałem tych aktywów. Otwartym pytaniem pozostaje, czy większą część skradzionych środków uda się zamrozić przed ich wymianą.

Dlaczego Phenian odrzucił deklarację w sprawie sankcji?

31 października Korea Północna odrzuciła wielostronne próby egzekwowania sankcji wobec swoich działań poza granicami. Według państwowych mediów ministerstwo spraw zagranicznych kraju oświadczyło, że sankcje i presja nie wpłyną na jego politykę zbrojeń jądrowych.

Otwarty list 11 państw i Unii Europejskiej, opublikowany 28 października, odnosił się do pracowników za granicą, działań w cyberprzestrzeni oraz współpracy wojskowej z Rosją. Wzywał państwa członkowskie ONZ do egzekwowania już przyjętych rezolucji Rady Bezpieczeństwa. Sygnatariusze powiązali politykę sankcyjną z finansowaniem nielegalnych programów zbrojeniowych.

Dyplomatyczny list nie wymienił żadnej ze stron odpowiedzialnych za kradzież kryptowalut z Binance. Ustalenia Chainalysis i TRM Labs można uznać za atrybucję śledczą. Na razie przypisanie październikowej kradzieży opiera się na analizach sektora prywatnego, a nie na formalnym wskazaniu przez rządy stojące za listem.