Północnokoreańscy hakerzy ukradli od stycznia do października kryptowaluty warte szacunkowo 7,61 miliarda dolarów w 38 incydentach — średnio około 200 milionów dolarów na incydent — zgodnie z raportem opublikowanym 6 listopada przez firmę analityki blockchainowej BitOK. Firma podała, że sześć największych ataków nie wymagało łamania kodu kontraktów inteligentnych. Zamiast tego napastnicy przejęli kontrolę nad pracownikami, urządzeniami podpisującymi i systemami wypłat.

BitOK zaliczył do nich kradzieże w giełdach, platformach zdecentralizowanych finansów (DeFi) i innych firmach kryptowalutowych. Z szacunkowej kwoty 2,86 miliarda dolarów zostało zatrzymanych dzięki zamrożeniom i konfiskatom, podczas gdy 4,75 miliarda dolarów — około 62% szacowanej sumy — pozostało poza zasięgiem. Liczby te opisują wiele odrębnych incydentów, a nie pojedynczą transakcję ani jeden skoordynowany atak.

Systemy podpisywania stały się kluczową powierzchnią ataku

Raport wskazuje systemy autoryzujące wypłaty jako główny cel. W przypadku Binance, jak podał BitOK, napastnicy wykorzystali laptopa inżyniera DevOps oraz kontener usługi podpisywania. Przeprowadzone w ten sposób transfery miały prawidłowe podpisy lub przechodziły standardowe weryfikacje, mimo że środowisko podpisywania zostało naruszone — dla blockchainu prawidłowo podpisana wypłata jest ważna niezależnie od tego, kto kontrolował urządzenie, które ją wygenerowało.

Inne incydenty dotyczyły sygnatariuszy multisig w Drift, weryfikatora mostu w KelpDAO oraz systemu portfeli Bitget. BitOK podał, że napastnicy testowali trasy niewielkimi kwotami przed wykonaniem większych kradzieży. W przypadku Binance kontrakt atakujący był publicznie aktywny cztery godziny przed większą kradzieżą.

Raport opisuje również szybkie przemieszczenie środków ze stablecoinów do ETH — aktywa, którego emitenci nie mogą zamrozić. Tether otrzymał pierwszą prośbę o zamrożenie 34 minuty po wypłacie z Binance; do tego czasu 345 milionów USDT opuściło już oryginalny adres. Według BitOK 43% środków skradzionych w ataku na Binance zostało zamrożonych lub skonfiskowanych, w porównaniu z 6% w przypadku wszystkich pozostałych poważnych ataków razem wziętych.

Wspólne ślady łączą odrębne incydenty

BitOK podał, że wspólne adresy rozliczeniowe powiązały pięć ataków — od kradzieży w KelpDAO w kwietniu po incydent z Binance w październiku. Firma prześledziła pozostałe salda, które trafiły do portfela zbierającego. 31 sierpnia 150 adresów zostało opróżnionych do tego portfela w ciągu 3 minut i 36 sekund, pozostawiając 0,27 ETH.

Firma zinterpretowała wspólny ślad jako dowód na działanie jednego operatora prania pieniędzy, dopuszczając jednocześnie, że włamania mogły przeprowadzić różne zespoły. Raport nie wymienia żadnych osób oskarżonych ani skazanych w związku z incydentami z 2026 roku, co pozostawia nierozstrzygniętą kwestię relacji między osobami, które uzyskały dostęp, a tymi, które przemieszczały środki.

BlockTelegraph wcześniej informował o wypływach środków z Binance po włamaniu, w tym o raportowanych 4,7 miliarda dolarów netto wypływów po wznowieniu wypłat. Inny materiał analizował uprawnienia portfeli powiązane z portfelami Binance. Serwis relacjonował również szczegóły luki zero-day powiązanej z kradzieżą w Bitget.

Odzysk zależy od szybkiej interwencji

Dane BitOK pokazują, jak czas reakcji wpływał na skuteczność odzysku. Stablecoiny lub aktywa trzymane w serwisie mogącym blokować transfery dawały szansę na zatrzymanie ruchu środków. Gdy napastnicy konwertowali środki na ETH lub kierowali je przez inne usługi i łańcuchy, odzysk stawał się znacznie trudniejszy — zgodnie z raportem.

Kolejnym obszarem bezpieczeństwa wskazanym w raporcie są klucze podpisujące oraz osoby i systemy, które je kontrolują. Raport wskazuje urządzenia pracowników, kontenery i ścieżki zatwierdzania jako element granicy bezpieczeństwa, zanim transakcje trafią do blockchainu. Relacja podkreśla również wartość niewielkich pozostałych sald: portfel zbierający z 0,27 ETH pomógł powiązać adresy związane z odrębnymi atakami.

Szacunki BitOK za 2026 rok obejmują incydenty do października i zostały opublikowane 6 listopada. Raport przedstawia wspólne powiązania prania pieniędzy jako sposób łączenia ruchów środków, pozostawiając otwartą kwestię, czy odrębne włamania pochodziły od jednego zespołu. Relacja wymienia szybkie wykrywanie i wnioski o zamrożenie wśród środków reagowania, które ukształtowały to, co ostatecznie udało się odzyskać.