По данным отчёта, опубликованного 6 ноября блокчейн-аналитической компанией BitOK, северокорейские хакеры похитили, по оценкам, $7,61 млрд в 38 инцидентах с января по октябрь — в среднем примерно по $200 млн на инцидент. Компания сообщила, что шесть крупнейших атак не потребовали взлома кода смарт-контрактов. Вместо этого злоумышленники получили контроль над сотрудниками, устройствами подписания и системами вывода средств.

BitOK учитывала кражи на биржах, в платформах децентрализованных финансов и других криптобизнесах. Из оценочной суммы $2,86 млрд было перехвачено посредством заморозки и изъятия, а $4,75 млрд — около 62% оценочной суммы — остались вне досягаемости. Эти цифры описывают множество отдельных инцидентов, а не одну транзакцию или единую скоординированную атаку.

Системы подписания стали ключевой поверхностью атаки

Отчёт определяет системы, авторизующие вывод средств, как основную цель. В случае с Binance, по данным BitOK, злоумышленники использовали ноутбук DevOps-инженера и контейнер сервиса подписания. В результате переводы несли действительные подписи или проходили стандартные проверки, хотя среда подписания была скомпрометирована — для блокчейна корректно подписанный вывод действителен независимо от того, кто контролировал устройство, создавшее подпись.

Другие инциденты затрагивали мультисиг-подписантов на Drift, верификатор моста на KelpDAO и кошелёчную систему Bitget. BitOK сообщила, что злоумышленники тестировали маршруты небольшими суммами перед крупными кражами. В случае с Binance атакующий контракт был публично активен за четыре часа до крупной кражи.

Отчёт также описывает быстрый перевод средств из стейблкоинов в ETH — актив, который эмитенты не могут заморозить. Tether получил первый запрос на заморозку через 34 минуты после вывода средств с Binance; к этому моменту 345 млн USDT уже покинули исходный адрес. BitOK сообщила, что 43% средств, украденных при атаке на Binance, были заморожены или изъяты, против 6% по всем остальным крупным атакам в совокупности.

Общие следы связывают отдельные инциденты

BitOK сообщила, что общие адреса расчётов связали пять атак — от кражи на KelpDAO в апреле до инцидента с Binance в октябре. Компания отследила остаточные балансы, которые завершались в кошельке-коллекторе. 31 августа 150 адресов опустошились в этот коллектор в течение 3 минут 36 секунд, оставив 0,27 ETH.

Компания расценила общий след как свидетельство работы одного оператора отмывания, допуская при этом, что вторжения могли осуществлять разные команды. В отчёте не названы лица, которым предъявлены обвинения или вынесены приговоры по инцидентам 2026 года, что оставляет нерешённым вопрос о связи между теми, кто получил доступ, и теми, кто перемещал средства.

BlockTelegraph ранее сообщал об оттоке средств с Binance после взлома, включая зафиксированные биржей $4,7 млрд чистого оттока после возобновления вывода средств. Другой материал рассматривал права доступа кошельков, связанные с кошельками Binance. Освещение Bitget содержало подробности zero-day, связанной с кражей.

Возврат средств зависит от раннего вмешательства

Данные BitOK показывают, как фактор времени определял результаты возврата. Стейблкоины или активы на сервисе, способном блокировать переводы, давали шанс остановить движение средств. Когда злоумышленники конвертировали средства в ETH или направляли их через другие сервисы и блокчейны, возврат становился значительно сложнее, отмечается в отчёте.

Следующий фокус отчёта в области безопасности — ключи подписания и люди или системы, контролирующие их. Устройства сотрудников, контейнеры и пути одобрения рассматриваются как часть границы безопасности до того, как транзакции достигнут блокчейна. В отчёте также подчёркивается ценность небольших остаточных балансов: коллектор с 0,27 ETH помог связать адреса, ассоциированные с отдельными атаками.

Оценка BitOK за 2026 год охватывает инциденты до октября и была опубликована 6 ноября. Отчёт представляет общие связи отмывания как способ прослеживать движения средств, оставляя открытым вопрос о том, исходили ли отдельные вторжения от одной команды. По оценке отчёта, быстрое обнаружение и запросы на заморозку входят в меры реагирования, определившие, что в итоге удалось вернуть.