根据区块链情报公司BitOK于11月6日发布的一份报告，朝鲜黑客在1月至10月期间的38起事件中窃取了约76.1亿美元——平均每起约2亿美元。该公司表示，六起最大规模的攻击并不需要破解智能合约代码，攻击者转而控制了员工、签名设备和提款系统。

BitOK统计的被盗对象包括交易所、去中心化金融平台及其他加密企业。在估计总额中，28.6亿美元通过冻结和查扣被拦截，而47.5亿美元——约占总估计额的62%——仍无法追回。这些数字描述的是多起独立事件，而非单一交易或一次协调攻击。

签名系统成为关键攻击面

报告指出，授权提款的系统是主要攻击目标。BitOK表示，在Binance事件中，攻击者利用了一名DevOps工程师的笔记本电脑和一个签名服务容器。由此产生的转账带有有效签名或通过了标准校验，尽管签名环境已被攻陷——对区块链而言，一笔签名正确的提款无论由谁控制生成签名的设备都是有效的。

其他事件涉及Drift的多重签名签名者、KelpDAO的桥接验证器以及Bitget的钱包系统。BitOK表示，攻击者在实施更大规模盗窃之前先用小额资金测试路径。在Binance事件中，攻击合约在较大规模盗窃发生前四小时已公开处于激活状态。

报告还描述了资金从稳定币快速转换为ETH的过程——ETH是发行方无法冻结的资产。Tether在Binance提款34分钟后才收到首个冻结请求；彼时已有3.45亿USDT离开了原始地址。BitOK表示，Binance攻击中被盗资金的43%被冻结或查扣，而其他几起重大攻击合计仅占6%。

共享线索串联多起独立事件

BitOK表示，共享的结算地址将五起攻击联系起来，时间跨度从4月的KelpDAO盗窃到10月的Binance事件。该公司追踪了最终流入一个归集钱包的残余余额。8月31日，150个地址在3分36秒内将资金清空至该归集钱包，仅留下0.27 ETH。

该公司将这条共享线索解读为单一洗钱操作者的证据，同时也不排除不同的团队实施了这些入侵。报告未指明任何因2026年事件被起诉或定罪的个人，这使得入侵者和资金转移者之间的关系尚无定论。

BlockTelegraph此前曾报道黑客攻击后Binance的资金外流，包括提款恢复后该交易所报告的47亿美元净流出。另一份报告则审视了与Binance钱包相关的钱包权限。其对Bitget的报道详述了与盗窃相关的零日漏洞。

追回取决于早期干预

BitOK的数据显示，时机如何影响追回结果。稳定币或托管在能够阻止转账的服务中的资产，为阻止资金流动提供了机会。报告指出，一旦攻击者将资金转换为ETH或通过其他服务和链路转移，追回难度将显著加大。

报告的下一个安全关注点是签名密钥及其控制者或控制系统。报告将员工设备、容器和审批路径视为交易到达区块链之前安全边界的一部分。该叙述还突出了小额残留余额的价值：那个持有0.27 ETH的归集钱包帮助串联了与多起独立攻击相关的地址。

BitOK的2026年估计涵盖截至10月的事件，并于11月6日发布。报告将共享的洗钱线索作为串联资金流动的一种方式，同时保留这些独立入侵是否来自同一团队的疑问。该叙述将快速检测和冻结请求列为影响最终追回成效的应对措施之一。