BitOK: связанное с Северной Кореей криптовалютное воровство достигло 7,61 млрд долларов в 2026 году

Сообщается о переходе от эксплуатации уязвимостей в коде к компрометации систем подписания транзакций

По оценкам компании BitOK, занимающейся анализом блокчейна, с января по октябрь 2026 года хакеры из Северной Кореи похитили криптовалюту на 7,61 млрд долларов в ходе 38 инцидентов. В отчёте описаны шесть крупных атак, в которых злоумышленники, как утверждается, получали контроль над людьми или системами, уполномоченными подтверждать вывод средств, вместо того чтобы эксплуатировать уязвимости в коде. Это различие важно при проверке безопасности: согласно отчёту, атаки начинались за пределами логики смарт-контрактов, которую обычно проверяют при стандартном аудите кода.

По данным BitOK, 2,86 млрд долларов были заморожены или конфискованы, а 4,75 млрд долларов остались недоступными. На Binance приходится 6,41 млрд долларов от заявленной общей суммы, а 32 более мелких кражи, жертвами которых стали частные лица и компании, в совокупности составляют 178,4 млн долларов. Эти цифры показывают, что убытки были крайне сконцентрированы: на одну биржу приходится большая часть заявленной суммы. Они также свидетельствуют о том, что возврат средств благодаря вмешательству не поспевал за объёмом похищенного.

Данные охватывают определённый период — с января по октябрь 2026 года — и представляют собой оценки, приписываемые BitOK. Главный вывод отчёта не в том, что безопасность кода утратила значение, а в том, что одних только проверок кода оказалось недостаточно, чтобы предотвратить шесть крупнейших инцидентов. В каждом случае вывод средств был подписан действительными подписями или прошёл стандартные проверки. В источнике не указано, как BitOK рассчитала общую сумму оценки, поэтому приведённые суммы следует считать оценкой компании.

Как злоумышленники получили право на авторизацию

По данным BitOK, в случае с Binance точкой входа для злоумышленников стали ноутбук инженера DevOps и контейнер сервиса подписания. Это согласуется с более ранними выводами, упомянутыми в источнике в связи с октябрьским инцидентом. Таким образом, отчёт связывает компрометацию с инструментами и доступом, использовавшимися для авторизации вывода средств, а не с выявленной уязвимостью непосредственно в коде вывода. Источник не описывает всю последовательность действий, в результате которых были скомпрометированы ноутбук или контейнер.

В других крупных инцидентах были задействованы иные системы: подписанты мультиподписи на Drift, торговой платформе на базе Solana; единственный верификатор моста KelpDAO; и кошелёчная система Bitget. Эти примеры охватывают торговлю, мосты и инфраструктуру криптобирж, но, по описанию BitOK, итог был общим: злоумышленники получили действительную авторизацию или прошли стандартные проверки. Практический вывод для безопасности, который можно сделать из отчёта, состоит в том, что защиты кода каждого приложения может быть недостаточно, если процесс подписания можно перехватить.

По данным BitOK, перед каждой кражей злоумышленники проверяли конкретный маршрут с помощью небольших сумм. В случае с Binance атакующий контракт был публично активен за четыре часа до кражи. Эта деталь указывает на то, что операция включала тестовый этап, который был виден в блокчейне до крупного перевода. Это не позволяет установить, какие средства мониторинга использовались и можно ли было распознать тест в тот момент, но показывает, почему небольшие предварительные транзакции могут быть важны для расследования.

Гонка по переводу средств и ограничения заморозки

Выборка BitOK из 540 транзакций также демонстрирует график, больше напоминающий рабочий день, чем непрерывную активность: 48% операций пришлись на период с 16:00 до 21:00 по пхеньянскому времени, а в отчёте не зафиксировано активности в дни государственных праздников Северной Кореи. На субботу, воскресенье и понедельник вместе пришлось лишь 10% транзакций. Эти закономерности могут помочь описать поведение операторов, однако источник не утверждает, что одного лишь времени достаточно, чтобы определить, кто инициировал конкретный перевод.

После начала атаки характер операций менялся. В отчёте говорится, что управление переходило к скриптам, а перемещение средств продолжалось круглосуточно. Контраст между сравнительно регулярным графиком работы и автоматизированным непрерывным перемещением средств после инцидента важен для следователей, отслеживающих транзакции. Это также означает, что первоначальный взлом может быстро привести к активности, которая уже не ограничена тем же очевидным рабочим графиком. BitOK не указывает, какие именно инструменты автоматизации использовались.

По данным BitOK, скорость имеет решающее значение для заморозки средств. В течение нескольких минут после кражи злоумышленники обменивали стейблкоины на ETH или занимали ETH под залог украденных активов; в отчёте отмечается, что эмитент не может заморозить ETH. После эксплойта моста rsETH в апреле 52 440 ETH покинули протоколы кредитования всего за восемь с небольшим минут. Это оставляет лишь короткое время для вмешательства, пока активы ещё находятся в распоряжении эмитента, который может их заморозить.

Небольшой след транзакций связывает отдельные атаки

Затем процесс отмывания средств мог приостанавливаться, прежде чем движение возобновлялось. После инцидента с rsETH активы, по сообщениям, оставались без движения от 2,5 до 5 дней, после чего скрипты направили их через THORChain — протокол для обмена между блокчейнами. BitOK также насчитал 2 257 обменов, связанных с Binance, на сумму 55,8 млн долларов, при общих издержках в 0,50%. Эти цифры показывают, что в данной выборке перемещение средств через обмены обходилось сравнительно недорого; они не позволяют судить о стоимости отмывания средств в каждой отдельной атаке.

Разница в доле возвращённых средств показывает ограниченность заморозки. По данным BitOK, 43% средств, украденных у Binance, были заморожены или изъяты, тогда как среди всех остальных крупных атак в совокупности этот показатель составил 6%. Даже в случае Binance время имело значение: Tether получил первый запрос на заморозку через 34 минуты после вывода средств, к тому моменту с исходного адреса уже ушло 345 млн USDT. В отчёте говорится, что заморозка срабатывала только для стейблкоинов, которые ещё не успели переместить.

Ошибка при зачистке дала следствию еще одну зацепку. После того как оператор провел 5 047 ETH через Umbra и мост Stargate, он собрал оставшуюся криптовалютную «пыль» на один кошелек; 31 августа за три минуты и 36 секунд на него перевели средства со 150 адресов. На кошелек поступило всего 0,27 ETH, но общие адреса для расчетов связывают пять атак — от взлома KelpDAO в апреле до атаки на Binance в октябре. BitOK считает, что отмыванием средств занимался один оператор, хотя допускает, что взломы могли совершить разные группы.

Источник: BeInCrypto