BitOK: Kradzieże kryptowalut powiązane z Koreą Północną osiągnęły w 2026 roku wartość 7,61 mld dolarów

Odnotowano zmianę: zamiast wykorzystywać luki w kodzie, atakujący przejmują kontrolę nad systemami podpisywania transakcji

Firma wywiadu blockchainowego BitOK szacuje, że hakerzy z Korei Północnej ukradli kryptowaluty o wartości 7,61 mld dolarów w 38 incydentach między styczniem a październikiem 2026 roku. Raport opisuje sześć dużych ataków i wskazuje, że polegały one na przejmowaniu kontroli nad osobami lub systemami autoryzującymi wypłaty, a nie na wykorzystywaniu luk w kodzie. To rozróżnienie ma znaczenie przy przeglądach bezpieczeństwa: według raportu ataki rozpoczynały się poza logiką smart kontraktów, którą mają analizować standardowe audyty kodu.

Według BitOK zamrożono lub skonfiskowano środki o wartości 2,86 mld dolarów, a 4,75 mld dolarów pozostało poza zasięgiem. Na Binance przypada 6,41 mld dolarów z podanej łącznej wartości, a 32 mniejsze kradzieże wymierzone w osoby i firmy opiewają łącznie na 178,4 mln dolarów. Dane te pokazują, że straty były mocno skoncentrowane — na jedną giełdę przypada większość zgłoszonej wartości. Widać też, że odzyskiwanie środków dzięki interwencjom nie nadążało za skalą kradzieży.

Dane obejmują określony okres — od stycznia do października 2026 roku — i są szacunkami przypisywanymi firmie BitOK. Główny wniosek raportu nie jest taki, że bezpieczeństwo kodu przestało mieć znaczenie, lecz że kontrole samego kodu nie zapobiegły sześciu największym incydentom. W każdym z nich wypłaty miały prawidłowe podpisy lub przechodziły standardowe kontrole. Źródło nie podaje, w jaki sposób BitOK obliczyła łączną szacowaną kwotę, dlatego zgłoszone sumy należy traktować jako ocenę firmy.

Jak napastnicy uzyskali uprawnienia

Według BitOK punktem wejścia napastników na Binance był laptop inżyniera DevOps oraz kontener usługi podpisującej. Jest to zgodne z wcześniejszymi ustaleniami dotyczącymi październikowego incydentu, na które powołuje się źródło. Raport wskazuje zatem na naruszenie bezpieczeństwa narzędzi i dostępu wykorzystywanych do autoryzowania wypłat, a nie na wykrytą lukę w samym kodzie wypłat. Źródło nie opisuje pełnego przebiegu przejęcia laptopa ani kontenera.

W innych poważnych przypadkach zaangażowane były odmienne systemy: sygnatariusze multisig na Drift, platformie handlowej opartej na Solanie; pojedynczy weryfikator mostu w KelpDAO; oraz system portfeli Bitget. Przykłady te obejmują infrastrukturę handlową, mosty i giełdy, ale według BitOK prowadziły do wspólnego rezultatu: uzyskano prawidłową autoryzację lub spełniono standardowe kontrole. Praktyczny problem związany z bezpieczeństwem, na który zwraca uwagę raport, polega na tym, że ochrona kodu każdej aplikacji może nie wystarczyć, jeśli proces podpisywania da się przejąć.

Według BitOK przed każdą kradzieżą sprawcy testowali dokładną ścieżkę, używając niewielkich kwot. W przypadku Binance kontrakt ataku był publicznie aktywny na blockchainie cztery godziny przed kradzieżą. Szczegół ten sugeruje, że operacja obejmowała fazę testową widoczną w łańcuchu przed dużym transferem. Nie przesądza to, jakie mechanizmy monitorowania były wdrożone ani czy test można było wówczas rozpoznać, pokazuje jednak, dlaczego niewielkie transakcje poprzedzające atak mogą mieć znaczenie dla śledztwa.

Wyścig z przenoszeniem środków i ograniczenia zamrażania

Próba 540 transakcji przeprowadzona przez BitOK pokazuje również harmonogram przypominający raczej dzień pracy niż nieprzerwaną aktywność: 48% transakcji miało miejsce między 16:00 a 21:00 czasu w Pjongjangu, a raport nie odnotował żadnej aktywności w północnokoreańskie święta państwowe. Sobota, niedziela i poniedziałek łącznie odpowiadały za zaledwie 10% transakcji. Te wzorce mogą pomóc opisać zachowania operatorów, choć źródło nie stwierdza, że sam czas pozwala ustalić, kto zainicjował konkretny transfer.

Po rozpoczęciu ataku schemat się zmieniał. W raporcie podano, że kontrolę przejmowały skrypty, a przepływy środków trwały przez całą dobę. Kontrast między stosunkowo regularnym harmonogramem działania a zautomatyzowanymi, nieprzerwanymi przepływami po incydencie ma znaczenie dla śledczych, którzy śledzą transakcje. Oznacza to również, że początkowe włamanie może szybko przerodzić się w aktywność, która nie podlega temu samemu pozornemu rytmowi godzin pracy. BitOK nie wskazuje konkretnych użytych narzędzi do automatyzacji.

Jak podaje BitOK, szybkość ma kluczowe znaczenie dla możliwości zamrożenia środków. W ciągu kilku minut od kradzieży sprawcy wymieniali stablecoiny na ETH lub pożyczali ETH pod zastaw skradzionych aktywów; w raporcie zaznaczono, że ETH nie może zostać zamrożone przez emitenta. Po kwietniowym ataku na most rsETH z protokołów pożyczkowych wypłynęło 52 440 ETH w nieco ponad osiem minut. Pozostawia to niewiele czasu na interwencję w przypadku aktywów, które nadal mają emitenta mogącego je zamrozić.

Niewielki ślad transakcyjny łączy odrębne ataki

Proces prania pieniędzy mógł następnie zostać wstrzymany, zanim środki ponownie ruszyły. Po incydencie z rsETH aktywa miały pozostawać bezczynne przez 2,5–5 dni, zanim skrypty skierowały je przez THORChain, protokół wymiany międzyłańcuchowej. BitOK odnotował również 2 257 wymian powiązanych z Binance o wartości 55,8 mln USD, których łączne koszty wyniosły 0,50%. Dane wskazują, że w tej próbie przenoszenie środków za pośrednictwem wymian było stosunkowo tanie; nie określają jednak kosztów prania pieniędzy w każdym ataku.

Różnica we wskaźnikach odzyskania środków pokazuje ograniczenia zamrażania aktywów. Według BitOK zamrożono lub przejęto 43% środków skradzionych z Binance, w porównaniu z 6% w przypadku wszystkich pozostałych dużych ataków łącznie. Nawet w przypadku Binance liczył się czas: Tether otrzymał pierwsze żądanie zamrożenia 34 minuty po wypłacie, do tego momentu z pierwotnego adresu odpłynęło już 345 mln USDT. W raporcie podano, że zamrożenia zadziałały wyłącznie w odniesieniu do stablecoinów, które nie zdążyły się jeszcze przemieścić.

Błąd podczas porządkowania dostarczył kolejnego tropu śledczym. Po przepuszczeniu 5 047 ETH przez Umbra i most Stargate operator zgarnął pozostałe drobne środki do jednego portfela; 31 sierpnia w ciągu trzech minut i 36 sekund środki przelało na niego 150 adresów. Portfel zbiorczy otrzymał zaledwie 0,27 ETH, ale wspólne adresy rozliczeniowe łączą pięć ataków — od ataku na KelpDAO w kwietniu po atak na Binance w październiku. BitOK wskazuje na jednego operatora piorącego środki, dopuszczając jednak, że za atakami mogły stać różne zespoły.

Źródło: BeInCrypto