Північна Корея викрала $577M під час криптовалютних хаків до квітня 2026 року: TRM Labs

Актори з Північної Кореї вилучили приблизно 577 мільйонів доларів упродовж перших чотирьох місяців 2026 року, що становить 76% усіх глобальних криптовалютних втрат від хакерських атак за цей період, повідомила компанія з блокчейн-аналітики TRM Labs. Крадіжка була зумовлена двома великими інцидентами в квітні: експлойтом KelpDAO на суму 292 мільйона доларів і атакою Drift Protocol на суму 285 мільйонів доларів, які разом склали лише 3% від загальної кількості хакерських інцидентів у 2026 році станом на квітень.

Деталі квітневої атаки

Атаку на Drift Protocol пов’язали з північнокорейською підгрупою, відокремленою від TraderTraitor — добре задокументованої операції, афілійованої з Lazarus, хоча конкретне приписування досі розслідують. TRM повідомила, що атака включала місяці очних зустрічей між північнокорейськими проксі та співробітниками Drift. Підготовка почалась уже щонайменше 11 березня, коли атакувальник створив стійкі nonce-акаунти на Solana та змусив підписантів Security Council multisig у Drift попередньо авторизувати транзакції. 1 квітня, через кілька днів після того, як Drift перенесла Security Council у нову конфігурацію порогу 2/5 із нульовим timelock, атакувальник розгорнув 31 попередньо підписане вилучення, щоб вивести кошти на швидкій фазі виконання тривалістю приблизно 12 хвилин. Пізніше кошти переказали в Ethereum, де відтоді вони здебільшого залишалися бездіяльними.

Злам KelpDAO приписали TraderTraitor. Атака використала дизайн із одним перевіряльником у мосту LayerZero, скомпрометувавши інфраструктуру RPC та маніпулюючи логікою валідації між ланцюгами. Зловмисники вивели приблизно 116 500 rsETH після примусу до провалу перевірки на компрометовані ноди, а подальше відмивання спрямували через кросчейн-інфраструктуру, зокрема THORChain, після часткових заморожувань активів на Arbitrum.

Прискорення історичних крадіжок

TRM повідомила, що частка Північної Кореї у глобальних збитках від криптозломів не “вийшла на плато”, а “прискорилася”. Частка зросла з менш ніж 10% у 2020 та 2021 роках до 22% у 2022, 37% у 2023, 39% у 2024 і 64% у 2025. Кумулятивна приписувана крадіжка тепер перевищує 6 мільярдів доларів з 2017 року.

TRM вказала на злам Bybit на суму 1,46 мільярда доларів у 2025 році як на ключову точку перелому в недавньому профілі активності Північної Кореї. Відтоді оперативний ритм залишився стабільним: елітні групи надають пріоритет меншій кількості, але більш “влучних” атак, спрямованих на мости, системи multisig-управління та кросчейн-інфраструктуру.

Розбіжні підходи до відмивання

Інциденти з Drift і KelpDAO демонструють різні стратегії відмивання грошей. Група, пов’язана з Drift, залишила активи здебільшого неактивними після первинного переказу в Ethereum і, ймовірно, “утримуватиме кошти місяцями або роками, а потім виконає структурований, багатофазний cashout”, за даними TRM.

Атакувальники KelpDAO рухали кошти швидше через кросчейн-свопи в Bitcoin через THORChain, а тривала фаза відмивання здебільшого велася китайськими посередниками, а не самими північнокорейцями.

Пріоритети моніторингу комплаєнсу

TRM окреслила пріоритети моніторингу комплаєнсу, включно з потоками, пов’язаними з THORChain, з середовищ скомпрометованих мостів, трасуванням транзакцій “мультистрибками” через мостову інфраструктуру та скринінгом шляхів депозитів, пов’язаних із управлінням у Solana, що включають стійкі nonce-транзакції. Також фірма підкреслила участь Beacon Network на біржах і в DeFi-протоколах як механізм для пришвидшення міжплатформних сповіщень, щойно виявлять адреси, пов’язані з Північною Кореєю.