Północnokoreańscy hakerzy ukradli dotychczas prawie trzy czwarte wszystkich kryptowalut przejętych przez cyberprzestępców w tym roku – nie poprzez nieustanną kampanię ataków, lecz poprzez dwa precyzyjnie wykonane napady celujące w platformy zdecentralizowanych finansów w kwietniu, jak wynika z nowego raportu firmy analitycznej blockchain TRM Labs.
Te dwa incydenty – naruszenie protokołu Drift Protocol na kwotę 285 milionów dolarów 1 kwietnia oraz eksploitacja Kelp DAO na kwotę 292 milionów dolarów 18 kwietnia – stanowią łącznie 76% wszystkich strat z hacków kryptowalutowych śledzonych do kwietnia, mimo że reprezentują zaledwie 3% całkowitej liczby odnotowanych incydentów.
Ogółem TRM Labs szacuje, że hakerzy powiązani z Koreą Północną ukradli ponad 6 miliardów dolarów z protokołów i projektów kryptowalutowych od 2017 roku, wliczając w to niektóre z najgorszych kradzieży w historii branży.
Liczby te odzwierciedlają przyspieszającą koncentrację kradzieży kryptowalut przez powiązanych z państwem północnokoreańskich agentów. Udział Pjongjangu w całkowitych stratach z hacków kryptowalutowych wzrósł z poniżej 10% w latach 2020 i 2021 do 22% w 2022, 37% w 2023, 39% w 2024 i 64% w 2025. Wynik 76% w 2026 roku do kwietnia jest najwyższym odnotowanym trwałym udziałem.
Atak na Drift Protocol był znamienny ze względu na swoją cierpliwość. Przygotowania w sieci rozpoczęły się 11 marca, a kampania obejmowała osobiste spotkania między północnokoreańskimi pośrednikami a pracownikami Drift przez wiele miesięcy – taktykę, którą analitycy TRM określili jako potencjalnie bezprecedensową w długiej kampanii hakerskiej Korei Północnej w świecie kryptowalut.
Atakujący wykorzystali funkcję Solany zwaną trwałym noncem (durable nonce), która pozwala na przechowywanie wstępnie podpisanych transakcji i realizowanie ich w późniejszym czasie. 1 kwietnia wykonano 31 wypłat w ciągu około 12 minut, wyprowadzając prawdziwe aktywa, w tym USDC i JLP. Skradzione środki szybko przeniesiono na Ethereum i od tego czasu pozostają nieaktywne.
Atak na Kelp DAO poszedł inną drogą. Atakujący skompromitowali dwa wewnętrzne węzły RPC, a następnie rozpoczęli atak typu denial-of-service (DoS) na zewnętrzne węzły, zmuszając jedynego weryfikatora mostu do polegania na zatrutych źródłach danych. Te węzły fałszywie zgłosiły, że bazowy aktyw został spalony w sieci źródłowej, choć żadna taka akcja nie miała miejsca, a około 116 500 rsETH – o wartości około 292 milionów dolarów – zostało wyprowadzonych z kontraktu mostu Ethereum.
Po kradzieży Kelp DAO, Rada Bezpieczeństwa Arbitrum wykorzystała swoje uprawnienia nadzwyczajne do zamrożenia około 75 milionów dolarów skradzionych środków, które pozostały w sieci – była to rzadka interwencja, która wywołała szybką reakcję w postaci prania pieniędzy. Następnie około 175 milionów dolarów w ETH zostało wymienionych na Bitcoin, głównie za pośrednictwem THORChain, protokołu płynności międzyłańcuchowej bez wymogu 'poznaj swojego klienta' (KYC).
THORChain przetworzył zdecydowaną większość środków zarówno z naruszenia Bybit w 2025 roku – najgorszej kradzieży w historii branży, z ponad 1,4 miliarda dolarów skradzionych kryptowalut – jak i z hacka Kelp DAO w 2026 roku, konwertując setki milionów skradzionych ETH na Bitcoin bez operatora chętnego do zamrożenia lub odrzucenia transferów.
Analitycy TRM zauważyli, że grupa zdaje się doskonalić swoje narzędzia: Analitycy zaczęli spekulować, że północnokoreańscy agenci integrują narzędzia AI do swoich procesów zwiadowczych i inżynierii społecznej, co jest zgodne z rosnącą precyzją ataków takich jak Drift, które wymagały tygodni ukierunkowanej manipulacji złożonymi mechanizmami blockchain.
