Ripple przekazuje dane wywiadowcze o zagrożeniach powiązanych z Koreą Północną do Crypto ISAC, mając nadzieję, że wspólny kontekst dotyczący agentów KRLD i exploitów DeFi może stępić falę ataków hakerskich w 2026 roku, prowadzonych przez Drift i KelpDAO.
Ripple oświadczyło, że rozpoczęło udostępnianie wewnętrznych danych wywiadowczych dotyczących północnokoreańskiej działalności hakerskiej członkom Crypto ISAC, niedochodowego kolektywu cybernetycznego skupiającego się na sektorze aktywów cyfrowych.
We wspólnym blogu, dyrektor ds. rozwoju Crypto ISAC, Christina Spring, napisała, że dane „obejmują zarówno domeny i portfele znane z powiązań z oszustwami, jak i Wskaźniki Kompromitacji (IOC) z aktywnych kampanii hakerskich KRLD”.
Podkreśliła, że to, co wyróżnia kanały Ripple, to nie tylko surowe wskaźniki, ale „wzbogacenie kontekstowe od zespołu bezpieczeństwa z głęboką wiedzą na temat aktorów zagrożeń wpływających na ekosystem krypto”, co zapewnia obrońcom bardziej użyteczny kontekst niż typowa lista IOC.
Własne ogłoszenie Ripple na platformie X głosiło, że „najsilniejsza postawa bezpieczeństwa w kryptowalutach to postawa wspólna”, dodając, że „aktor zagrożeń, który nie przejdzie weryfikacji w jednej firmie, w tym samym tygodniu złoży aplikację do trzech innych. Bez wspólnych danych wywiadowczych każda firma zaczyna od zera.”
Dane wywiadowcze podobno zawierają wzbogacone profile podejrzanych północnokoreańskich pracowników IT próbujących infiltrować firmy kryptowalutowe i fintech, łącząc adresy e-mail, domeny, portfele on-chain oraz infrastrukturę złośliwego oprogramowania używaną w wielu kampaniach.
Działanie Ripple jest odpowiedzią na falę ataków powiązanych z KRLD, które celowały w DeFi w 2026 roku, w szczególności na ataki na protokół Drift Protocol oparty na Solanie oraz platformę re-stakingową KelpDAO.
TRM Labs szacuje, że same te dwa incydenty przyniosły grupom północnokoreańskim około 577 milionów dolarów — 285 milionów dolarów z Drift i około 292 milionów dolarów z KelpDAO — co stanowi 76% całkowitej wartości skradzionych kryptowalut do kwietnia.
Chainalysis i TRM zauważają, że aktorzy powiązani z Koreą Północną ukradli ponad 2 miliardy dolarów w 2025 roku, co podniosło ich łączny łup do ponad 6,7 miliarda dolarów, a udział KRLD w globalnych stratach z hacków kryptowalutowych wzrósł z poniżej 10% w 2020 roku do 64% w 2025 roku.
Exploit Drift z 1 kwietnia był następstwem sześciomiesięcznej kampanii inżynierii społecznej, która rozpoczęła się pod koniec 2025 roku, a którą The Hacker News i Chainalysis opisują jako kampanię, podczas której północnokoreańscy pośrednicy odbywali osobiste spotkania z współtwórcami Drift i wykorzystali to zaufanie, aby przekonać sygnatariuszy do wstępnego autoryzowania wypłat za pośrednictwem funkcji „durable nonce” Solany.
Atakujący następnie wykonali 31 wstępnie podpisanych transakcji w około 12 minut, opróżniając aktywa o wartości 285 milionów dolarów, zanim większość środków została przesłana na Ethereum; TRM twierdzi, że skradzione ETH w dużej mierze pozostało uśpione, co wskazuje na ostrożny, długoterminowy plan prania pieniędzy.
Exploit KelpDAO z 18 kwietnia wykorzystał inną taktykę: aktorzy powiązani z KRLD skompromitowali dwa wewnętrzne węzły RPC, przeprowadzili atak DDoS na zewnętrzne węzły i wprowadzili fałszywe dane do DVN LayerZero Labs, aby wybić 116 500 rsETH bez pokrycia, a następnie wykorzystali to zabezpieczenie do pożyczenia około 196 milionów dolarów w ETH na Aave.
Późniejsza analiza TRM i innych podmiotów pokazuje, że choć Rada Bezpieczeństwa Arbitrum zamroziła około 71,5 miliona dolarów w dalszym ETH, atakujący szybko zmienili strategię, wymieniając pozostałe środki na BTC za pośrednictwem THORChain i chińskich pośredników, co podkreśla wyrafinowanie i zdolność adaptacji ich operacji prania pieniędzy.
W odpowiedzi, koalicja DeFi United, kierowana przez Aave, zebrała ponad 300 milionów dolarów w planie odzyskiwania dla KelpDAO, natomiast awaryjne zamrożenie Arbitrum i szybkie tworzenie międzyprotokołowych grup zadaniowych ds. odzyskiwania podkreślają rosnącą gotowość do koordynowania działań obronnych na poziomie ekosystemu.
Niedawny artykuł Decrypt oraz własne komunikaty Ripple przedstawiają nową inicjatywę udostępniania danych jako próbę wyprzedzenia tej ewolucji w taktykach – przenosząc branżę od fragmentarycznej świadomości do wspólnych, bieżących danych wywiadowczych przeciwko temu, co badaczka bezpieczeństwa Natalie Newson z CertiK nazywa „operacją finansową kierowaną przez państwo, działającą na skalę i z szybkością instytucjonalną”.
