Північнокорейські суб'єкти викрали приблизно 577 мільйонів доларів протягом перших чотирьох місяців 2026 року, що становить 76% від усіх світових втрат від злому криптовалют за цей період, за даними блокчейн-розвідувальної фірми TRM Labs.

Втрати пов'язані з двома квітневими інцидентами, включаючи експлойт KelpDAO на 292 мільйони доларів та атаку на Drift Protocol на 285 мільйонів доларів, які, як зазначила TRM у звіті, становили 3% від загальної кількості інцидентів злому в 2026 році станом на квітень. 

Згідно зі звітом, атака на Drift походила від північнокорейської підгрупи, окремої від TraderTraitor, добре відомої операції, пов'язаної з Lazarus, хоча конкретна атрибуція все ще розслідується. Порушення безпеки KelpDAO було справою TraderTraitor, йдеться у звіті. 

Злам Drift включав місяці особистих зустрічей між північнокорейськими посередниками та співробітниками Drift, заявила команда TRM, зазначивши, що підготовка до атаки почалася вже 11 березня, перш ніж зловмисник створив постійні nonce-акаунти на Solana та спонукав підписантів мультипідпису Ради Безпеки Drift попередньо авторизувати транзакції. 

Потім зловмисник, 1 квітня, через кілька днів після того, як Drift перевела свою Раду Безпеки на нову конфігурацію порогу 2/5 з нульовим часом блокування, розгорнув 31 попередньо підписаний запит на виведення коштів, щоб викачати кошти протягом фази швидкого виконання, що тривала приблизно 12 хвилин, додала команда. Кошти пізніше були переведені в Ethereum, де вони з того часу залишалися переважно неактивними.

Тим часом, атака на KelpDAO пішла іншим технічним шляхом, використовуючи вразливість в дизайні єдиного верифікатора в мості LayerZero шляхом компрометації інфраструктури RPC та маніпулювання логікою крос-чейн валідації, згідно зі звітом. 

TRM повідомила, що зловмисники вивели близько 116 500 rsETH після примусового перенаправлення верифікації на скомпрометовані вузли, при цьому подальше відмивання коштів було здійснено через крос-чейн інфраструктуру, включаючи THORChain, після часткового заморожування активів на Arbitrum.

Частка Північної Кореї у крадіжках криптовалют прискорюється

Команда TRM заявила, що частка Північної Кореї у світових втратах від злому криптовалют «прискорилася», а не стабілізувалася, зростаючи з менш ніж 10% у 2020 та 2021 роках до 22% у 2022 році, 37% у 2023 році, 39% у 2024 році та 64% у 2025 році. Сукупні приписані крадіжки зараз перевищують 6 мільярдів доларів з 2017 року.

Фірма вказала на порушення безпеки Bybit на 1,46 мільярда доларів у 2025 році як на ключовий переломний момент у нещодавній діяльності Північної Кореї. З того часу, за словами TRM, оперативний темп залишався стабільним, при цьому елітні групи надають перевагу меншій кількості, але більш руйнівним атакам, націленим на мости, системи управління з мультипідписом та крос-чейн інфраструктуру.

TRM заявила, що інциденти з Drift та KelpDAO підкреслюють розбіжність у підходах до відмивання коштів. Одна група, пов'язана з Drift, залишила активи переважно неактивними після первісного переведення в Ethereum і, ймовірно, «зберігатиме виручку місяцями або роками, а потім здійснить структуроване, багатофазне виведення коштів».

Натомість, зловмисники KelpDAO швидше перемістили кошти через крос-чейн свопи в біткойни через THORChain, при цьому поточна фаза відмивання коштів значною мірою здійснювалася китайськими посередниками, а не самими північнокорейцями, за даними TRM. 

Пріоритети моніторингу відповідності, викладені TRM, включають потоки, пов'язані з THORChain, з скомпрометованих мостових середовищ, відстеження багатоходових транзакцій через мостову інфраструктуру та перевірку шляхів депозитів, пов'язаних з управлінням Solana, що включають транзакції з постійним nonce. 

Фірма також підкреслила участь Beacon Network у біржах та протоколах DeFi як механізм для прискорення крос-платформного оповіщення після ідентифікації адрес, пов'язаних з Північною Кореєю.