Північнокорейські хакери викрали майже три чверті всієї криптовалюти, вилученої кіберзлочинцями цього року, — не завдяки безперервній кампанії атак, а за допомогою двох точно виконаних пограбувань, спрямованих на децентралізовані фінансові платформи у квітні, згідно з новим звітом від блокчейн-розвідувальної фірми TRM Labs.

Два інциденти — злам Drift Protocol на $285 мільйонів 1 квітня та експлойт Kelp DAO на $292 мільйони 18 квітня — разом становлять 76% всіх збитків від криптозламів, відстежених до кінця квітня, незважаючи на те, що вони становлять лише 3% від загальної кількості зафіксованих інцидентів.

Загалом, TRM Labs оцінює, що пов'язані з Північною Кореєю хакери викрали понад $6 мільярдів з криптопротоколів та проєктів з 2017 року, включаючи деякі з наймасштабніших пограбувань в історії індустрії.

Ці цифри відображають зростаючу концентрацію крадіжок криптовалюти з боку пов'язаних з державою північнокорейських операторів. Частка Пхеньяна в загальних збитках від криптозламів зросла з менш ніж 10% у 2020 та 2021 роках до 22% у 2022 році, 37% у 2023 році, 39% у 2024 році та 64% у 2025 році. Показник у 76% за квітень 2026 року є найвищою сталою часткою за всю історію.

Атака на Drift Protocol була примітною своєю терплячістю. Підготовка в мережі розпочалася 11 березня, і кампанія включала особисті зустрічі між північнокорейськими довіреними особами та співробітниками Drift протягом кількох місяців — тактику, яку аналітики TRM назвали потенційно безпрецедентною в тривалій кампанії криптозламів Північної Кореї.

Зловмисники використали функцію Solana під назвою «durable nonce» (довговічний нонс), яка дозволяє зберігати попередньо підписані транзакції та розгортати їх пізніше. 1 квітня 31 виведення коштів було виконано приблизно за 12 хвилин, викачавши реальні активи, включаючи USDC та JLP. Викрадені кошти були швидко переміщені до мережі Ethereum і з тих пір залишаються неактивними.

Атака на Kelp DAO пішла іншим шляхом. Зловмисники скомпрометували два внутрішні RPC-вузли, а потім здійснили атаку типу «відмова в обслуговуванні» (DoS) на зовнішні вузли, змусивши єдиного верифікатора мосту покладатися на скомпрометовані джерела даних. Ці вузли неправдиво повідомили, що базовий актив було спалено в початковому блокчейні, хоча такої дії не відбулося, і приблизно 116 500 rsETH — вартістю близько $292 мільйонів — було виведено з контракту мосту Ethereum.

Після крадіжки з Kelp DAO Рада Безпеки Arbitrum скористалася надзвичайними повноваженнями, щоб заморозити приблизно $75 мільйонів викрадених коштів, які залишилися в мережі — рідкісне втручання, що спровокувало швидку реакцію з відмивання коштів. Приблизно $175 мільйонів в ETH потім було обміняно на Біткойн, переважно через THORChain, протокол міжланцюгової ліквідності без вимог щодо ідентифікації клієнта (KYC).

THORChain обробив переважну більшість надходжень як від злому Bybit у 2025 році — наймасштабнішої крадіжки в галузі, коли було викрадено понад $1.4 мільярда у криптовалюті — так і від злому Kelp DAO у 2026 році, конвертувавши сотні мільйонів викрадених ETH у Біткойн без жодного оператора, готового заморозити або відхилити перекази.

Аналітики TRM зазначили, що група, схоже, відточує свої інструменти: Аналітики почали припускати, що північнокорейські оператори включають інструменти ШІ у свої робочі процеси розвідки та соціальної інженерії, що відповідає зростаючій точності таких атак, як Drift, які вимагали тижнів цілеспрямованих маніпуляцій зі складними блокчейн-механізмами.