Tin tặc Triều Tiên đã đánh cắp gần ba phần tư tổng số tiền điện tử bị tội phạm mạng chiếm đoạt trong năm nay — không phải thông qua một chiến dịch tấn công không ngừng nghỉ, mà thông qua hai vụ trộm được thực hiện chính xác nhắm vào các nền tảng tài chính phi tập trung vào tháng 4, theo một báo cáo mới từ công ty tình báo blockchain TRM Labs.
Hai sự cố — một vụ vi phạm 285 triệu USD của Drift Protocol vào ngày 1 tháng 4 và một vụ khai thác 292 triệu USD của Kelp DAO vào ngày 18 tháng 4 — cùng nhau chiếm 76% tổng số thiệt hại do hack tiền điện tử được theo dõi đến tháng 4, mặc dù chỉ chiếm 3% tổng số vụ việc được ghi nhận.
Tổng cộng, TRM Labs ước tính rằng tin tặc liên quan đến Triều Tiên đã cướp hơn 6 tỷ USD từ các giao thức và dự án tiền điện tử kể từ năm 2017, bao gồm một số vụ trộm tồi tệ nhất trong ngành.
Các số liệu phản ánh sự tập trung ngày càng tăng của việc đánh cắp tiền điện tử bởi các đặc vụ Triều Tiên có liên hệ với nhà nước. Tỷ lệ thiệt hại do hack tiền điện tử của Bình Nhưỡng đã tăng từ dưới 10% vào năm 2020 và 2021 lên 22% vào năm 2022, 37% vào năm 2023, 39% vào năm 2024 và 64% vào năm 2025. Con số 76% tính đến tháng 4 năm 2026 là tỷ lệ duy trì cao nhất được ghi nhận.
Vụ tấn công Drift Protocol đáng chú ý vì sự kiên nhẫn của nó. Việc dàn xếp trên chuỗi bắt đầu từ ngày 11 tháng 3, và chiến dịch bao gồm các cuộc gặp mặt trực tiếp giữa các đại diện Triều Tiên và nhân viên Drift trong nhiều tháng—một chiến thuật mà các nhà phân tích của TRM mô tả là có khả năng chưa từng có trong chiến dịch hack tiền điện tử kéo dài của Triều Tiên.
Những kẻ tấn công đã khai thác một tính năng của Solana gọi là "durable nonce" (số ngẫu nhiên bền vững), cho phép các giao dịch đã được ký trước đó được giữ lại và triển khai vào một thời điểm sau. Vào ngày 1 tháng 4, 31 giao dịch rút tiền đã được thực hiện trong khoảng 12 phút, rút cạn các tài sản thực tế bao gồm USDC và JLP. Số tiền bị đánh cắp nhanh chóng được chuyển đến Ethereum và đã nằm im kể từ đó.
Vụ tấn công Kelp DAO đi theo một con đường khác. Những kẻ tấn công đã xâm nhập hai nút RPC nội bộ và sau đó phát động một cuộc tấn công từ chối dịch vụ (denial-of-service) chống lại các nút bên ngoài, buộc bộ xác minh duy nhất của cầu nối phải dựa vào các nguồn dữ liệu bị nhiễm độc. Các nút đó đã báo cáo sai rằng tài sản cơ sở đã bị đốt trên chuỗi nguồn khi không có hành động nào như vậy xảy ra, và khoảng 116.500 rsETH — trị giá khoảng 292 triệu USD — đã bị rút khỏi hợp đồng cầu nối Ethereum.
Sau vụ trộm Kelp DAO, Hội đồng Bảo mật Arbitrum đã thực hiện các quyền khẩn cấp để đóng băng khoảng 75 triệu USD số tiền bị đánh cắp còn lại trên mạng — một sự can thiệp hiếm hoi đã thúc đẩy một phản ứng rửa tiền nhanh chóng. Khoảng 175 triệu USD ETH sau đó đã được hoán đổi sang Bitcoin, chủ yếu thông qua THORChain, một giao thức thanh khoản xuyên chuỗi không yêu cầu "biết khách hàng của bạn" (KYC).
THORChain đã xử lý phần lớn số tiền thu được từ cả vụ vi phạm Bybit vào năm 2025 — vụ trộm tồi tệ nhất từ trước đến nay của ngành, với hơn 1,4 tỷ USD tiền điện tử bị đánh cắp — và vụ hack Kelp DAO vào năm 2026, chuyển đổi hàng trăm triệu USD ETH bị đánh cắp sang Bitcoin mà không có nhà điều hành nào sẵn sàng đóng băng hoặc từ chối các giao dịch chuyển khoản.
Các nhà phân tích của TRM lưu ý rằng nhóm này dường như đang mài giũa các công cụ của mình: Các nhà phân tích đã bắt đầu suy đoán rằng các nhà điều hành Triều Tiên đang tích hợp các công cụ AI vào quy trình công việc trinh sát và kỹ thuật xã hội của họ, một sự phát triển phù hợp với độ chính xác ngày càng tăng của các cuộc tấn công như Drift, vốn đòi hỏi nhiều tuần thao túng có mục tiêu các cơ chế blockchain phức tạp.
