Ripple đang cung cấp thông tin tình báo về các mối đe dọa liên quan đến Triều Tiên cho Crypto ISAC, với hy vọng bối cảnh chung về các đặc vụ Triều Tiên và các vụ khai thác lỗ hổng DeFi có thể ngăn chặn làn sóng tấn công năm 2026 do Drift và KelpDAO dẫn đầu.
Ripple cho biết họ đã bắt đầu chia sẻ thông tin tình báo nội bộ về hoạt động tấn công của Triều Tiên với các thành viên của Crypto ISAC, một tập thể an ninh mạng phi lợi nhuận tập trung vào lĩnh vực tài sản kỹ thuật số.
Trong một bài blog chung, giám đốc phát triển của Crypto ISAC, Christina Spring, viết rằng dữ liệu “bao gồm từ các tên miền và ví tiền được biết là có liên quan đến lừa đảo, đến các Chỉ số xâm nhập (IOC) từ các chiến dịch tấn công đang hoạt động của Triều Tiên.”
Bà nhấn mạnh rằng điều làm nên sự khác biệt của nguồn cấp dữ liệu của Ripple không chỉ là các chỉ số thô mà còn là “sự làm giàu ngữ cảnh từ một đội ngũ bảo mật có chuyên môn sâu về các tác nhân đe dọa ảnh hưởng đến hệ sinh thái tiền điện tử,” mang lại cho các nhà phòng thủ bối cảnh có thể hành động hơn so với một danh sách IOC thông thường.
Thông báo của chính Ripple trên X lập luận rằng “tư thế bảo mật mạnh mẽ nhất trong tiền điện tử là một tư thế được chia sẻ,” đồng thời nói thêm rằng “một tác nhân đe dọa không vượt qua được kiểm tra lý lịch tại một công ty sẽ nộp đơn vào ba công ty khác trong cùng tuần đó. Nếu không có thông tin tình báo được chia sẻ, mọi công ty đều bắt đầu từ con số không.”
Thông tin tình báo được cho là bao gồm các hồ sơ được làm giàu của các nghi phạm là nhân viên IT Triều Tiên đang cố gắng thâm nhập vào các công ty tiền điện tử và fintech, liên kết các địa chỉ email, tên miền, ví on-chain và cơ sở hạ tầng phần mềm độc hại được sử dụng trong nhiều chiến dịch.
Động thái của Ripple diễn ra nhằm đối phó với làn sóng tấn công liên quan đến Triều Tiên đã nhắm vào DeFi vào năm 2026, đáng chú ý nhất là các vụ tấn công vào Drift Protocol dựa trên Solana và nền tảng re-staking KelpDAO.
TRM Labs ước tính rằng chỉ riêng hai sự cố này đã mang lại cho các nhóm Triều Tiên khoảng 577 triệu USD – 285 triệu USD từ Drift và khoảng 292 triệu USD từ KelpDAO – chiếm 76% tổng giá trị tiền điện tử bị đánh cắp tính đến tháng 4.
Chainalysis và TRM lưu ý rằng các tác nhân liên quan đến Triều Tiên đã đánh cắp hơn 2 tỷ USD vào năm 2025, nâng tổng số tiền tích lũy của họ lên trên 6,7 tỷ USD, và rằng tỷ lệ thiệt hại do tấn công tiền điện tử toàn cầu của Triều Tiên đã tăng từ dưới 10% vào năm 2020 lên 64% vào năm 2025.
Vụ khai thác Drift vào ngày 1 tháng 4 diễn ra sau một chiến dịch kỹ thuật xã hội kéo dài sáu tháng bắt đầu vào cuối năm 2025, theo mô tả của The Hacker News và Chainalysis, trong đó các đặc vụ Triều Tiên đã tổ chức các cuộc họp trực tiếp với những người đóng góp cho Drift và sử dụng lòng tin đó để thuyết phục người ký phê duyệt trước các khoản rút tiền thông qua tính năng “durable nonce” của Solana.
Những kẻ tấn công sau đó đã thực hiện 31 giao dịch được ký trước trong khoảng 12 phút, rút cạn 285 triệu USD tài sản trước khi chuyển phần lớn số tiền sang Ethereum; TRM cho biết ETH bị đánh cắp phần lớn vẫn không hoạt động, cho thấy một kế hoạch rửa tiền thận trọng, dài hạn.
Vụ khai thác KelpDAO vào ngày 18 tháng 4 đã sử dụng một chiến thuật khác: các tác nhân liên quan đến Triều Tiên đã xâm nhập hai nút RPC nội bộ, tấn công DDoS các nút bên ngoài và đưa dữ liệu giả mạo vào DVN của LayerZero Labs để đúc 116.500 rsETH không được hỗ trợ, sau đó sử dụng tài sản thế chấp đó để vay khoảng 196 triệu USD ETH trên Aave.
Phân tích tiếp theo từ TRM và các bên khác cho thấy trong khi Hội đồng Bảo mật Arbitrum đã đóng băng khoảng 71,5 triệu USD ETH chuyển tiếp, những kẻ tấn công đã nhanh chóng chuyển đổi số tiền còn lại sang BTC thông qua THORChain và các trung gian Trung Quốc, nhấn mạnh sự tinh vi và khả năng thích ứng trong các hoạt động rửa tiền của chúng.
Để đối phó, liên minh DeFi United do Aave dẫn đầu đã huy động hơn 300 triệu USD trong kế hoạch phục hồi cho KelpDAO, trong khi lệnh đóng băng khẩn cấp của Arbitrum và việc nhanh chóng thành lập các lực lượng đặc nhiệm phục hồi đa giao thức cho thấy sự sẵn sàng phối hợp các biện pháp phòng thủ ở cấp độ hệ sinh thái ngày càng tăng.
Một bài viết gần đây của Decrypt và thông điệp của chính Ripple đã định hình sáng kiến chia sẻ dữ liệu mới này như một nỗ lực để đi trước sự phát triển về chiến thuật này – chuyển ngành công nghiệp từ nhận thức rời rạc sang thông tin tình báo được chia sẻ, theo thời gian thực chống lại cái mà nhà nghiên cứu bảo mật Natalie Newson tại CertiK gọi là “một hoạt động tài chính do nhà nước chỉ đạo đang hoạt động ở quy mô và tốc độ cấp tổ chức.”
