Ключові моменти
- За даними BitOK, з січня по жовтень 2026 року внаслідок 38 інцидентів було викрадено криптовалюти на орієнтовно 7,61 млрд доларів
- Під час шести найбільших атак зловмисники використовували людей і системи підписання транзакцій, а не вразливості коду
- Завдяки заморожуванню коштів і конфіскаціям вдалося повернути 2,86 млрд доларів, тоді як 4,75 млрд доларів залишилися недосяжними
За повідомленнями, зловмисники переключилися з експлуатації вразливостей коду на компрометацію систем підписання транзакцій
За оцінками компанії з аналізу блокчейну BitOK, з січня по жовтень 2026 року північнокорейські хакери викрали криптовалюти на 7,61 млрд доларів унаслідок 38 інцидентів. У звіті описано шість масштабних атак і зазначено, що зловмисники брали під контроль людей або системи, які авторизують виведення коштів, замість того щоб використовувати вразливості коду. Ця відмінність важлива для перевірок безпеки: згідно зі звітом, шлях атаки пролягав поза логікою смартконтрактів, яку зазвичай перевіряють під час стандартного аудиту коду.
За даними BitOK, було заморожено або конфісковано кошти на 2,86 млрд доларів, а 4,75 млрд доларів залишилися недосяжними. На Binance припадає 6,41 млрд доларів від загальної суми викраденого, а 32 дрібніші крадіжки, спрямовані проти фізичних осіб і компаній, становлять загалом 178,4 млн доларів. Ці цифри свідчать про надзвичайну концентрацію збитків: на одну біржу припадає більша частина вказаної суми. Також вони показують, що заходи з повернення коштів не встигали за масштабами крадіжок.
Ці цифри охоплюють визначений період — із січня до жовтня 2026 року — і є оцінками, які приписують BitOK. Головний висновок звіту полягає не в тому, що безпека коду стала неважливою, а в тому, що перевірки лише коду не запобігли шести найбільшим інцидентам. У кожному з них виведення коштів було підписано дійсними підписами або пройшло звичайні перевірки. У джерелі не зазначено, як саме BitOK розрахувала загальну суму, тож наведені підсумкові цифри слід розуміти як оцінку компанії.
Як зловмисники отримали право на авторизацію
За даними BitOK, у Binance точкою входу для зловмисників стали ноутбук інженера DevOps і контейнер сервісу підписання. Це узгоджується з попередніми висновками щодо жовтневого інциденту, на які посилається джерело. Тож звіт пов’язує компрометацію з інструментами та доступом, що використовуються для авторизації виведення коштів, а не з виявленою вадою самого коду виведення. Джерело не описує докладно весь ланцюжок компрометації ноутбука чи контейнера.
В інших великих інцидентах були задіяні інші системи: підписанти мультипідпису на Drift, торговій платформі на базі Solana; єдиний верифікатор мосту в KelpDAO; і система гаманців Bitget. Ці приклади охоплюють торговельну, мостову та біржову інфраструктуру, але BitOK описує спільний результат: зловмисники отримали дійсну авторизацію або пройшли звичайні перевірки. Звіт порушує практичне питання безпеки: захисту коду кожного застосунку може бути недостатньо, якщо процес підписання можна захопити.
За даними BitOK, перед кожним викраденням зловмисники перевіряли точний маршрут, переказуючи невеликі суми. У випадку Binance атакувальний контракт був публічно активний за чотири години до викрадення коштів. Ця деталь свідчить, що операція включала етап тестування, який було видно в блокчейні до великого переказу. Це не доводить, які засоби моніторингу діяли або чи можна було тоді розпізнати тест, але показує, чому невеликі попередні транзакції можуть мати значення для розслідування.
Перегони за переміщенням коштів і межі заморожування
Вибірка BitOK із 540 транзакцій також свідчить про графік, який більше нагадував робочий день, ніж безперервну активність: 48% транзакцій відбулися між 16:00 і 21:00 за часом Пхеньяна, а у звіті не зафіксовано жодної активності у північнокорейські державні свята. На суботу, неділю та понеділок разом припало лише 10% транзакцій. Ці закономірності можуть допомогти описати поведінку операторів, хоча у джерелі не сказано, що лише за часом можна встановити, хто ініціював конкретний переказ.
Після початку атаки характер руху коштів змінювався. У звіті йдеться, що до роботи бралися скрипти, а переміщення коштів тривало цілодобово. Ця відмінність між відносно регулярним графіком роботи та автоматизованим безперервним рухом коштів після інциденту важлива для слідчих, які відстежують транзакції. Це також означає, що початковий злам може швидко призвести до активності, яка вже не обмежується тим самим видимим графіком робочого часу. BitOK не встановила, які саме інструменти автоматизації використовувалися.
За словами BitOK, швидкість має вирішальне значення для заморожування коштів. За лічені хвилини після крадіжки зловмисники обміняли стейблкоїни на ETH або позичили ETH під заставу викрадених активів; у звіті зазначається, що емітент не може заморозити ETH. Після квітневого експлойту мосту rsETH із протоколів кредитування вийшло 52 440 ETH трохи більш ніж за вісім хвилин. Тож для втручання, що стосується активів, емітент яких іще може їх заморозити, залишається дуже мало часу.
Невеликий слід транзакцій пов’язує окремі атаки
Після цього процес відмивання коштів міг призупинитися, перш ніж кошти знову починали рухатися. Після інциденту з rsETH активи, за повідомленнями, залишалися без руху від 2,5 до 5 днів, а потім скрипти спрямували їх через THORChain — протокол міжмережевого обміну. BitOK також зафіксувала 2 257 обмінів, пов’язаних із Binance, на суму 55,8 млн доларів, із загальними витратами 0,50%. Ці цифри свідчать, що в цій вибірці переміщення коштів через обміни було відносно недорогим; вони не встановлюють вартість відмивання коштів у кожній атаці.
Різниця в рівнях повернення коштів демонструє обмежені можливості заморожування активів. За даними BitOK, було заморожено або конфісковано 43% коштів, викрадених у Binance, порівняно з 6% коштів у всіх інших великих атаках разом. Навіть у випадку Binance час мав значення: Tether отримала перший запит на заморожування через 34 хвилини після виведення коштів, і на той момент з початкової адреси вже пішло 345 мільйонів USDT. У звіті зазначається, що заморожування спрацьовувало лише для стейблкоїнів, які ще не встигли перемістити.
Помилка під час очищення дала ще одну зачіпку для розслідування. Після переказу 5 047 ETH через Umbra та міст Stargate оператор зібрав залишок дрібних сум на один гаманець; 31 серпня 150 адрес переказали на нього всі кошти протягом трьох хвилин і 36 секунд. Гаманець-збирач отримав лише 0,27 ETH, але спільні адреси для розрахунків пов’язують п’ять атак — від атаки на KelpDAO у квітні до атаки на Binance у жовтні. BitOK вважає, що за відмиванням стоїть один оператор, водночас припускаючи, що злами могли здійснити різні команди.
Джерело: BeInCrypto
