Хакеры из КНДР украли $7,61 млрд в криптовалюте за 2026 год: почти 89% всех потерь индустрии

Хакерские группы, которые связывают с КНДР, стали главной угрозой для криптоиндустрии в 2026 году. По данным Chainalysis, на них пришлось почти 89% всех зафиксированных потерь от краж криптовалюты с начала года. Отдельное исследование аналитической компании BitOK оценивает добычу северокорейских хакеров за январь–октябрь в $7,61 млрд по итогам 38 инцидентов.

Главный вывод BitOK: в крупных атаках хакеры почти не искали ошибки в коде. Они получали контроль над людьми и системами, которые подписывают выводы средств, — над ноутбуками сотрудников, устройствами подписи и внутренними сервисами бирж.

Цифры: одна атака — почти весь ущерб

Основную часть суммы дал октябрьский взлом Binance — по оценке BitOK, $6,41 млрд. Ещё 32 небольшие кражи в сумме принесли около $178,4 млн. Из всего похищенного за год удалось заморозить или изъять $2,86 млрд, а $4,75 млрд, по данным исследователей, остаются вне досягаемости.

Chainalysis приводит свою статистику: средний ущерб от одной атаки вырос с $50,65 млн до $185,65 млн. С 2021 года по 29 октября 2026 года группам из КНДР приписывают кражи на $13,24 млрд — это 59% всех потерь индустрии за этот период.

Как действуют атакующие

• Binance. Точкой входа, по данным BitOK, стали ноутбук DevOps-инженера и контейнер сервиса подписи транзакций. Контракт для атаки был опубликован в сети за четыре часа до кражи.
• Другие цели. Подписанты мультиподписи в протоколе Drift (Solana), единственный верификатор моста KelpDAO и кошельковая система биржи Bitget.
• Проверка маршрутов. Перед крупным выводом хакеры прогоняли небольшие суммы, чтобы убедиться, что схема работает.
• Режим работы. В выборке из 540 транзакций 48% пришлись на промежуток с 16:00 до 21:00 по пхеньянскому времени, а в праздники КНДР активности не было. После начала атаки скрипты работали круглосуточно.

Отмывание и роль стейблкоинов

Похищенные стейблкоины хакеры стараются как можно быстрее обменять на ETH или взять ETH в долг под украденный залог — эфир, в отличие от USDT и USDC, эмитент заморозить не может. Затем средства идут через THORChain, мосты и инструменты приватности. По подсчётам BitOK, 2257 обменов, связанных с деньгами Binance, на сумму $55,8 млн обошлись хакерам всего в 0,5% комиссий.

Заморозки при этом работают: в случае Binance заблокировать или изъять удалось 43% похищенного, тогда как по остальным крупным атакам вместе — лишь 6%. Но время решает многое: первый запрос на заморозку Tether получила через 34 минуты после вывода, и к этому моменту с исходного адреса уже ушло 345 млн USDT. Общие адреса для расчётов связывают пять атак — от KelpDAO в апреле до Binance в октябре, — что, по мнению BitOK, указывает на одного оператора отмывания.

Что будет дальше, пока неизвестно: значительная часть средств ещё не выведена, и аналитики продолжают отслеживать их движение.