Северная Корея украла более 500 миллионов долларов в криптовалюте за месяц — угроза в 6,75 миллиарда долларов еще не исчерпана
За менее чем три недели кибероперативы, связанные с Корейской Народно-Демократической Республикой (КНДР), украли более 500 миллионов долларов с платформ децентрализованных финансов (DeFi). Это событие стало значительным шагом в государственной кампании Пхеньяна по финансированию своих программ вооружений через кражу криптовалюты. Два разрушительных инцидента, затронувших Drift Protocol и KelpDAO, значительно увеличили незаконные доходы Северной Кореи в криптовалюте, превысив отметку в 700 миллионов долларов за текущий год.
Кибератаки на Drift Protocol и KelpDAO
На 20 апреля поставщик кросс-цепочной инфраструктуры LayerZero подтвердил, что KelpDAO стал жертвой атаки, в результате которой было украдено около 290 миллионов долларов. Этот инцидент, произошедший 18 апреля, стал крупнейшей кражей криптовалюты в 2026 году. Первоначальные данные криминалистики указывают на TraderTraitor, специализированную ячейку, действующую в рамках известной группы Lazarus, связанной с Северной Кореей. Всего лишь несколько недель назад, 1 апреля, децентрализованная биржа на базе Solana Drift Protocol была обворована на сумму около 286 миллионов долларов. Блокчейн-аналитическая компания Elliptic быстро связала методы отмывания средств, последовательность транзакций и сетевые подписи с ранее установленными векторами атак КНДР, отметив, что это уже 18-й подобный инцидент, зафиксированный в этом году.
Методология атак и эволюция кибервойны
Методология атак в апреле показывает, что государственные хакеры стали более изощренными в своих подходах к децентрализованным финансам. Вместо того чтобы атаковать защищенные смарт-контракты напрямую, операторы идентифицируют и используют уязвимости в структурной периферии. В случае атаки на KelpDAO, LayerZero объяснил, что хакеры скомпрометировали инфраструктуру удаленных процедурных вызовов (RPC), используемую в децентрализованной сети верификаторов LayerZero Labs. Путем отравления этих критически важных данных, злоумышленники смогли манипулировать операциями протокола, не затрагивая его основную криптографию. Хотя LayerZero уже устранил затронутые узлы и полностью восстановил работу DVN, финансовый ущерб уже был нанесен.
Внедрение северокорейских кибероперативов в индустрию криптовалют
Кроме технических атак, Северная Корея в настоящее время осуществляет масштабное и скоординированное внедрение в глобальный рынок труда криптовалют. Модель угрозы кардинально изменилась: вместо удаленных хакерских кампаний теперь акцент смещен на размещение злонамеренных сотрудников непосредственно в штатах ничего не подозревающих стартапов Web3. В результате шести месяцев расследования, проведенного проектом Ketman, работающим в рамках программы безопасности ETH Rangers Фонда Ethereum, были получены поразительные данные: примерно 100 северокорейских кибероперативов в настоящее время работают в различных блокчейн-компаниях.
Работая под вымышленными именами, эти высококвалифицированные IT-специалисты успешно проходят стандартные проверки кадров, получают доступ к чувствительным внутренним репозиториям кода и могут находиться в командах разработки в течение месяцев или даже лет, прежде чем инициировать тщательно спланированную атаку. Эта терпеливость, напоминающая действия разведывательных агентств, была дополнительно подтверждена независимым блокчейн-исследователем ZachXBT, который недавно раскрыл специализированную сеть КНДР, генерирующую около 1 миллиона долларов в месяц, используя мошеннические личности для получения удаленной работы.
Сеть отмывания средств и выживание в макроэкономике
Масштаб операций Северной Кореи в области цифровых активов значительно превышает деятельность любых традиционных киберпреступных синдикатов. Согласно данным блокчейн-аналитической компании Chainalysis, хакеры, связанные с КНДР, украли рекордные 2 миллиарда долларов в 2025 году, что составило поразительные 60% всех глобальных краж криптовалюты в том году. Эта цифра была значительно увеличена благодаря разрушительной атаке на биржу Bybit в феврале 2025 года на сумму 1,5 миллиарда долларов. Учитывая жестокую кампанию этого года, общая сумма украденных активов Северной Кореи оценивается в 6,75 миллиарда долларов.
После кражи операторы группы Lazarus демонстрируют высоко специфические и регионализованные схемы отмывания средств. В отличие от обычных крипто-преступников, которые часто используют децентрализованные биржи (DEX) и пиринговые кредитные протоколы, северокорейские акторы активно избегают их. Вместо этого данные блокчейна показывают сильную зависимость от китайскоязычных гарантийных сервисов, глубоких сетей внебиржевой торговли (OTC) и сложных кросс-цепочных микс-сервисов. Эта специфическая предрасположенность указывает на структурные ограничения и глубоко укоренившиеся, географически ограниченные выходы, а не на широкий, неограниченный доступ к глобальной финансовой системе.
Можно ли предотвратить эти атаки?
Исследователи безопасности и руководители отрасли утверждают, что ответ положительный, но только в том случае, если криптофирмы обратят внимание на те же операционные слабости, которые продолжают проявляться в крупных утечках. Терренс Квок, основатель Humanity, заявил, что паттерн, стоящий за многими из этих потерь, связанных с КНДР, все еще указывает на знакомые слабости, а не на совершенно новые формы кибервторжений. По его мнению, северокорейские акторы улучшают как свои методы доступа, так и способность перемещать украденные средства, однако ущерб часто все еще связан с плохими контролями доступа и сосредоточенным операционным риском.
Он объяснил, что «поразительно, как часто ущерб все еще сводится к тем же слабым местам, связанным с контролем доступа и единичными точками отказа. Это говорит о том, что в отрасли все еще существуют некоторые основные проблемы с безопасностью, которые она не решила». Учитывая это, Квок заявил, что первой линией защиты в отрасли является усложнение перемещения активов. Это означает введение более строгих контролей над приватными ключами, внутренними разрешениями и доступом третьих сторон по всему программному стеку.
На практике это потребует от компаний сокращения зависимости от отдельных операторов, ограничения привилегированного доступа, укрепления зависимостей от поставщиков и создания большего числа проверок вокруг инфраструктуры, которая находится между основными протоколами и внешним миром. Вторым приоритетом является скорость. Как только украденные средства начинают перемещаться по цепям, через мосты или в сети отмывания, шансы на их возврат резко падают. Квок отметил, что биржи, эмитенты стейблкоинов, компании по анализу блокчейнов и правоохранительные органы должны координировать свои действия гораздо быстрее в первые минуты и часы после утечки, если они хотят улучшить сдерживание.
Заключение
Кибератаки, связанные с Северной Кореей, представляют собой серьезную угрозу для криптовалютной индустрии, и их масштабы продолжают расти. Учитывая сложность и изощренность методов, используемых северокорейскими хакерами, криптофирмам необходимо принимать более строгие меры безопасности, чтобы защитить свои активы и предотвратить дальнейшие утечки. Важно, чтобы отрасль работала над устранением уязвимостей и улучшением координации в случае инцидентов, чтобы минимизировать потенциальные потери и защитить своих пользователей.
