Chainalysis säger att nordkoreanska hackare låg bakom Bitget-stölden på 387 miljoner USD. Företaget säger att attacken gör att kryptostölder kopplade till DPRK i år nu överstiger 1 miljard USD.
Nordkoreanska angripare använde en cross-chain swap för att byta stulna XRP till Bitcoin och höll token borta från börser.
Drift, KelpDAO och nu Bitget
Bitget drabbas, tillsammans med 2 april-attackerna, som företag redan har kopplat till Nordkorea. Hackare tog 285 miljoner USD från Drift Protocol den 1 april. Drift säger att operationen pågick i flera månader och använde social ingenjörskonst, även möten på plats.
Den 18 april tog angripare 292 miljoner USD genom en attack mot KelpDAO bridge. TRM och LayerZero kopplade den attacken till TraderTraitor, en grupp kopplad till Lazarus.
Tillsammans stod de två stölderna för 76 % av alla kryptoförluster fram till april, enligt TRM. Chainalysis säger att Bitgets 387 miljoner USD gör att totala förluster 2026 nu är över 1 miljard USD. År 2025 stal DPRK-aktörer över 2 miljarder USD från kryptobranschen.
Chainalysis säger att snabbare spårning blir allt viktigare.
“Det blir allt viktigare att snabbt identifiera och förstå olaglig aktivitet eftersom Nordkorea använder allt mer avancerad automatisering för att flytta och dölja stulna tillgångar,” säger Chainalysis.
Bitget VD Gracy Chen pekade redan på Nordkorea kort efter intrånget. Hon nämnde att IP-adresser matchade en grupps VPN-val från DPRK. Denna stöld är också årets största kryptohack, vilket ökar förlusterna i september med 462 %.
Hur blev stulna XRP till Bitcoin utan en börs?
Chainalysis räknade 23 utgående överföringar under de första 3 timmarna efter attacken den 24 september. Tillsammans spreds 387 miljoner USD över 4 blockkedjor.
Ethereum tog emot nästan hälften av pengarna, 49,7 %. XRP Ledger fick 40,8 %, följt av den integritetsfokuserade Zcash med 7,6 % och Tron med 1,8 %.
Rapporten lyfter fram att angriparna inte skickade sina XRP till en börs. I stället satte de in XRP i ett cross-chain likviditetsprotokoll. Därefter tog de ut Bitcoin på ett annat nätverk.
Chainalysis matchade dessa insättningar med deras utbetalningar. Tiotals miljoner USD flyttades så här under ungefär 36 timmar. Spåret slutade vid bitcoinadresser som angriparna kontrollerar och som företaget nu bevakar.
Företaget säger också att de byggt egna automationer med AI för att snabba upp spårningen mellan blockkedjor. De uppskattar att över 20 timmar manuellt arbete minskade till under 10 minuter.
Chainalysis förtydligar att utredare fortfarande sätter reglerna och granskar resultaten.
