Nordkoreanska hackare har stulit ungefär 7,61 miljarder USD i kryptovalutor i 38 attacker mellan januari och oktober 2026, enligt blockchainföretaget BitOK. Vid alla sex stora attacker kapade de personer och system som godkänner uttag istället för att utnyttja kod.
Myndigheterna frös eller beslagtog 2,86 miljarder USD, så 4,75 miljarder USD var utom räckhåll. Binance står för 6,41 miljarder USD av summan, medan 32 mindre stölder mot privatpersoner och företag ger totalt 178,4 miljoner USD.
Varför kodgranskningar inte stoppade nordkoreanska hackare
BitOKs rapport visar att alla uttag vid de sex största attackerna hade giltiga signaturer eller klarade vanliga kontroller. Hos Binance började attacken via en DevOps-ingenjörs laptop och en container för signeringstjänster.
Det stämmer överens med tidigare fakta om hur attacken mot Binance gick till i oktober. På andra platser tog angriparna över multisig-signatärer hos Drift, en handelsplattform på Solana, en verifierare vid KelpDAO:s bro och Bitgets plånbokssystem.
Innan varje stöld testade hackarna vägen med små belopp. Till exempel kördes kontraktet för Binances attack fyra timmar före själva stöten.
Tidpunkterna liknar kontorsarbete. Av 540 granskade transaktioner skedde 48 % mellan kl. 16 och 21, Pyongyang-tid.
Hackarna tog även ledigt på nordkoreanska helgdagar och ingen aktivitet skedde då. Lördag, söndag och måndag stod tillsammans för bara 10 % av transaktionerna.
När attacken väl började, ändrades rutinen. Sedan tog skript över och pengarna flyttades dygnet runt.
Minuter att byta, dagar att försvinna
Hastigheten avgör vad som fortfarande kan frysas. Nordkoreanska hackare bytte snabbt ut stabila mynt mot ETH eller lånade ETH med stulna tillgångar som säkerhet, eftersom ingen kan frysa ETH.
Efter attacken mot rsETH-bron i april lämnade de första 52 440 ETH utlåningsprotokollen på lite över åtta minuter. Pengarna låg sedan still i 2,5 till 5 dagar innan skript skickade dem via THORChain, ett protokoll för växling mellan olika kedjor.
Penningtvätten blev billig. Av 2 257 byten kopplade till Binance, till ett värde av 55,8 miljoner USD, var totalkostnaden bara 0,50 %.
Frysningar fungerade därför bara om stabila mynt inte redan flyttats. Hos Binance frös man eller beslagtog 43 % av de stulna pengarna, medan samma siffra var 6 % vid de andra större attackerna.
Även där spelade tiden roll. Tether fick sin första begäran om frysning 34 minuter efter uttaget från Binance. Då hade redan 345 miljoner USDT lämnat den ursprungliga adressen.
0,27 ETH-koppling binder ihop fem attacker
Spåren var som tydligast efter ett rensningsfel. Efter att ha skickat 5 047 ETH genom Umbra, ett verktyg för privatliv och Stargate-bron, flyttade hackaren kvarvarande småbelopp till en och samma plånbok.
Den 31 augusti tömde 150 adresser till den plånboken på 3 minuter och 36 sekunder. Den kopplingen visade samband mellan stölder hos AFX och stölder den 28 augusti. I september följde adresser från Bitget. Totalt fick plånboken bara 0,27 ETH.
Gemensamma plånböcker kopplar nu samman fem attacker från KelpDAO i april till Binance i oktober. BitOK menar att det pekar på samma penningtvättsoperatör, även om olika grupper kan ha utfört stölderna.
“Små restbelopp blev tydligaste spåret till hackarnas operatör i år”, säger BitOK
Signeringsnycklar är det nya attackmålet
Chainalysis hade redan kopplat Bitget-stölden till Nordkorea i oktober. BitOKs data visar nu att nordkoreanska hackare upprepar sin metod vid både börser och DeFi-protokoll.
Den svaga punkten har flyttats från smarta kontrakt till anställda, enheter och signeringstjänster. Att frysa tillgångar hjälper bara under de första minuterna, och Binance har sedan täckt de flesta användarförluster med sina egna reserver.
