В 2025 году северокорейские хакеры похитили криптовалюту на $2,1 млрд — это 60 процентов от всех потерь в индустрии

Новое исследование показывает, что проправительственные хакерские группировки стали главной силой в сфере криптопреступлений, отмывая миллиарды долларов через сложные кроссчейн-сети.

Согласно последнему отчету компании CertiK, специализирующейся на блокчейн-безопасности, с 2016 года северокорейские хакеры похитили криптовалюту на сумму $6,75 млрд в ходе 263 инцидентов. Таким образом, кражи, спонсируемые на государственном уровне, превратились в главную угрозу для децентрализованных финансов (DeFi).

Аналитика платформы Skynet, представленная этой Web3-компанией, наглядно демонстрирует, как группировки, связанные с КНДР, эволюционировали от рядовых злоумышленников до ведущей силы в криптопреступном мире. Только за 2025 год на их долю пришлось около 60% всех украденных средств, что составило $2,06 млрд.

Эта тенденция к доминированию сохраняется и в 2026 году: с начала года на долю хакеров из Северной Кореи приходится уже 55% от общемировых потерь в криптоиндустрии.

По словам автора отчета Тейлор Монахан, «главным вектором атак» стала социальная инженерия. Ярким примером служит апрельский взлом платформы Drift Protocol на $285 млн: северокорейские хакеры потратили полгода на внедрение в эту DeFi-систему, выдавая себя за компанию, занимающуюся алгоритмическим трейдингом.

Пожалуй, наибольшую тревогу вызывает скорость, с которой исчезают украденные средства. Хакеры используют «масштабную инфраструктуру по отмыванию денег», включая децентрализованные биржи (DEX) и кроссчейн-мосты, чтобы оперативно запутать следы. Эксперты CertiK отмечают, что в одном из крупных инцидентов 86% похищенных средств были отмыты всего за один месяц.

Результаты исследования рисуют пугающую картину: кража криптовалюты стала для Северной Кореи «основным механизмом пополнения государственной казны». Режим систематически выкачивает миллиарды из криптоэкосистемы, оставаясь при этом на шаг впереди правоохранительных органов.

Выход отчета как нельзя лучше подчеркивает актуальность угрозы, поскольку хакеры из КНДР не прекращают своих безжалостных атак на криптоинфраструктуру. Апрельский взлом Drift Protocol стал крупнейшей атакой на сектор DeFi в 2026 году, однако даже украденные тогда $285 млн меркнут на фоне рекордного взлома биржи Bybit в 2025 году. 21 февраля хакеры вывели оттуда $1,46 млрд всего за две транзакции. По данным компаний по кибербезопасности, более миллиарда долларов из средств Bybit уже отмыто через ту самую кроссчейн-инфраструктуру, о которой говорится в отчете CertiK.

Специалисты называют северокорейские криптооперации беспрецедентными по своему размаху и уровню технического исполнения. Аналитическая блокчейн-компания TRM Labs характеризует их как угрозу «промышленных масштабов», которая опирается на «киберактивность, поддержку спецслужб, незаконную финансовую инфраструктуру и партнерство с зарубежными пособниками».

Сеть по отмыванию денег, обслуживающая режим и получившая от исследователей прозвище «Китайская прачечная» (Chinese Laundromat), включает в себя теневых банкиров, внебиржевых (OTC) брокеров, операторов денежных переводов и посредников, отмывающих средства через фиктивные торговые операции.

Власти США активизировали усилия по пресечению этой деятельности путем целенаправленной конфискации активов. В июне прошлого года Министерство юстиции подало гражданский иск о конфискации криптовалюты на сумму $7,7 млн, связанной с сетями отмывания денег, организованными северокорейскими IT-специалистами. Судебные документы показали, что на один из кошельков, контролируемых Сим Хён Сопом — представителем находящегося под санкциями Банка внешней торговли КНДР, — в период с августа 2021 по март 2023 года поступило более $24 млн в криптовалюте.

Тем временем компании в сфере кибербезопасности спешно разрабатывают инструменты и методы для противодействия сложным схемам кроссчейн-отмывания. CertiK настоятельно рекомендует компаниям из группы риска внедрять строгие процедуры верификации личности (включая видеоинтервью), политику найма по принципу «нулевого доверия» (zero-trust), а также проводить «техническое укрепление» DeFi-инфраструктуры, в частности мостов и горячих кошельков.

Примечания:

1. Почему именно КНДР?

По оценкам аналитиков ООН и западных спецслужб, киберпреступность стала для Северной Кореи важным источником валютной выручки в условиях санкций. Средства могут направляться на финансирование государственных программ, включая военные и ракетные разработки.

2. Что такое кроссчейн‑отмывание?

Это перевод средств между различными блокчейнами через мосты (bridges) и децентрализованные сервисы с целью усложнить отслеживание. Часто используются:

• DEX (децентрализованные биржи),
• миксеры,
• цепочки быстрых транзакций через несколько сетей,
• OTC‑обменники.

3. Почему социальная инженерия эффективнее взлома кода?

Большинство крупных краж последних лет происходили не из‑за уязвимостей смарт‑контрактов, а из‑за:

• фишинга,
• компрометации сотрудников,
• подставных компаний,
• внедрения в команды разработчиков.

Это значительно снижает стоимость атаки и повышает её успех.

4. Рекомендации для компаний

Помимо перечисленных в статье мер, эксперты обычно советуют:

• строгую сегментацию доступа,
• обязательную многофакторную аутентификацию (MFA),
• хранение основной ликвидности в холодных кошельках,
• аудит смарт‑контрактов сторонними компаниями,
• постоянный мониторинг аномальных транзакций в реальном времени.

5. Расшифровка терминов

• Lazarus Group — именно эта хакерская группировка (наряду с Kimsuky и Andariel) является главным кибер-оружием КНДР.
• Кроссчейн-мосты (Cross-chain bridges) — сервисы, позволяющие переводить токены из одного блокчейна в другой. Хакеры обожают их, так как переход между разными сетями (например, из Ethereum в Bitcoin) сильно усложняет отслеживание украденных средств.
• OTC-брокеры (Over-the-Counter) — внебиржевые брокеры. Сделки проходят напрямую между двумя сторонами в обход публичных бирж, что позволяет злоумышленникам обменивать огромные объемы крипты на наличные анонимно.
• Zero-trust (Нулевое доверие) — концепция безопасности, при которой система по умолчанию не доверяет никому (даже своим сотрудникам), требуя постоянной верификации каждого действия. Это связано с тем, что хакеры из КНДР часто устраиваются на удаленную работу в крипто-стартапы под видом обычных программистов.