Хакеры из КНДР за 2026 год уже украли криптовалюты на $1,2 млрд

Криптобиржа Bitget 24 сентября лишилась цифровых активов примерно на $357 млн, и аналитики Elliptic с высокой вероятностью связывают взлом с хакерами КНДР. С этой кражей общий улов северокорейских группировок за 2026 год достиг около $1,2 млрд. Биржа заявила, что потери пользователей будут покрыты из собственного резерва.

Bitget заметила несанкционированные операции с собственными кошельками и после инцидента временно остановила вывод средств. Что известно на текущий момент:

• атака произошла 24 сентября;
• ущерб составил около $357 млн;
• холодное хранилище осталось нетронутым, по информации биржи;
• технические детали расследуют Mandiant и SlowMist.

Украденные токены хакеры быстро свапали на другие активы и гоняли между блокчейнами, превращая маршрут в квест для расследователей. Вместо мешка с наличными у них десятки адресов, обменов и сетей, а аналитикам приходится склеивать цепочку переводов по кусочкам, как пазл, у которого потеряли крышку от коробки. Схема «свапнул, отбриджил, растворился» отрабатывается за минуты, а разбирать её потом приходится неделями.

Аналитики Elliptic нашли знакомый почерк и в способе вывода средств, и в попытках запутать их происхождение. Сходство с прошлыми операциями северокорейских кибергрупп проявилось сразу по нескольким признакам, поэтому версия про КНДР у исследователей в приоритете.

Интересно, что часть похищенных средств пересеклась с инфраструктурой, которая использовалась после взлома Bybit в 2025 году, когда хакеры унесли около $1,5 млрд.

Исследователи Elliptic заявили, что характер перемещения средств и совпадения в блокчейн-инфраструктуре указывают на группировку, известную специалистам по отслеживанию угроз как TraderTraitor. Расследование продолжается, поэтому финальная атрибуция ещё может поменяться.

Северокорейские хакеры годами превращают крипторынок в источник дохода для государства, живущего под международными санкциями. По данным Elliptic, цифры на сегодня следующие:

• около $1,2 млрд похищено за 2026 год с учётом Bitget;
• более 50 инцидентов с предполагаемым северокорейским следом за тот же период;
• с 2017 года общая сумма краж исчисляется несколькими млрд долларов.

Глава Bitget Грейси Чэнь сообщила, что украденная сумма полностью укладывается в резерв защиты пользователей на $464 млн, а характер атаки совпадает с приёмами группировок из КНДР. Для самой биржи главный вопрос сейчас не в цифре $357 млн, а в том, как злоумышленники получили возможность инициировать переводы из кошельков. Точка входа злоумышленников пока не установлена, а до итогов расследования комьюнити остаётся гадать на блокчейне.

Если северокорейское происхождение атаки подтвердится, Bitget пополнит длинный список площадок, которые превратились для Пхеньяна в банкомат с бесплатной доставкой. Схема давно не ограничена одним трюком, это целая инфраструктура по краже, обмену и отмыванию активов, которую группировки обкатывают на разных биржах и постепенно шлифуют.

Россияне, которые держат активы на зарубежных биржах и торгуют через P2P, рискуют получить монеты с грязным следом, а при попадании токенов из северокорейских цепочек в сделку площадка может заморозить аккаунт и запросить подтверждение происхождения средств. Для владельца аккаунта это заканчивается заморозкой вывода на неопределённый срок и перепиской с саппортом на английском. Держателям крипты на биржах стоит сделать минимум следующее:

• вывести долгосрочные активы на аппаратный кошелёк;
• активировать белый список адресов вывода и 2FA через приложение, а не через SMS;
• проверять адреса и репутацию контрагентов в P2P до завершения сделки;
• держать на одной площадке только рабочий остаток.

Отмечается, что искусственный интеллект постепенно помогает преступникам готовить атаки, автоматизировать отдельные операции и искать слабые места в защите.

Криптобиржи остаются лакомой целью, потому что на их инфраструктуре одновременно лежат огромные объёмы цифровых активов, которые после проникновения можно за минуты отправить по всему миру. Добавьте к этому доступные ИИ-инструменты для атак, и получится токсичный коктейль для любой площадки. За последние месяцы крупные платформы пережили несколько серьёзных атак.

После громких взломов обычно растёт волна фишинга, и русскоязычные пользователи Bitget рискуют получить фейковые «компенсации» и «обновления безопасности» от имени биржи в мессенджерах и почте. Банальный совет остаётся рабочим — заходить на биржу только по сохранённой закладке и проверять адрес сайта перед вводом пароля. К признакам обмана относятся:

• просьбы ввести seed-фразу ради «компенсации»;
• ссылки на «новую версию приложения» вне официальных магазинов;
• срочные просьбы подтвердить вывод в чате «поддержки»;
• домены, отличающиеся от официального на 1 символ.

Эксперты CISOCLUB заявили, что главный урок взлома Bitget лежит в плоскости операционной безопасности, а не в дырах отдельного протокола, ведь злоумышленникам достаточно 1 раз получить возможность инициировать переводы. Централизованная площадка остаётся единой точкой отказа, где ошибка в управлении ключами, доступами или подписями превращается в потерю сотен млн долларов за считаные часы. Резерв защиты пользователей на $464 млн спасает репутацию, но не отменяет вопросов к архитектуре хранения, разграничению прав администраторов и мониторингу аномальных выводов.

Северокорейские группировки работают как отлаженный конвейер с готовой схемой отмыва, поэтому задача биржи состоит в том, чтобы не допустить сам вывод, а не гоняться за токенами по блокчейнам после факта. Лимиты на вывод, задержки для крупных транзакций и многосторонние подтверждения обходятся дешевле любого расследования. Пользователям стоит держать на биржах только рабочий остаток и не путать громкое заявление о покрытии убытков с гарантией сохранности активов.

Ранее сообщалось, что с января по июнь 2026 года группировки, связываемые с КНДР, похитили у криптоплатформ около $643 млн, что составляет примерно две трети от общего объёма украденных за этот период цифровых активов. Такие данные приводит компания TRM Labs. Это затрагивает и российских пользователей криптосервисов, поскольку часть из них хранит активы на пострадавших площадках либо взаимодействует с ними через блокчейн-мосты. Общий ущерб криптоиндустрии за первые шесть месяцев 2026 года составил около $972 млн против $2,3 млрд годом ранее. При этом число успешных атак достигло рекордных 207 случаев, тогда как объём похищенных средств сократился более чем вдвое: крупных взломов стало меньше, а количество менее масштабных инцидентов увеличилось.