سرق قراصنة كوريون شماليون ما يقدر ب 7.61 مليار دولار من العملات الرقمية عبر 38 حادثة بين يناير وأكتوبر 2026، حسبما قالت شركة الاستخبارات البلوكشين BitOK. في جميع الهجمات الستة الكبرى، اختطفوا الأشخاص والأنظمة التي توقعت على سحب البطاقات بدلا من استغلال الكود.
تم ضبط التجميد والمصادرة 2.86 مليار دولار، مما ترك 4.75 مليار دولار خارج متناول اليد. تمثل بينانس وحدها 6.41 مليار دولار من الإجمالي، بينما تبلغ 32 سرقة صغيرة ضد أفراد وشركات 178.4 مليون دولار.
لماذا لم توقف تدقيقات الشيفرة القراصنة الكوريين الشماليين
وفقا لتقرير BitOK، كل سحب في أكبر ستة هجمات كان يحمل توقيعات صحيحة أو اجتاز الفحوصات القياسية. في بينانس، كانت نقطة الدخول هي لابتوب مهندس DevOps وحاوى خدمة توقيع.
وهذا يتطابق مع النتائج السابقة حول كيفية حدوث الاختراق في أكتوبر. في أماكن أخرى، اخترق المهاجمون موقعي التوقيع المتعدد في منصة Drift، وهي منصة تداول مقرها سولانا، وجهاز تحقق جسر واحد في KelpDAO، ونظام المحفظة في Bitget.
قبل كل عملية سرقة، كان المشغلون يختبرون المسار الدقيق بمبالغ صغيرة. على سبيل المثال، عقد هجوم بينانس تم تشغيله علنا قبل أربع ساعات من السرقة.
يبدو أن الجدول يبدو كعمل مكتبي. في عينة من 540 معاملة، انخفض 48٪ من النشاط بين الساعة 4 مساء و9 مساء بتوقيت بيونغ يانغ.
حتى أن المشغلين أخذوا عطلات كوريا الشمالية الرسمية إجازة، دون تسجيل أي نشاط في تلك الأيام. شكلت أيام السبت والأحد والاثنين معا فقط 10٪ من المعاملات.
لكن بمجرد بدء الهجوم، تغير الروتين. سيطرت النصوص على الصور، واستمرت تحركات الأموال على مدار الساعة.
دقائق للتبديل، أيام للاختفاء
تقرر سبيد ما يمكن تجميده. خلال دقائق، قام قراصنة كوريون شماليون بتبديل العملات المستقرة إلى إيث أو اقتراضها مقابل ضمان مسروق، لأن لا مصدر يمكنه تجميد إيث.
بعد استغلال جسر rsETH في أبريل، غادرت أول 52,440 ETH بروتوكولات الإقراض في أكثر من ثماني دقائق بقليل. ثم بقيت الأموال خاملة لمدة 2.5 إلى 5 أيام قبل أن تدفعها السكريبتات عبر بروتوكول THORChain، وهو بروتوكول تبادل عبر السلاسل.
اتضح أن الغسيل كان رخيصا. عبر 2,257 عملية تبادل مرتبطة ببينانس بقيمة 55.8 مليون دولار، بلغت التكاليف الإجمالية 0.50٪ فقط.
لذا كانت عمليات التجميد تعمل فقط في الأماكن التي لم تتحرك فيها العملات المستقرة بعد. في بينانس، تم تجميد أو مصادرة 43٪ من الأموال المسروقة، مقارنة ب 6٪ في جميع الهجمات الكبرى الأخرى مجتمعة.
حتى هناك، كان التوقيت مؤلما. تلقت تيثر أول طلب تجميد بعد 34 دقيقة من سحب بينانس. بحلول ذلك الوقت، كانت 345 مليون وحدة USDT قد غادرت العنوان الأصلي بالفعل.
انزلاق ETH بقيمة 0.27 يربط بين 5 هجمات
أوضح أثر جاء من خطأ في التنظيف. بعد توجيه 5,047 ETH عبر Umbra، أداة خصوصية العناوين الخفية، وجسر Stargate، قام المشغل بجمع الغبار المتبقي في محفظة واحدة.
في 31 أغسطس، تم تفريغ 150 عنوانا إلى ذلك المجمع خلال 3 دقائق و36 ثانية. ربط المسح بين ال AFX وسرقات 28 أغسطس، وتبع ذلك عناوين Bitget في سبتمبر. بالمجمل، تلقت المحفظة 0.27 ETH فقط.
تربط عناوين المستوطنات المشتركة الآن بين خمسة هجمات نفذها قراصنة كوريون شماليون، من KelpDAO في أبريل إلى بينانس في أكتوبر. تقول BitOK إن هذا يشير إلى مشغل غسيل واحد، رغم أن فرقا مختلفة قد تكون نفذت الاختراقات.
"أصبحت الأرصدة المتبقية الصغيرة أوضح أثر للمشغل هذا العام،" قالت BitOK
مفاتيح التوقيع هي سطح الهجوم الجديد
كانت Chainalysis قد ربطت بالفعل سرقة Bitget بكوريا الشمالية في أكتوبر. تظهر بيانات BitOK الآن كيف يكرر القراصنة الكوريون الشماليون خطة واحدة عبر التبادلات وبروتوكولات التمويل اللامركزي.
تحول الضعف من العقود الذكية إلى الموظفين والأجهزة وخدمات التوقيع. التجميد من المصدرين يساعد فقط في الدقائق الأولى، ومنذ ذلك الحين غطت بينانس معظم خسائر المستخدمين من احتياطياتها الخاصة.
