Północna Korea wykrada ponad 500 mln dolarów z DeFi w ciągu trzech tygodni

W niecałe trzy tygodnie cyberprzestępcy powiązani z Koreańską Republiką Ludowo-Demokratyczną (KRL-D) wykradli ponad 500 milionów dolarów z platform zdecentralizowanych finansów (DeFi). To gwałtowna eskalacja działań reżimu Kim Dzong Una, który finansuje swoje programy zbrojeniowe poprzez kradzieże kryptowalut. Według najnowszych danych, straty Korei Północnej sięgnęły już ponad 700 milionów dolarów w 2026 roku.

Największe straty odnotowano w dwóch atakach na protokoły Drift Protocol i KelpDAO. 1 kwietnia hakerzy zaatakowali zdecentralizowaną giełdę kontraktów terminowych na Solanie, wyprowadzając z niej około 286 milionów dolarów. Zaledwie dwa tygodnie później, 18 kwietnia, doszło do ataku na KelpDAO, w wyniku którego skradziono kolejne 290 milionów dolarów. Według firmy LayerZero, odpowiedzialnością za ten atak obarcza się grupę TraderTraitor, powiązaną z północnokoreańską organizacją Lazarus Group.

Eksperci z firmy Elliptic potwierdzili, że metody prania pieniędzy oraz wzorce transakcji są identyczne z wcześniejszymi atakami przypisywanymi KRL-D. To już 18. taki incydent w tym roku. Cyvers, firma specjalizująca się w bezpieczeństwie blockchain, podkreśla, że hakerzy powiązani z Koreą Północną coraz częściej stosują zaawansowane techniki, aby ominąć zabezpieczenia.

Ataki na infrastrukturę zewnętrzną

Analiza metod użytych w kwietniowych atakach ujawnia, że hakerzy niecelują bezpośrednio w rdzenne kontrakty smart, lecz atakują infrastrukturę zewnętrzną. W przypadku KelpDAO, napastnicy przejęli kontrolę nad zdalnymi wywołaniami procedur (RPC), które są kluczowe dla działania sieci LayerZero Labs Decentralized Verifier Network (DVN).

Przez manipulację tymi kanałami danych, hakerzy byli w stanie wpłynąć na działanie protokołu bez konieczności naruszania jego rdzennej kryptografii. Choć LayerZero zablokowało zagrożone węzły i przywróciło pełną funkcjonalność DVN, straty finansowe zostały już wyrządzone. Takie podejście świadczy o ewolucji w cyberwojnie, gdzie atakujący coraz częściej szukają najsłabszego ogniwa w systemie.

Infiltracja branży kryptowalutowej

Ostatnie incydenty, takie jak kompromitacja pakietu Axios w npm, który został powiązany z północnokoreańską grupą zagrożeń UNC1069, pokazują, że reżim Kim Dzong Una systematycznie infiltruje branżę kryptowalutową. Według badaczy z Google, atak ten miał na celu zanieczyszczenie łańcucha dostaw oprogramowania jeszcze przed jego wdrożeniem w ekosystemie blockchain.

„Obserwujemy, jak hakerzy powiązani z Koreą Północną coraz częściej celują w zewnętrzne dostawców usług, zamiast w same protokoły. To strategia typowa dla klasycznego cyberwywiadu, która znacznie utrudnia wykrycie zagrożeń.”
– przedstawiciel firmy Cyvers

Eksperci ostrzegają, że zagrożenie wciąż rośnie. Rosnące nakłady na przygotowanie i przeprowadzenie ataków, a także coraz bardziej wyrafinowane metody, sprawiają, że kolejne udane włamania są coraz bardziej prawdopodobne. Dla reżimu Kim Dzong Una kradzieże kryptowalut pozostają kluczowym źródłem finansowania jego militarnych ambicji.