Tin tặc Triều Tiên đã đánh cắp $7.61B tiền điện tử bằng cách nhắm vào hệ thống ký số

Từ tháng 1 đến tháng 10 năm 2026, các đặc vụ Triều Tiên đã rút trộm khoảng $7.61 tỷ tài sản kỹ thuật số thông qua 38 sự cố riêng biệt, theo hãng tình báo blockchain BitOK. Thay vì khai thác lỗ hổng phần mềm, sáu vụ xâm nhập lớn nhất liên quan đến việc chiếm quyền kiểm soát các cá nhân và cơ sở hạ tầng chịu trách nhiệm ủy quyền rút tiền.

Các lệnh đóng băng và tịch thu tài sản đã thu hồi được $2.86 tỷ, để lại $4.75 tỷ không thể tiếp cận được bởi các nhà chức trách. Binance chiếm $6.41 tỷ trong con số tổng thể, trong khi 32 vụ trộm nhỏ hơn nhắm vào cá nhân và công ty tổng cộng $178.4 triệu.

Tại Sao Việc Kiểm Tra Mã Không Ngăn Được Tin Tặc Triều Tiên

Báo cáo của BitOK lưu ý rằng mọi giao dịch rút tiền trong sáu sự cố lớn nhất đều mang chữ ký hợp lệ hoặc vượt qua các kiểm tra xác thực tiêu chuẩn. Tại Binance, vụ xâm nhập bắt nguồn từ máy tính xách tay của một kỹ sư DevOps và một container được sử dụng cho các dịch vụ ký số.

Phát hiện đó phù hợp với những hiểu biết trước đó về cách vụ tấn công xảy ra vào tháng 10. Trong các trường hợp khác, những kẻ tấn công đã xâm phạm những người ký đa chữ ký tại Drift, một nền tảng giao dịch dựa trên Solana, một trình xác thực đơn lẻ tại cầu nối của KelpDAO, và hệ thống ví tại Bitget.

Trước mỗi vụ cướp, các tác nhân đã thử nghiệm phương pháp chính xác bằng cách sử dụng số tiền nhỏ. Ví dụ, hợp đồng tấn công Binance đã hoạt động công khai bốn giờ trước khi vụ trộm xảy ra.

Thời gian của các hoạt động cho thấy một ngày làm việc bình thường. Trong một mẫu gồm 540 giao dịch, 48% diễn ra từ 4 giờ chiều đến 9 giờ tối theo giờ Bình Nhưỡng.

Những người vận hành cũng nghỉ vào các ngày lễ của Triều Tiên, không có giao dịch nào được ghi nhận vào những ngày đó. Hoạt động vào Thứ Bảy, Chủ Nhật và Thứ Hai kết hợp chỉ chiếm 10% tổng số giao dịch.

Tuy nhiên, một khi cuộc tấn công bắt đầu, mô hình đã thay đổi. Các tập lệnh tự động đã tiếp quản, và các giao dịch chuyển tiền tiếp diễn suốt ngày đêm.

Phút Để Hoán Đổi, Ngày Để Biến Mất

Tốc độ quyết định thứ vẫn có thể bị đóng băng. Trong vòng vài phút, tin tặc Triều Tiên đã chuyển đổi stablecoin thành ETH hoặc vay ETH bằng tài sản thế chấp bị đánh cắp, vì không có tổ chức phát hành nào có thể đóng băng ETH.

Sau vụ khai thác cầu rsETH tháng 4, 52,440 ETH đầu tiên đã rời khỏi các giao thức cho vay trong hơn tám phút. Số tiền đó sau đó không hoạt động trong 2.5 đến 5 ngày trước khi các tập lệnh chuyển chúng qua THORChain, một giao thức hoán đổi xuyên chuỗi.

Việc rửa tiền tỏ ra không tốn kém. Trên 2,257 giao dịch hoán đổi liên quan đến Binance với tổng trị giá $55.8 triệu, tổng chi phí chỉ đạt 0.50%.

Các lệnh đóng băng chỉ có hiệu quả khi stablecoin chưa được chuyển đi. Tại Binance, 43% tài sản bị đánh cắp đã bị đóng băng hoặc tịch thu, so với 6% trên tổng số tất cả các cuộc tấn công lớn khác cộng lại.

Ngay cả tại Binance, thời điểm cũng tạo ra vấn đề. Tether đã nhận được yêu cầu đóng băng đầu tiên 34 phút sau khi giao dịch rút tiền từ Binance. Vào thời điểm đó, 345 triệu USDT đã rời khỏi địa chỉ ban đầu.

Một Khoản Sai Sót 0.27 ETH Kết Nối 5 Cuộc Tấn Công

Mối liên kết mạnh nhất đến từ một sai sót trong quá trình dọn dẹp. Sau khi chuyển 5,047 ETH qua Umbra, một công cụ bảo mật địa chỉ ẩn danh, và cầu Stargate, người vận hành đã chuyển số dư còn lại vào một ví.

Vào ngày 31 tháng 8, 150 địa chỉ đã được dồn vào bộ thu thập đó trong vòng 3 phút 36 giây. Đợt quét đó đã kết nối các vụ trộm AFX và ngày 28 tháng 8, và các địa chỉ Bitget sau đó vào tháng 9. Tổng cộng, ví chỉ nhận được 0.27 ETH.

Các địa chỉ thanh toán dùng chung hiện liên kết năm cuộc tấn công của tin tặc Triều Tiên, từ KelpDAO vào tháng 4 đến Binance vào tháng 10. BitOK cho biết điều này cho thấy một người vận hành rửa tiền duy nhất, mặc dù các nhóm khác nhau có thể đã thực hiện các vụ tấn công.

“Số dư dư thừa nhỏ trở thành dấu vết rõ ràng nhất của người vận hành trong năm,” BitOK cho biết

Khóa Ký Số Là Bề Mặt Tấn Công Mới

Chainalysis trước đó đã liên kết vụ trộm Bitget với Triều Tiên vào tháng 10. Dữ liệu của BitOK hiện tiết lộ cách tin tặc Triều Tiên lặp lại một kịch bản duy nhất trên các sàn giao dịch và giao thức DeFi.

Lỗ hổng đã chuyển từ hợp đồng thông minh sang nhân viên, thiết bị và dịch vụ ký số. Việc đóng băng từ tổ chức phát hành chỉ có tác dụng trong những phút đầu tiên và Binance đã bù đắp hầu hết tổn thất của người dùng từ quỹ dự trữ của mình.