朝鲜黑客通过攻击签名系统窃取76.1亿美元加密货币

2026年1月至10月期间，朝鲜黑客通过38起独立事件窃取了约76.1亿美元的数字资产，据区块链情报公司BitOK称。与利用软件漏洞不同，六起最大的入侵事件涉及控制负责授权提取的个人和基础设施。

冻结和资产扣押收回了28.6亿美元，使得当局无法追回47.5亿美元。Binance占整体数字的64.1亿美元，而针对个人和公司的32起较小规模盗窃总计1.784亿美元。

为何代码审计未能阻止朝鲜黑客

BitOK报告指出，六起最大事件中的每一笔提款都带有合法签名或通过了标准验证检查。在Binance事件中，入侵源自一名DevOps工程师的笔记本电脑和一个用于签名服务的容器。

该发现与早先对黑客攻击如何发生的洞察一致（该攻击发生在10月）。在其他案例中，攻击者入侵了Drift（一个基于Solana的交易平台）的多重签名签署者、KelpDAO桥的一个验证者以及Bitget的钱包系统。

在每次盗窃之前，行动者都使用小额资金测试了确切的方法。例如，Binance攻击合约在盗窃发生前四小时就公开运行。

活动时间显示为标准工作日。在540笔交易样本中，48%发生在平壤时间下午4点到9点之间。

操作员还在朝鲜公共节假日休息，那些天没有交易记录。周六、周日和周一的活动合计仅占所有交易的10%。

然而，一旦攻击开始，模式就改变了。自动化脚本接管，资金转移全天候进行。

数分钟兑换，数天消失

速度决定了什么还能被冻结。几分钟内，朝鲜黑客就将稳定币兑换成ETH或用被盗抵押品借入ETH，因为没有发行者可以冻结ETH。

在4月份的rsETH桥漏洞之后，最初的52,440 ETH在八分钟多一点的时间里离开了借贷协议。这些资金随后在2.5至5天内保持不动，之后脚本将其通过THORChain（一种跨链交换协议）转移。

洗钱证明成本低廉。在2,257笔与Binance相关的交换中，总额为5580万美元，综合费用仅为0.50%。

冻结仅在稳定币尚未被转移时才有效。在Binance，43%的被盗资产被冻结或扣押，而所有其他重大攻击合计仅为6%。

即使在Binance，时机也造成了问题。Tether在Binance提现后34分钟收到了第一次冻结请求。到那时，3.45亿USDT已经离开了原始地址。

0.27 ETH 的疏忽将5起攻击联系在一起

最紧密的联系来自一次清理失误。在通过Umbra（一个隐形地址隐私工具）和Stargate桥转移了5,047 ETH后，操作员将剩余的零碎资产转入了一个钱包。

8月31日，150个地址在3分36秒内向该收集地址转入全部资金。这次清理将AFX和8月28日的盗窃联系起来，9月又加入了Bitget的地址。该钱包总共只收到了0.27 ETH。

共享的结算地址现在将朝鲜黑客的五次攻击联系起来，从4月的KelpDAO到10月的Binance。BitOK表示，这表明存在一个洗钱操作者，尽管攻击可能由不同团队执行。

“微小的剩余余额成为了操作者当年最清晰的线索，”BitOK表示。

签名密钥成为新的攻击面

Chainalysis在10月份已经将Bitget盗窃与朝鲜联系起来。BitOK的数据现在揭示了朝鲜黑客如何在不同交易所和DeFi协议之间重复单一操作模式。

漏洞已经从智能合约转移到员工、设备和签名服务。发行方冻结仅在头几分钟内有效，Binance此后已用自己的储备覆盖了大部分用户损失。