По данным Chainalysis, хакеры, связанные с Северной Кореей, украли более 1 млрд долларов в криптовалюте в этом году. Взлом Bitget на сумму 387,5 млн долларов вывел общую сумму за эту отметку, в то время как общие потери от взломов DeFi продолжают снижаться, поскольку кражи консолидировались в рамках одной государственной операции.
Украденные в Северной Корее криптовалюты превысили 1 млрд долларов. Крипто-сообщество приветствует.
Ключевые моменты
- По данным Chainalysis, хакеры, связанные с Северной Кореей, похитили более $1 млрд в криптовалюте в 2026 году после кражи свыше $2 млрд в 2025 году.
- Взлом Bitget 24 сентября, на сумму 387,5 млн долларов, крупнейший за год, увеличил совокупный итог, превысив отметку.
- Общие убытки от взломов в DeFi на самом деле снижаются. «Хорошая новость» скрывает консолидацию краж в одной государственной, промышленной операции.
- Вектор атаки сместился с кода на людей: взлом протокола Drift включал шесть месяцев проникновения вживую, а не уязвимость смарт-контракта.
- THORChain отказался блокировать украденные средства Bitget, в то время как NEAR Intents заблокировали $50 млн, разделив DeFi на два несовместимых будущего.
По данным Chainalysis, хакеры из Северной Кореи украли в этом году более $1 млрд криптовалюты. Сумма, которая вывела их за эту черту, — $387,5 млн, выведенные с биржи Bitget 24 сентября, крупнейший единовременный взлом 2026 года. Однако в ту же неделю значительная часть индустрии тихо хвалила себя за успехи, потому что общие потери от взломов в DeFi снизились.
Оба факта верны. В этом и проблема.
Более широкая картина: любительская эпоха крипто закончилась
Заголовок «потери от взломов снизились» реален, но вводит в заблуждение. В первом квартале 2026 года протоколы DeFi потеряли около $168 млн в результате взломов, что примерно на 90% меньше, чем $1,58 млрд, украденных в первом квартале 2025 года, в который вошел рекордный взлом Bybit на $1,4 млрд. Если читать это наивно, может показаться, что крипто наконец наладило свою безопасность.
На самом деле ситуация выглядит менее благожелательно. Атаки «скрипт-кидди» и одиночек, которые раньше увеличивали годовую статистику, баги протоколов кредитования на $150 000, уязвимости логики ценообразования на $80 000 — всё это в значительной степени иссякло. Им на смену пришла одна государственная операция, которая надёжно извлекает девятизначные суммы за раз. Кражи не сократились. Они консолидировались.
Северная Корея рассматривает кражи криптовалют как статью государственных доходов. ООН неоднократно оценивала, что украденные криптовалютные средства финансируют значительную часть программ Пхеньяна по разработке оружия. Это не банда преступников, которым случайно удалось освоить Solidity. Это национальная промышленная политика, реализуемая через такие подразделения, как Lazarus и TraderTraitor, с системой рекрутинга, учебной программой и логистической цепочкой для отмывания денег, которая могла бы поставить в тупик большинство легальных финансовых институтов.
Подумайте о том, что на самом деле означает «индустриализация» в данном контексте. Атака на протокол Drift в апреле не была взломом; это была операция. Атакующие потратили примерно шесть месяцев, выдавая себя за количественную торговую фирму, посещая конференции, заводя личные знакомства с участниками проекта и даже внося $1 млн собственного капитала в хранилище проекта, чтобы завоевать доверие. Затем они злоупотребили механизмом долговечного nonce в Solana, чтобы захватить административные права Совета по безопасности. Смарт-контракты выдержали. Люди — нет.
Почему Северная Корея побеждает, когда количество взломов «снижается»?
Ответ заключается в том, что индустрия оптимизировалась против неверного противника. Десятилетие криптоиндустрия вкладывала деньги в аудиты кода, программы вознаграждения за уязвимости и формальную верификацию, и эта работа в значительной степени увенчалась успехом. Эксплуатация хорошо проверенного смарт-контракта сегодня действительно сложна. Поэтому противник сменил цели.
Чарльз Гийоме, технический директор Ledger, после атаки на Drift чётко обозначил связь между её методом и хищением на Bybit: долгосрочное проникновение в круг людей, владеющих ключами, а затем убеждение их одобрить вредоносные транзакции. Поверхность атаки сместилась вверх по стеку — от кода к людям, которые им управляют. Криптоиндустрия потратила десять лет на укрепление своих контрактов и забыла, что самым слабым звеном по-прежнему остаётся человек.
В отличие от взлома Bitget, злоумышленники использовали уязвимость стороннего программного обеспечения для кражи внутренних учетных данных, что является риском для вендоров, а не ошибкой в протоколе. Mandiant и SlowMist все еще разбираются в точных деталях. Но паттерн остается неизменным: это атаки на цепочку поставок и социальная инженерия, направленные на операционный персонал — тот самый уровень, который ни один аудитор никогда не одобряет.
Эффект Ripple: Противоречие THORChain
История внутри истории — это то, что произошло с деньгами после Bitget. В течение трех часов злоумышленники распределили $387,5 млн по четырем сетям: 49,7% — в Ethereum, 40,8% — в XRP Ledger, 7,6% — в Zcash, 1,8% — в Tron. Затем они совершили действие, ставшее визитной карточкой Lazarus: они прогнали XRP через THORChain, конвертировав более 90% в нативный Bitcoin, ни разу не задев централизованную биржу, которая могла бы их заморозить.
Генеральный директор Bitget Грейси Чен публично попросила THORChain заблокировать адреса, помеченные как подозрительные. «Децентрализация — это принцип проектирования, а не щит для содействия перемещению заведомо похищенных средств», — написала она. THORChain отказался, утверждая, что он «беспрепятственный, как Bitcoin, Ethereum и BNB Chain», и задался вопросом, какую ответственность несут базовые слои за перемещение похищенных средств через них.
Ответ напрашивается сам собой. Когда в мае сам THORChain был обокраден на $10,7 млн, сеть остановилась в течение нескольких часов и оставалась офлайн в течение пяти недель. Когда в январе 2025 года ThorFi оказался на грани краха, его ноды проголосовали ночью за заморозку выводов средств. Как выразился основатель OKX Стар Сю: сеть, которая останавливается, когда под угрозой находятся ее собственные средства, но отказывается останавливаться, когда под угрозой находятся чужие средства, не «похожа на Bitcoin». Она делает выбор.
Вот развилка, которая имеет значение для всей экосистемы. NEAR Intents сделали противоположное THORChain: их автоматизированная система SHIELD заблокировала около $50 млн в обменах, связанных с Bitget, и даже отклонила вознаграждение в 5%, предложенное Bitget. Bitget поблагодарила их. Пуристы децентрализации атаковали их за недостаточную беспрепятственность. Два протокола, два несовместимых ответа на один и тот же вопрос, и каждый проект DeFi теперь должен выбрать сторону, говорит он об этом или нет.
Исторический контекст: Руководство Bybit, отточенное
Ничего из этого не ново; оно просто стало острее. В феврале 2025 года Lazarus похитил $1,46 млрд у Bybit и отмыл около $1,2 млрд через THORChain, спустя одиннадцать дней после того, как THORChain отозвал свой административный ключ. Им воспользовался вор с Coldcard. Им воспользовался вор с Bitget. THORChain стал для крипто-отмывания тем же, чем Tornado Cash был для микшеров: сооснователь Tornado Cash был осужден за работу в качестве незарегистрированного денежного переводчика, тогда как THORChain работает открыто с токеном высшего уровня.
Разница между тогда и сейчас — в масштабе и постоянстве. Годовой объем в $1 млрд раньше был аномалией, вызванной одним катастрофическим взломом. Теперь это базовый уровень, и год еще не закончился. Северная Корея превратила крупномасштабные кражи в повторяемую операцию с ежеквартальной периодичностью — нечто, наиболее близкое к крипто-рынку подписки на враждебные доходы.
Взгляд в будущее: куда это движется в течение 1–3 лет
Отсюда ускоряются три тенденции.
Во-первых, узкое место перемещается к офф-рампам. Если протокольный уровень не будет цензурировать, регуляторы будут оказывать давление на биржи, OTC-платформы и банки, которые контактируют с конвертированным биткоином. Реестр биткоина остается прозрачным даже после конвертации, поэтому правоприменение концентрируется там, где средства выводятся в фиат, — именно там, где следователи всегда добивались наибольших успехов.
Во-вторых, разделение NEAR и THORChain становится регуляторной границей. Фреймворк FAT по DeFi на 2026 год уже указывает, что смарт-контракты не подпадают под его правила, но идентифицируемые лица, обладающие «достаточным влиянием» на протокол, могут подпадать. Собственный май-халт THORChain доказывает, что такое влияние есть. Это уже не юридический вопрос, а вопрос расписания.
В-третьих, нарратив о «снижающемся количестве взломов» быстро устареет. Одно хорошо выверенное по времени событие всё ещё может сделать 2026 год рекордным, поскольку противник теперь проводит повторяемую операцию, а не серию удачных эксплойтов. Хвостовые риски стали толще, даже когда среднее значение сократилось.
Угол зрения трейдера: дело не в цене, а в площадке и активе
Это не история о цене, это история о контрагентном риске. Инцидент на Bitget — это чистый естественный эксперимент, показывающий, что замораживается, а что нет. Circle и Tether заморозили кошельки, помеченные как атакующие, в течение нескольких дней, но общая сумма составила около $318,000, или 0,08% от добытого. Оставшиеся 88% находились в спящем режиме в ETH, XRP и Zcash, ни один из которых централизованный эмитент не может заморозить. Атакующие точно знают, какие активы не поддаются цензуре, и распределяют средства соответственно.
Практический вывод скучен и полезен: относитесь к хабам ликвидности между цепочками, монетам конфиденциальности и хранению в горячих кошельках как к переменным риска, которые могут быть ограничены регулированием или атакованы государственным актором, а не просто как к нейтральной инфраструктуре. Диверсифицируйте по площадкам. Понимайте, что комплаенс-позиция площадки или её отсутствие — это теперь существенный фактор вашей экспозиции, независимо от того, отмываете ли вы что-то или нет.
Закрытие
Вот вопрос, на который криптоиндустрия упорно отказывается отвечать. Если санкционное государство, обладающее ядерным оружием, использует ваш «разрешительный» протокол в качестве основного канала для отмывания денег, а ваш протокол демонстрирует способность останавливать транзакции, когда под угрозой оказываются его собственные средства, сколько времени потребуется, чтобы «мы не можем» перестало быть философией дизайна и начало восприниматься как выбор?
Индустрия потратила десятилетие на споры о том, что код — это закон. Северная Корея только что доказала, что у закона есть лазейка. И эта лазейка — мы.
Часто задаваемые вопросы
Сколько криптовалюты Северная Корея похитила в 2026 году? Более $1 млрд, согласно Chainalysis, после примерно $2 млрд в 2025 году. Взлом Bitget на $387,5 млн в сентябре стал единственным инцидентом, который вывел общий объем похищенного в 2026 году за эту отметку.
Почему общие потери от взломов падают, пока кражи Северной Кореи растут? Потери от эксплойтов DeFi упали примерно на 90% в годовом исчислении в Q1 2026 года, потому что мелкие, любительские взломы снизились. Кражи не прекратились, они консолидировались в одну государственную операцию, выполняющую меньше, но гораздо более крупные атаки.
Почему THORChain отказался блокировать средства Bitget? Он утверждает, что является безразрешительным, как Bitcoin или Ethereum, и не может цензурировать отдельные адреса. Критики указывают, что он остановил собственную сеть в течение нескольких часов после эксплойта на $10,7 млн в мае и заморозил свой кредитный продукт в январе 2025 года.
Как взлом Drift произошел без ошибки в коде? Атакующие потратили около шести месяцев на социальную инженерию участников, выдавая себя за квантовую фирму, встречаясь лично, внося депозит в размере 1 миллиона долларов, а затем использовали долговременные nonce в Solana, чтобы захватить административные права Совета по безопасности. Код выдержал; люди — нет.
В чем разница между NEAR Intents и THORChain в данном случае? Система SHIELD от NEAR Intents заблокировала около 50 миллионов долларов в обменах, связанных с Bitget, и отклонила вознаграждение в размере 5%. THORChain вообще отказался действовать. Эти два ответа представляют две взаимоисключающие будущие для децентрализованных финансов.