Подозреваемые в связях с КНДР хакеры переместили около $1,46 млн через протокол Jupiter Lend (JUP) и кроссчейн-мост Circle (USDC) на базе Solana (SOL). Средства были выведены с кошелька, помеченного ФБР, и прошли через 35 промежуточных адресов. Операционный директор Jupiter Lend подтвердил, что транзакции остаются полностью отслеживаемыми, однако во время перевода средства не были заморожены. Инцидент вновь обострил вопросы безопасности DeFi-платформ и кроссчейн-инфраструктуры.
По оценке Chainalysis, за последние 18 месяцев северокорейская схема с фальшивыми собеседованиями принесла злоумышленникам более $14,3 млн. Эти атаки затронули частных держателей, протоколы и DAO: потери отдельных жертв составляли от десятков тысяч до миллионов долларов. Старший аналитик Chainalysis Том Маклаут отметил, что группировки КНДР «совершенствовали и эволюционировали свою методику», что в итоге привело к крупнейшему ограблению в истории — атаке на Binance, ущерб от которой оценивается в $6,3 млрд.
По данным Chainalysis, взлом Binance начался с приглашения на собеседование, отправленного инженеру в сентябре. После двух раундов с фальшивой компанией он загрузил тестовое задание с вредоносным кодом. Менеджер Chainalysis Алек Зебрик называет такую тактику «заразными собеседованиями»: атаки нацелены на сотрудников с привилегированным доступом, чтобы использовать их учетные данные против работодателя. Microsoft ранее отслеживала аналогичную кампанию как минимум с декабря 2022 года: фальшивые рекрутеры из криптоторговых и ИИ-компаний убеждали соискателей запускать вредоносные пакеты, нацеленные на мнемонические фразы, базы KeePass и 1Password, а также криптографические ключи.
Chainalysis также сообщила о пятикратном росте за год так называемых Blockchain Dead Drops — атак, использующих блокчейн-записи для управления зараженными устройствами. Северокорейская группировка начала применять технику Etherhiding в начале 2025 года. В одной из схем команды распределялись между сетями TRON (TRX) и Aptos (APT), а полезная нагрузка размещалась на BSC (BNB); при сбое TRON использовался Aptos. Более новый метод «null receiver» встраивает команду в специально созданный адрес, который не предназначен для хранения средств, но интерпретируется зараженными машинами.
В сентябре ФБР, полиция Японии и ведомства Австралии и Германии публично связали группировку WaterPlum с кражей около $10,71 млн в криптоактивах; пострадали данные примерно 7000 криптосчетов. ФБР также приписало атаку на Binance группировке TraderTraitor, однако Пхеньян отрицает причастность. Chainalysis ожидает, что украденные средства продолжат перемещаться в ближайшие дни.
