BitOK：与朝鲜有关联的加密货币盗窃案在2026年造成76.1亿美元损失

据报告，攻击方式已从利用代码漏洞转向侵入签名系统

区块链情报公司BitOK估计，2026年1月至10月期间，朝鲜黑客在38起事件中盗取了价值76.1亿美元的加密货币。报告指出了六起重大攻击，并称这些攻击是通过控制授权提现的人员或系统得手，而非利用代码漏洞。这一区别对安全审查很重要：据报告，攻击始于智能合约逻辑之外，而标准代码审计正是为了检查智能合约逻辑。

BitOK称，有28.6亿美元被冻结或被扣押，仍有47.5亿美元无法追回。报告所列总额中，有64.1亿美元来自币安；另有针对个人和企业的32起较小规模盗窃案，损失合计1.784亿美元。这些数据表明，损失高度集中，报告所列金额中的大部分来自一家交易所。它们也显示，通过干预追回的金额未能跟上被盗金额的增长。

这些数据涵盖一个明确的时期，即2026年1月至10月，均为估算值，数据来源归于BitOK。报告的核心结论并非代码安全已无关紧要，而是仅检查代码未能阻止六起最大规模的事件。在每起事件中，提款都带有有效签名或通过了常规管控。来源没有说明BitOK如何计算总估算值，因此报告中的金额应理解为该公司的评估结果。

攻击者如何获得授权

BitOK指出，在币安事件中，攻击者从一名DevOps工程师的笔记本电脑和一个签名服务容器入手。这一说法与来源所引用的早期调查结果相符，后者涉及10月发生的事件。因此，报告将此次入侵归因于用于授权提款的工具和访问权限，而非已确认的提款代码缺陷。来源没有详细说明笔记本电脑或容器遭入侵的完整过程。

其他重大事件涉及不同的系统：基于Solana的交易平台Drift的多重签名者、KelpDAO的单一桥接验证器，以及Bitget的钱包系统。这些案例横跨交易、跨链桥和交易所基础设施，但BitOK称它们有一个共同结果：攻击者取得了有效授权，或通过了常规检查。报告提出的实际安全问题是，如果签名流程可能被接管，那么仅保护各应用程序的代码或许并不足够。

据BitOK称，每次盗窃发生前，操作者都用小额资金测试了具体路径。在币安事件中，攻击合约在盗窃发生前四小时已公开活跃。这表明行动包含一个链上可见的测试阶段，之后才进行了大额转账。此细节并不能说明当时采取了哪些监控措施，也不能确定当时是否能够识别这笔测试交易，但它说明了调查时为何需要关注小额的前置交易。

资金转移竞速与冻结措施的局限

BitOK 对 540 笔交易的抽样分析还显示，其时间安排更像工作日，而非全天持续活动：48% 的交易发生在平壤时间下午 4 点至晚上 9 点之间，报告也未记录朝鲜公共假日当天有任何活动。周六、周日和周一三天的交易总量仅占 10%。这些模式或有助于描述操作者的行为，但消息来源并未表示，仅凭时间安排就能确定是谁发起了某笔转账。

攻击一旦开始，模式就发生了变化。报告称，脚本接管了操作，资金流动全天候持续进行。相对规律的操作时间与事件发生后自动化、持续不断的资金流动之间的反差，对于追踪交易的调查人员很重要。这也意味着，最初的入侵可能很快引发不受同样明显的工作时间模式限制的活动。BitOK 未指出所使用的具体自动化工具。

BitOK 表示，速度是能否冻结资金的关键。失窃发生后的几分钟内，操作者就将稳定币兑换成 ETH，或以被盗资产作抵押借入 ETH；报告指出，发行方无法冻结 ETH。4 月 rsETH 跨链桥遭攻击后，短短八分多钟内就有 52,440 ETH 离开借贷协议。这使得针对仍有发行方可实施冻结的资产进行干预的时间窗口十分有限。

一条短小的交易链串联起多起攻击

随后，洗钱过程可能会暂停一段时间，之后资金才再次流动。rsETH 事件发生后，据称资产闲置了 2.5 至 5 天，随后脚本将其经由跨链兑换协议 THORChain 转移。BitOK 还统计了 2,257 笔与币安相关的兑换，金额合计 5,580 万美元，总成本为 0.50%。这些数据表明，在这个样本中，通过兑换转移资金的成本相对较低；但并不能据此确定每起攻击洗钱的成本。

资金追回率的差异体现了冻结措施的局限性。BitOK 称，币安被盗资金中有 43% 被冻结或扣押，而其他所有重大攻击的合计比例为 6%。即便在币安事件中，时机也至关重要：Tether 在提现后 34 分钟才收到首次冻结请求，此时已有 3.45 亿 USDT 离开原始地址。报告称，冻结措施仅对尚未转移的稳定币有效。

一次清理失误提供了另一条调查线索。一名操作人员将 5,047 ETH 经 Umbra 和 Stargate 跨链桥转移后，把剩余的零头归集到一个钱包；8 月 31 日，150 个地址在 3 分 36 秒内将资金转入该钱包。这个归集钱包只收到 0.27 ETH，但多个共用的结算地址将五起攻击联系起来，时间跨度从 4 月的 KelpDAO 事件到 10 月的 Binance 事件。BitOK 认为这是同一名洗钱操作人员所为，同时也承认这些黑客攻击可能由不同团队实施。

来源：BeInCrypto