Крупнейшая криптокража 2026 года произошла 24 сентября: атакующие скомпрометировали бэкенд кошельковой инфраструктуры Bitget, подделали данные транзакций и вывели $351,6 млн через 19 отдельных переводов. On-chain-аналитика указывает на Lazarus Group и её подразделение TraderTraitor — общая сумма похищенных Северной Кореей цифровых активов с начала года превысила $1 млрд.
Хронология и механизм атаки
Инцидент был зафиксирован 24 сентября 2026 года в 18:31 UTC, когда системы безопасности Bitget обнаружили несанкционированные переводы с ограниченного числа горячих кошельков. В течение нескольких минут была активирована процедура экстренного реагирования. По данным биржи, атака затронула 19 отдельных транзакций, охвативших часть горячей и промежуточной (warm) кошельковой инфраструктуры. Холодные кошельки — офлайн-хранилища, где сосредоточена подавляющая часть активов платформы, — остались в безопасности.
Ключевое отличие этой атаки от большинства крупных взломов криптобирж последних лет заключается в том, что злоумышленники не получили доступа к приватным ключам. Как пояснила генеральный директор Bitget Грейси Чен, атакующие скомпрометировали критически важную бэкенд-систему кошельковой инфраструктуры, использовали её для подмены данных транзакций и запустили штатный процесс авторизации биржи — исходящие переводы выглядели как легитимно одобренные операции. Чен сравнила это с ситуацией, когда злоумышленник проникает в офис, подготавливающий платёжные поручения, создаёт документы, выглядящие официально, и проводит их через ту же процедуру одобрения, которой банк пользуется ежедневно.
Затронутые активы распределены по нескольким блокчейнам: Ethereum, XRP Ledger, Avalanche, BNB Smart Chain и Arbitrum. Крупнейшая единичная потеря — XRP: по оценке Lookonchain, было похищено 102,93 млн токенов на сумму около $157,48 млн. Среди других затронутых активов — ETH, USDC, BNB и AVAX.
Атрибуция: от IP-адресов к on-chain-следам
Грейси Чен в ходе прямого эфира в X сообщила, что предварительное расследование выявило IP-адреса, связанные с VPN-сервисами, которые ранее использовались северокорейской хакерской группой. По её словам, участие КНДР «весьма вероятно», однако окончательная атрибуция пока не подтверждена. Биржа заявила, что не будет официально спекулировать о векторе атаки до завершения расследования.
Независимые блокчейн-исследователи представили более конкретные доказательства. Аналитик под псевдонимом Specter установил, что похищенные с Bitget XRP были переведены через кросс-чейн-мост и напрямую связаны с активами, украденными в ходе июльского взлома AFX Trade на сумму около $24 млн. Эта атака была атрибутирована TraderTraitor — подразделению Lazarus Group, отслеживаемому Mandiant под обозначением UNC4899.
Аналитическая компания Elliptic в пятничной публикации в блоге подтвердила сходство методов перемещения и отмывания украденных средств с предыдущими атаками, приписываемыми КНДР. Часть средств также связана с адресами, фигурировавшими в более ранних взломах, включая рекордный взлом Bybit на $1,5 млрд.
При этом часть аналитиков призывает к осторожности в атрибуции: один из комментаторов отметил, что «Lazarus» стал своего рода обобщающим термином для различных северокорейских киберопераций, а не обозначением единой идентифицируемой группы.
Финансовые последствия и фон защиты
Bitget задействовала свой Фонд защиты пользователей (User Protection Fund), объём которого на момент инцидента превышал $464 млн. Биржа заявила, что эти средства полностью покрывают оценённые потери, а балансы клиентских счетов остаются точными. Вывод средств был временно приостановлен, тогда как депозиты и торговля продолжили работу.
Биржа также запустила программу вознаграждений за возврат средств: платформы, добровольно заморозившие средства атакующих, получают 5%, и ещё 5% — в случае успешного возврата активов. Расследование ведётся совместно с Mandiant и SlowMist; уведомлены правоохранительные органы и другие криптоплатформы.
Грейси Чен в ходе стрима провела параллель с взломом Bybit: «Если Bybit смогла устоять после потери $1,5 млрд, мы определённо сможем выдержать потерю $350 млн+».
Северная Корея как системный актор крипторынка
Взлом Bitget — не изолированный инцидент, а часть устойчивой и нарастающей кампании. По данным TRM Labs, 76% всех потерь от криптовзломов в первые четыре месяца 2026 года приходятся на группы, связанные с КНДР — это $577 млн из общих потерь. Доля Северной Кореи в глобальном объёме украденных криптоактивов выросла с 22% в 2022 году до 76% в 2026-м.
Крупнейшими атаками 2026 года до Bitget были апрельские взломы KelpDAO ($292 млн) и Drift Protocol ($285 млн) — оба атрибутированы северокорейским группам. С учётом Bitget только эти три инцидента дают около $928,6 млн похищенных средств в 2026 году.
В 2025 году северокорейские хакеры установили рекорд, похитив $2,02 млрд в криптовалюте. Основной вклад внёс взлом Bybit в феврале 2025 года — около 400 000 ETH и стейкинг-ETH на сумму примерно $1,5 млрд, что стало крупнейшей единичной кражей в истории криптовалют. ФБР официально атрибутировало эту атаку Северной Корее.
По данным CertiK, с 2016 года по начало 2026 года северокорейские акторы похитили в общей сложности $6,75 млрд в ходе 263 документированных инцидентов. Только с января 2026 года зафиксировано 185 инцидентов с потерями около $1,1 млрд. TRM Labs оценивает совокупный объём краж с 2017 года в сумму свыше $6 млрд.
Методы отмывания: многоуровневая инфраструктура
Северокорейские хакерские группы используют сложную многоуровневую систему легализации украденных активов. По данным Arkham, Lazarus Group перемещает похищенные средства через сеть децентрализованных протоколов, централизованных бирж и внебиржевых брокеров, чтобы затруднить отслеживание транзакций до момента конвертации в фиат.
Ключевые инструменты отмывания включают:
- Кросс-чейн-мосты, прежде всего THORChain, для конвертации активов в биткоин;
- Децентрализованные торговые платформы, такие как Hyperliquid, через которые Lazarus Group за три недели до взлома Bitget провела более $30 млн в биткоинах, конвертировав их в ETH и Solana и переведя на централизованные биржи Kraken, LBank и KuCoin;
- Миксеры и анонимизирующие сервисы, включая Tornado Cash, для первоначального финансирования кошельков;
- Российские криптобиржи и китайские OTC-дески как конечные точки конвертации.
Отдельного внимания заслуживает использование децентрализованных финансовых протоколов в качестве инструментов отмывания: в ходе апрельского взлома Drift Protocol атакующие депонировали украденные rsETH в Aave и Compound в качестве залога, заняв под них $190 млн в «чистом» ликвидном ETH.
Что дальше
Bitget заявила, что удержание убытков подтверждено, дальнейшие несанкционированные переводы невозможны, а полный технический отчёт о причинах взлома будет опубликован после завершения расследования. Компания работает над восстановлением систем безопасности и подготовкой к возобновлению вывода средств, однако конкретные сроки не называются.
Инцидент подчёркивает фундаментальную уязвимость даже крупных централизованных платформ перед лицом государственных киберопераций. Вектор атаки — компрометация бэкенда с подменой данных, а не кража приватных ключей — указывает на смещение тактик Lazarus Group в сторону эксплуатации доверенных внутренних процессов, а не прямого взлома криптографических механизмов. До тех пор пока сохраняется асимметрия между ресурсами государственных хакерских подразделений и возможностями частных криптоплатформ по защите инфраструктуры, риск повторения подобных инцидентов остаётся высоким.