Північна Корея заарештувала хакерів за відмивання коштів банків через крипту

Розвідка Північної Кореї заарештувала групу колишніх військових хакерів. Слідство підозрює їх у крадіжці коштів двох державних банків і подальшому відмиванні здобичі через криптовалюту. Цього разу жертвою північнокорейської кібератаки стала сама держава, яка десятиліттями заробляла на подібних схемах за кордоном. Історія виглядає майже іронічно. Інструмент, який Пхеньян роками використовував проти чужих бірж, обернувся проти власної банківської системи.

Що саме сталося?

За інформацією південнокорейського видання Daily NK, Розвідувальне управління КНДР затримало підозрюваних 12 липня в конспіративній квартирі в Пхеньяні. Видання роками пише про внутрішні справи країни завдяки мережі джерел і контактів на прикордонних територіях, тому подібним репортажам зазвичай довіряють, попри неможливість офіційного підтвердження з боку самої КНДР. За версією слідства, затримані раніше служили в кіберпідрозділах армії і мали доступ до систем валютних платежів двох держбанків. Слідчих насторожили розбіжності у затверджених валютних операціях. Додатковим сигналом стала підозріла активність IP-адрес, які виходили за межі країни, хоча зловмисники намагалися замаскувати справжнє місцезнаходження через проксі та орендовані сервери.

Як працювала схема відмивання?

Вкрадені кошти перетворювали на криптовалюту, а далі гроші виводили через посередників у Китаї. Ці брокери обмінювали активи на долари та юані просто на місці, без участі великих бірж і без зайвих запитань. Одним великим траншем нічого не переказували, аби не привертати уваги банківського моніторингу. Схема трималася на кількох відносно простих прийомах, які вже добре відомі спеціалістам з фінансової безпеки і застосовуються злочинними групами по всьому світу, а не лише державними хакерами.

• Дроблення переказів: суму розбивали на дрібні транзакції, щоб оминути автоматичні тригери контролю в банках і на біржах.
• Контакти в прикордонних містах Сінисиджу та Хесан обмінювали крипту на готівку в реальному часі, без затримок і паперового сліду.
• Учасники групи спілкувалися через зашифровані месенджери і користувалися незареєстрованими телефонами.
• Для виходу в мережу застосовували китайське бездротове обладнання, яке значно важче відстежити до конкретної особи чи адреси.

Видання не розкриває свої джерела всередині країни, тому незалежно підтвердити ці подробиці поки не можна. Опис маршруту відмивання все ж збігається з тим, як роками діють північнокорейські хакерські угруповання під час виведення вкраденої криптовалюти за кордон, і саме ця схожість надає репортажу додаткової правдоподібності в очах аналітиків, які стежать за подібними справами.

Навіщо Пхеньяну потрібні крипто-крадіжки?

Північна Корея перебуває під міжнародними санкціями вже понад десятиліття, і звичайні канали фінансування для режиму фактично закриті. Після серії ядерних випробувань Рада Безпеки ООН послідовно посилювала обмеження, і заборони торкнулися експорту вугілля, текстилю і навіть найманої робочої сили за кордоном. Країна опинилася у ситуації, коли традиційна торгівля майже не приносить валюти, тож довелося шукати нові джерела доходу. За оцінками аналітиків ООН, які роками стежать за порушеннями санкцій, крадіжки криптовалюти стали одним із головних джерел фінансування ядерної та ракетної програм країни.

Хакерські підрозділи, підпорядковані військовій розвідці, працюють практично як окрема галузь економіки з власним бюджетом і показниками ефективності. Найвідоміші з них, наприклад Lazarus Group і Bluenoroff, десятиліттями атакують банки, біржі та DeFi-протоколи по всьому світу, приносячи режиму сотні мільйонів доларів щороку. У такій системі навіть внутрішнє розслідування корупції серед власних кіберфахівців виглядає логічним продовженням тієї самої моделі: гроші мають надходити державі, а не осідати в кишенях виконавців. Тому арешт власних кадрів радше нагадує чистку в корпорації, ніж класичне кримінальне розслідування. Практика атак саме на банки для Пхеньяна не нова. Ще у 2016 році хакери, пов'язані з КНДР, вивели 81 мільйон доларів з рахунку Центрального банку Бангладеш через систему SWIFT. Криптовалюта лише додала новий, зручніший канал виведення коштів, які значно складніше заморозити чи повернути назад.

Чому ця історія важлива для крипторинку?

Групи, пов'язані з Пхеньяном, стоять за частиною найбільших крипто-крадіжок в історії галузі. Серед них злом мосту Ronin у 2022 році на суму близько 625 мільйонів доларів і атака на біржу Bybit у лютому 2025-го, де зникло приблизно 1,5 мільярда доларів в ефірі. Обидва випадки згодом офіційно пов'язали саме з північнокорейськими хакерами. Вкрадені кошти зазвичай виводять через Bitcoin та інші активи, а останнім часом дедалі частіше через стейблкоїни на кшталт USDT.

Причина популярності стейблкоїнів проста: висока ліквідність і швидкість переказів між біржами по всьому світу дозволяють швидко розчинити велику суму серед тисяч дрібних транзакцій. Централізовані криптобіржі з процедурами верифікації особи ускладнюють вихід у готівку, тому зловмисники дедалі частіше обирають позабіржових брокерів і особисті контакти, як і в цій справі з держбанками. Аналітичні компанії на кшталт Chainalysis і TRM Labs відстежують такі ланцюжки транзакцій і допомагають біржам заморожувати підозрілі гаманці, але повністю зупинити відмивання поки не вдається нікому.

Для звичайного користувача ринку це не пряма загроза, а радше сигнал. Регулятори різних країн посилюють моніторинг транзакцій саме через подібні схеми, і це поступово впливає на комісії та вимоги верифікації навіть на легальних майданчиках, з якими працюють мільйони звичайних людей.

Що буде далі

Офіційного підтвердження арешту від Пхеньяна не було і навряд чи з'явиться найближчим часом. Режим традиційно замовчує внутрішні розслідування такого рівня. Якщо інформація Daily NK підтвердиться іншими джерелами, це стане рідкісним випадком, коли державна хакерська машина постраждала від власних же методів. А поки що історія залишається нагадуванням. Навіть у максимально закритій системі гроші мають властивість зникати не там, де їх очікують побачити.