Peretas Korea Utara mencuri kripto senilai sekitar $7,61 miliar dalam 38 insiden antara Januari dan Oktober 2026, menurut perusahaan intelijen blockchain BitOK. Dalam keenam serangan besar tersebut, mereka membajak orang dan sistem yang menandatangani penarikan dana, alih-alih mengeksploitasi kode.
Pembekuan dan penyitaan berhasil mengamankan $2,86 miliar, sehingga $4,75 miliar sisanya tak terjangkau. Binance sendiri menyumbang $6,41 miliar dari total tersebut, sementara 32 pencurian yang lebih kecil terhadap individu dan perusahaan berjumlah $178,4 juta.
Mengapa Audit Kode Tidak Menghentikan Peretas Korea Utara
Menurut laporan BitOK, setiap penarikan dalam enam serangan terbesar memiliki tanda tangan yang valid atau lolos pemeriksaan standar. Di Binance, titik masuknya adalah laptop seorang engineer DevOps dan kontainer layanan penandatanganan.
Temuan itu sesuai dengan temuan sebelumnya tentang bagaimana peretasan terjadi pada Oktober. Di tempat lain, penyerang menyusupi para penanda tangan multisig di Drift, platform perdagangan berbasis Solana; satu verifier bridge di KelpDAO; dan sistem dompet di Bitget.
Sebelum setiap pencurian, para operator menguji rute yang persis sama dengan jumlah kecil. Misalnya, kontrak serangan Binance dijalankan secara publik empat jam sebelum pencurian.
Jadwalnya tampak seperti jam kerja kantor. Dalam sampel 540 transaksi, 48% aktivitas berlangsung antara pukul 16.00 dan 21.00 waktu Pyongyang.
Para operator bahkan libur saat hari libur nasional Korea Utara; tidak ada aktivitas yang tercatat pada hari-hari tersebut. Sabtu, Minggu, dan Senin secara keseluruhan hanya mencakup 10% transaksi.
Namun, begitu serangan dimulai, rutinitasnya berubah. Skrip mengambil alih, dan perpindahan dana berlangsung sepanjang waktu.
Menit untuk Menukar, Hari untuk Menghilang
Kecepatan menentukan dana mana yang masih bisa dibekukan. Dalam hitungan menit, peretas Korea Utara menukar stablecoin menjadi ETH atau meminjam ETH dengan jaminan aset curian, karena tidak ada penerbit yang bisa membekukan ETH.
Setelah eksploitasi bridge rsETH pada April, 52.440 ETH pertama keluar dari protokol pinjaman hanya dalam waktu sedikit lebih dari delapan menit. Dana itu kemudian menganggur selama 2,5 hingga 5 hari sebelum skrip mengirimkannya melalui THORChain, sebuah protokol penukaran lintas-chain.
Proses pencucian dana ternyata murah. Dari 2.257 penukaran terkait Binance senilai $55,8 juta, total biayanya hanya 0,50%.
Karena itu, pembekuan hanya berhasil jika stablecoin belum dipindahkan. Di Binance, 43% dana curian dibekukan atau disita, dibandingkan dengan 6% dari gabungan semua serangan besar lainnya.
Bahkan dalam kasus itu, waktu menjadi kendala. Tether menerima permintaan pembekuan pertamanya 34 menit setelah penarikan dari Binance. Saat itu, 345 juta USDT sudah meninggalkan alamat asal.
Jejak paling jelas muncul akibat kesalahan saat membersihkan sisa dana. Setelah mengalirkan 5.047 ETH melalui Umbra, alat privasi alamat siluman, dan bridge Stargate, operator memindahkan sisa dana kecil ke satu dompet.
Pada 31 Agustus, 150 alamat mengirim seluruh dananya ke alamat penampung itu dalam waktu 3 menit 36 detik. Pemindahan tersebut menghubungkan pencurian AFX dan 28 Agustus, lalu diikuti alamat Bitget pada September. Secara total, dompet itu hanya menerima 0,27 ETH.
Alamat penyelesaian bersama kini menghubungkan lima serangan yang dilakukan peretas Korea Utara, dari KelpDAO pada April hingga Binance pada Oktober. BitOK mengatakan hal ini mengarah pada satu operator pencuci uang, meskipun peretasannya mungkin dilakukan oleh tim yang berbeda.
“Saldo sisa yang sangat kecil menjadi jejak paling jelas yang ditinggalkan operator tahun ini,” kata BitOK
Kunci Penandatanganan Menjadi Permukaan Serangan Baru
Pada Oktober, Chainalysis telah mengaitkan pencurian Bitget dengan Korea Utara. Kini, data BitOK menunjukkan bagaimana peretas Korea Utara mengulangi satu taktik yang sama di berbagai bursa dan protokol DeFi.
Titik lemah telah bergeser dari kontrak pintar ke karyawan, perangkat, dan layanan penandatanganan. Pembekuan oleh penerbit hanya membantu dalam menit-menit pertama, dan Binance sejak itu telah menutup sebagian besar kerugian pengguna dengan cadangannya sendiri.