Ограбления как статья государственных доходов
По оценке TRM Labs, с 2017 года хакерские группировки, связанные с Северной Кореей, похитили криптоактивы примерно на $12,8 млрд, причем больше половины этой суммы, около $7,4 млрд, приходится на неполный 2026 год. Самая известная из этих группировок — Lazarus, название которой годами фигурирует в расследованиях атак на банки и криптокомпании. В этом году совокупная добыча северокорейских групп достигла примерно 85 % стоимости всех криптоактивов, похищенных при взломах, оставив остальным хакерам мира около 15 %.
Столь резкий скачок во многом обеспечило ограбление Binance 29 октября, когда из кошельков биржи вывели около $6,36 млрд, большую часть — примерно за двадцать минут. Одна операция принесла злоумышленникам примерно вчетверо больше криптоактивов, чем взлом Bybit в феврале 2025 года на $1,5 млрд. ФБР возложило ответственность за атаку на северокорейскую группу TraderTraitor.
Почему же после столь масштабных ограблений власти Северной Кореи не останавливают хакеров? Хотя Пхеньян отрицает свою причастность, по материалам американских расследований, именно государство выступает заказчиком этих операций. Минюст США связывает участников Lazarus с подразделениями Главного разведывательного управления КНДР, а Минфин США утверждает, что правительство напрямую поручает хакерам получать доходы незаконными методами для поддержки режима и его программ вооружений. Пока санкции перекрывают Пхеньяну возможности зарабатывать валюту, его оперативники научились добывать ее из чужих хранилищ.
Как вырастить хакера без свободного интернета
На ночных снимках Корейского полуострова, которые публикует NASA, Северная Корея выглядит почти сплошным черным пятном рядом с ярко освещенной Южной Кореей. Этот контраст легко воспринять как иллюстрацию ее цифровой изоляции, хотя возможности внутри страны распределены гораздо сложнее. Для большинства граждан всемирная сеть недоступна, а часть студентов, ученых и чиновников пользуется внутренним интранетом «Кванмен», где размещены государственные сайты, учебные материалы и электронная почта. При этом у такой контролируемой изоляции есть служебный вход для тех, кому власти разрешают работать с внешним миром.
Еще в 2017 году аналитики Recorded Future изучили интернет-трафик северокорейской верхушки за период с 1 апреля по 6 июля и увидели, насколько ее повседневность отличалась от жизни остальной страны. Представители привилегированного круга читали международные СМИ, пользовались Facebook, просматривали товары на Amazon и Alibaba, смотрели видео и играли в онлайн-игры. Исследование охватывало узкую группу пользователей, но показывало, что люди с доступом к глобальной сети хорошо ориентировались в современных сервисах и технологиях, от которых государство отгородило большинство населения.
По схожему принципу Пхеньян формировал и техническую элиту, сочетая отбор способных студентов с проверкой политической благонадежности. В исследовании Центра новой американской безопасности — CNAS приведена оценка, согласно которой колледж Мирим ежегодно выпускал примерно сотню специалистов для хакерских операций. По свидетельствам перебежчиков, студенты изучали внутреннее устройство Windows, языки программирования и создание компьютерных вирусов. Подготовку дополняло обучение за рубежом, в частности в Китае, где северокорейские студенты получали доступ к оборудованию и технологиям, которые было сложнее найти дома.
Такая система позволяла развивать сложные технические навыки, сохраняя ограничения для остального общества, а присутствие за рубежом помогало преодолевать и инфраструктурные барьеры. Оперативнику не обязательно было работать из Пхеньяна, если он мог пользоваться иностранными сетями и действовать под прикрытием компании, которая выполняла вполне реальные заказы.
Именно такую двойную деятельность американские следователи описали в деле программиста Пак Чин Хека. По материалам обвинения, он больше десяти лет работал в Chosun Expo Joint Venture, которая имела офисы в Китае и КНДР и была связана с подразделением военной разведки Lab 110. Пак и его коллеги писали программы для клиентов со всего мира, одновременно участвуя, по версии следствия, в кибератаках. Коммерческая работа давала такой структуре правдоподобное объяснение ее международных контактов, пока те же технические компетенции использовались для выполнения задач режима.
Крупная добыча в корпоративных хранилищах
Пока телефонные мошенники в Европе выманивают личные сбережения у пенсионеров, северокорейские хакеры охотятся на хранилища, где собраны средства тысяч клиентов. По подсчетам TRM Labs, всего пять ограблений — Binance, Bybit, Ronin, Bitget и DMM Bitcoin — обеспечили примерно $9,1 млрд из общих $12,8 млрд похищенных активов. Такая концентрация добычи объясняет, почему группировки могут позволить себе месяцы подготовки к одной операции, успех которой принесет сотни миллионов долларов.
Среди этих целей есть как централизованные биржи, так и сервисы, обеспечивающие перемещение средств между блокчейнами. В марте 2022 года из моста Ronin, обслуживавшего экосистему игры Axie Infinity, похитили активы, стоимость которых ФБР оценило в $620 млн. В мае 2024-го японская DMM Bitcoin потеряла около $308 млн после того, как фальшивый рекрутер атаковал сотрудника ее поставщика Ginco через тестовое задание. В следующем году потери Bybit достигли примерно $1,5 млрд, а осенью 2026-го эту сумму уже превзошло ограбление Binance.
Хотя самую крупную добычу приносит охота на финансовых «китов», рыбу помельче северокорейские хакеры тоже не обходят стороной. Частных владельцев криптовалют наряду с биржами и компаниями по хранению активов прямо называют среди их целей в совместном предупреждении США, Японии и Южной Кореи. При этом концентрация крупнейших потерь показывает, почему группировки тратят столько усилий именно на корпоративные хранилища. Компания, объединяющая средства тысяч клиентов, позволяет добраться до крупной суммы через ограниченный круг сотрудников, подрядчиков и систем доступа, поэтому одна успешная операция может принести больше, чем многочисленные кражи из личных кошельков.
Как получить ключи от чужого хранилища
Ограбление криптобиржи может начинаться с собеседования, на котором будущий потерпевший рассчитывает получить более выгодную работу. Пока программист обсуждает вакансию и выполняет тестовое задание, его собеседник ищет путь от личного компьютера к корпоративным системам. Такой подход позволяет северокорейским хакерам использовать профессиональные связи и доверие сотрудников, чтобы постепенно добраться до инфраструктуры, которая управляет средствами тысяч клиентов.
Арсенал группировок включает и поиск ошибок в программном коде, и кражу ключей от кошельков, и проникновение через сотрудников и подрядчиков, однако финансовые результаты этих методов существенно различаются. По анализу TRM Labs, примерно 88 % стоимости похищенного связаны с атаками на ключи, серверы и системы подписания транзакций, тогда как использование ошибок в коде смарт-контрактов обеспечило лишь около 1 % добычи. Самым прибыльным оказывается захват инструментов, через которые законные владельцы распоряжаются активами.
Чтобы получить такой доступ, злоумышленники создают профессиональную легенду под интересы конкретного человека. Программисту предлагают привлекательную вакансию, а основателю проекта — знакомство с потенциальным инвестором, постепенно подводя собеседника к скачиванию файла или запуску программы с вредоносным кодом. После заражения компьютера злоумышленники могут похищать учетные данные, выдавать себя за сотрудника и продвигаться к внутренним системам компании. Сам человек при этом может еще долго считать, что просто поучаствовал в неудачном собеседовании.
Если напрямую до биржи добраться сложно, путь к ее кошелькам может проходить через поставщика услуг. Именно это произошло с Bybit, когда злоумышленники скомпрометировали учетные данные разработчика Safe, программного обеспечения для управления кошельками, и обманом добились подписания вредоносной транзакции. Даже требование нескольких подписей не спасло средства, поскольку люди, отвечавшие за подтверждение, видели подмененную информацию в интерфейсе, которому доверяли. Криптографическая защита признала их подписи подлинными, хотя операция, которую они фактически разрешили, отличалась от той, которую они намеревались подтвердить.
Искусственный интеллект помогает готовить такие операции быстрее и делать обман убедительнее. В исследовании от 29 октября 2026 года Microsoft описывает, как северокорейские группы используют ИИ для изучения компаний и сотрудников, написания персонализированных сообщений, создания фальшивых биографий и помощи в разработке кода. Эти инструменты также облегчают общение на иностранных языках и поддержание нескольких вымышленных личностей одновременно. По оценке Microsoft, операциями по-прежнему управляют люди, однако автоматизация позволяет им тратить меньше времени на подготовку каждой новой ловушки, увеличивая число потенциальных жертв, к которым они могут обратиться.
Преступление раскрыто, но преступники недосягаемы
Поскольку северокорейские хакеры работают под защитой тоталитарного режима, международный розыск далеко не всегда приближает их к наказанию. Пхеньян не заинтересован выдавать исполнителей собственных операций, а иностранные правоохранители не могут самостоятельно задержать их на территории КНДР. Уже упомянутый Пак Чин Хек остается в розыске ФБР, хотя первый американский ордер на его арест выдали еще в 2018 году. Его история показывает, как установление личности и накопление доказательств могут годами не заканчиваться арестом.
Вернуть добычу тоже сложнее, чем проследить ее движение. Злоумышленники дробят криптоактивы между кошельками, обменивают и перемещают между блокчейнами, а для выхода в обычную финансовую систему привлекают посредников. Мониторинговая группа MSMT, в частности, описала маршрут через китайских внебиржевых торговцев, которые переводили деньги на счета UnionPay под контролем северокорейцев. Хотя блокчейн позволяет видеть переводы, у биткоина и ETH нет администратора, способного заморозить средства в кошельке злоумышленника, поэтому особенно важно перехватить их на бирже или у другого посредника.
Часть активов остановить удается. После ограбления Ronin в 2022 году изъяли более $30 млн, а после атаки на Binance, согласно отчету биржи от 3 ноября, заморозили или перехватили около $2,85 млрд — примерно 45 % оцененных ею потерь. Однако блокировка еще не означает окончательного возврата денег, а потеря даже значительной части добычи оставляет злоумышленникам возможность получить огромный доход. Пока исполнители защищены государством, изъятие средств и преследование зарубежных посредников ограничивают прибыльность этой системы, но не лишают ее способности готовить следующие ограбления.
От чужих кошельков к военным бюджетам
Для Пхеньяна ценность похищенной криптовалюты определяется тем, что за нее можно приобрести вопреки санкциям. В отчете международной мониторинговой группы MSMT приведен случай, когда закупочный агент КНДР планировал расплатиться USDT за бронированный автомобиль стоимостью почти $1 млн. Тот же документ связывает доходы подконтрольных государству ИТ-структур с финансированием разработки и производства вооружений, инфраструктурных проектов и закупок потребительских товаров. Таким образом, полученные за рубежом активы помогают режиму оплачивать широкий круг потребностей, сохраняя ресурсы для его военных приоритетов.
Минфин США напрямую связывает доходы от северокорейских киберопераций с ядерной и ракетной программами. Это не дает оснований утверждать, что конкретное ограбление оплатило конкретную ракету, но объясняет экономический эффект таких поступлений. Когда похищенные активы позволяют профинансировать зарубежные закупки, другие средства можно направить на производство вооружений, а санкционные ограничения теряют часть своей силы.
Для Украины эта связь имеет вполне материальные последствия, поскольку Северная Корея поставляет россии вооружения и поддерживает ее войну. Способность Пхеньяна пополнять свои ресурсы через кибератаки ослабляет финансовое давление на государство, чья военная промышленность работает и на нужды агрессора. Поэтому последствия ограбления криптобиржи могут выходить далеко за пределы потерь ее владельцев и клиентов.
Именно здесь проявляется главный риск этой модели. Открытый финансовый рынок накапливает капитал, который закрытый режим научился присваивать, почти не рискуя потерять собственную систему из-за преследования исполнителей. Пока прибыль от успешных атак превышает потери от замораживаний и изъятий, у Пхеньяна сохраняется стимул расширять этот промысел, а защита чужих криптокошельков становится частью сдерживания его военных возможностей.