Ключевым событием стала атака 21 февраля 2025 года на криптовалютную биржу Bybit, зарегистрированную в Дубае. Из её инфраструктуры было выведено примерно $1,46 млрд в цифровых активах.
Американские власти связали операцию с северокорейскими кибероператорами, отслеживаемыми под названием TraderTraitor.
По данным аналитиков, атака началась с компрометации цепочки поставок программного обеспечения (supply‑chain attack). Исследование CrowdStrike связывает операцию с кластером хакеров PRESSURE CHOLLIMA, который распространил троянизированное программное обеспечение через скомпрометированную инфраструктуру разработки.
Получив доверенный доступ, злоумышленники перевели крупные суммы криптовалюты на контролируемые ими кошельки, после чего распылили средства по тысячам адресов в разных блокчейнах, чтобы усложнить отслеживание.
По данным аналитики блокчейна, $2,02 млрд, украденные в 2025 году, на 51% больше, чем годом ранее — при этом число атак снизилось.
Это отражает стратегический сдвиг: вместо множества небольших взломов злоумышленники всё чаще нацеливаются на крупные криптоплатформы и инфраструктуру финансовых сервисов, где одна успешная атака может принести миллиарды.
Исследователи называют такой подход «индустриализацией» киберпреступности — когда операции проводятся системно и поддерживаются специализированной инфраструктурой для доступа, кражи и отмывания средств.
Атака на Bybit показала растущую популярность взлома доверенных программных компонентов.
Вместо прямого взлома биржи злоумышленники компрометируют:
Жертвы сами устанавливают заражённые инструменты, фактически открывая атакующим привилегированный доступ, который сложно обнаружить стандартными средствами защиты.
По данным разведки угроз, злоумышленники всё чаще используют инструменты искусственного интеллекта для масштабирования атак социальной инженерии.
ИИ помогает:
Это значительно повышает вероятность того, что сотрудники компаний передадут учётные данные или предоставят доступ к системам.
Ещё одна ключевая схема — устройство северокорейских агентов на удалённую работу под чужими или поддельными личностями.
Власти сообщают, что КНДР создала сети людей, которые получают вакансии разработчиков и IT‑специалистов в международных компаниях, включая фирмы, работающие с криптовалютами.
После найма такие сотрудники могут:
По данным компаний, масштабы проблемы велики: некоторые технологические фирмы сообщили о тысячах заблокированных попыток трудоустройства, связанных с такими схемами.
Исследователи отмечают растущее использование тактики, которую называют offline infiltration — получение доступа через людей, а не только через технические уязвимости.
Это может включать:
Такая гибридная модель помогает обходить традиционные системы киберзащиты.
Кибероперации КНДР обычно отслеживаются по кластерам активности, а не по единой организации.
Например:
В открытых источниках значительно меньше подтверждённых деталей о конкретных ролях таких кластеров, как FAMOUS CHOLLIMA или STARDUST CHOLLIMA, хотя они рассматриваются как часть более широкой северокорейской киберэкосистемы.
Дополнительно используются:
В некоторых случаях значительная часть украденных активов переводится или отмывается в течение нескольких недель после взлома.
Власти США и других стран считают эти операции не просто киберпреступлениями, а источником дохода для государства.
По заявлениям официальных лиц, доходы от краж криптовалют позволяют Пхеньяну обходить международные санкции и финансировать разработку баллистических ракет и ядерных программ.
Поэтому правоохранительные органы усиливают международное сотрудничество для отслеживания потоков средств и разрушения инфраструктуры таких операций.
События 2025 года показали важный сдвиг в ландшафте угроз:
По мнению исследователей, отрасли придётся усилить:
По мере роста крипторынка методы, отработанные в 2025 году, вероятно, останутся одним из самых серьёзных и сложных вызовов безопасности для финансовой индустрии.
Comments
0 comments