Peretas Korea Utara mencuri sekitar US$7,61 miliar aset kripto dalam 38 insiden antara Januari sampai Oktober 2026, terang perusahaan intelijen blockchain BitOK. Dalam enam serangan besar itu, mereka tidak mengeksploitasi kode, melainkan membajak sistem dan pihak yang menandatangani penarikan.
Pembekuan dan penyitaan berhasil mengamankan aset senilai US$2,86 miliar, sehingga masih tersisa US$4,75 miliar yang tidak terjangkau. Binance sendiri menyumbang US$6,41 miliar dari total kerugian, sedangkan 32 pencurian kecil terhadap individu dan perusahaan menghasilkan kerugian tambahan sebesar US$178,4 juta.
Mengapa Audit Kode Tidak Berhasil Mencegah Peretas Korea Utara
Menurut laporan BitOK, setiap penarikan dalam enam serangan terbesar tersebut memiliki tanda tangan yang valid atau berhasil melewati pemeriksaan standar. Di Binance, titik mula serangan berasal dari laptop seorang engineer DevOps dan kontainer layanan penandatanganan.
Hal ini sesuai dengan temuan sebelumnya tentang bagaimana peretasan itu terjadi pada bulan Oktober. Di tempat lain, pelaku menyerang penandatangan multisig di Drift, sebuah platform trading berbasis Solana, seorang verifikator bridge di KelpDAO, serta sistem wallet di Bitget.
Sebelum melakukan pencurian, para pelaku selalu menguji jalur yang akan ditempuh dengan jumlah kecil terlebih dahulu. Sebagai contoh, kontrak serangan di Binance sudah dijalankan secara publik empat jam sebelum pencurian berlangsung.
Aktivitas para pelaku menyerupai jadwal kerja kantor. Dari 540 transaksi yang menjadi sampel, 48% aktivitas terjadi antara pukul 16.00 hingga 21.00 waktu Pyongyang.
Para pelaku bahkan libur saat tanggal merah nasional Korea Utara, karena tidak ada aktivitas yang tercatat pada hari-hari tersebut. Hari Sabtu, Minggu, dan Senin secara total hanya menyumbang 10% dari seluruh transaksi.
Saat serangan sudah dimulai, rutinitas berubah sepenuhnya. Semua diambil alih oleh script otomatis, sehingga arus dana berjalan tanpa henti selama 24 jam.
Hanya Butuh Menit untuk Swap, Tapi Hari Agar Dana Hilang Jejak
Kecepatan menentukan aset mana yang masih bisa dibekukan. Dalam hitungan menit, peretas Korea Utara menukar stablecoin ke ETH atau menggunakan stablecoin curian sebagai jaminan untuk meminjam ETH, karena tidak ada penerbit yang dapat membekukan ETH.
Setelah eksploitasi bridge rsETH pada bulan April, 52.440 ETH pertama keluar dari protokol lending hanya dalam waktu delapan menit lebih sedikit. Dana tersebut lalu mengendap selama 2,5 hingga 5 hari sebelum script mengirimkannya melalui THORChain, sebuah protokol swap lintas chain.
Biaya untuk mencuci dana ternyata sangat murah. Dari 2.257 swap yang terkait Binance senilai US$55,8 juta, total biaya hanya sebesar 0,50%.
Dengan demikian, pembekuan hanya efektif selama stablecoin belum berpindah. Di Binance, 43% dana curian berhasil dibekukan atau disita, sedangkan rata-rata seluruh serangan besar lainnya hanya 6%.
Bahkan di sana, kecepatan tetap jadi kendala. Tether baru menerima permintaan pembekuan pertamanya 34 menit setelah penarikan dari Binance. Pada saat itu, sebanyak 345 juta USDT sudah meninggalkan alamat asal.
Kecerobohan 0,27 ETH Menghubungkan 5 Serangan
Jejak paling jelas muncul dari kesalahan saat membereskan sisa aset. Setelah mengirimkan 5.047 ETH lewat Umbra, sebuah alat privasi stealth-address, dan jembatan Stargate, pelaku mengumpulkan dana sisa ke satu wallet.
Pada 31 Agustus, 150 alamat dikosongkan dan masuk ke wallet kolektor itu hanya dalam waktu 3 menit 36 detik. Aktivitas ini menghubungkan pencurian AFX dan insiden 28 Agustus, lalu mengaitkan alamat-alamat Bitget pada bulan September. Secara total, wallet tersebut hanya menerima 0,27 ETH.
Alamat settlement bersama yang digunakan kini menghubungkan lima serangan oleh peretas Korea Utara, mulai dari KelpDAO di bulan April hingga Binance pada bulan Oktober. BitOK menyebut temuan ini mengarah pada satu operator pencuci dana, meskipun tim yang meretasnya bisa jadi berbeda.
“Saldo sisa kecil justru menjadi jejak paling jelas dari operator sepanjang tahun ini,” ujar BitOK
Signing Key Kini Jadi Target Serangan Utama
Chainalysis sudah mengaitkan pencurian di Bitget dengan Korea Utara pada bulan Oktober. Data BitOK kini memperlihatkan bahwa peretas Korea Utara memakai strategi sama pada berbagai exchange dan protokol DeFi.
Poin lemah kini bergeser dari smart contract ke karyawan, perangkat, serta layanan penandatanganan. Pembekuan dari penerbit hanya efektif dalam menit-menit pertama saja, dan Binance kemudian telah mengganti sebagian besar kerugian pengguna dari dana cadangannya sendiri.
