Миллиарды исчезают: наглые ограбления криптовалют, приписываемые стране-изгою.

Шестимесячная кампания Северной Кореи по проникновению в Drift всколыхнула криптоиндустрию, уже оправившуюся от эксплойтов на миллиарды долларов.

Но когда новости утихли, в центре внимания оказался более важный вопрос: почему Северная Корея вообще продолжает возвращаться к криптовалюте и почему ее подход настолько отличается от любой другой хакерской операции, поддерживаемой государством на планете?

Короткий ответ, по мнению экспертов по безопасности, заключается в том, что криптовалюта помогает обеспечить режиму поток доходов и удерживать его на плаву.

«Северная Корея не может позволить себе роскошь терпения», — сказал Дэйв Швед, главный операционный директор SVRN и основатель магистерской программы по кибербезопасности в Университете Йешива. «Они находятся под всеобъемлющими международными санкциями, и им нужна твердая валюта для финансирования программ вооружений. ООН и несколько спецслужб подтвердили, что кража криптовалюты является основным механизмом финансирования их разработки ядерного оружия и баллистических ракет».

Эта срочность объясняет динамику, которая долгое время озадачивала следователей: почему северокорейские хакеры осуществляют крупномасштабные и отслеживаемые ограбления в публичных блокчейнах вместо того, чтобы незаметно использовать криптовалюту для уклонения от санкций, как это делают другие государственные субъекты.

Ответ, утверждает Швед, структурный. У России все еще есть экономика: нефть, газ, экспорт сырьевых товаров и торговые партнеры, готовые использовать обходные пути. Криптовалюта нужна ему в качестве платежного средства, но не для чего-то еще. У Ирана тоже есть товары, которые стоит переместить — санкционированная нефть, сети прокси-финансирования, добровольные посредники на Ближнем Востоке. Северной Корее почти нечего продавать.

«Их экспорт почти полностью санкционирован. У них нет функционирующей экономики, которая нуждается в платежной системе. Им нужны прямые доходы», — сказал Швед. «Криптовалютная кража дает им немедленный доступ к ликвидным ценностям по всему миру, без необходимости иметь контрагента, желающего вести с ними бизнес».

Это различие — криптовалюта как инфраструктура и криптовалюта как цель — отделяет Северную Корею не только от России, но и от Ирана. В то время как Россия направляет деньги через криптовалюту, чтобы обойти санкции, а Иран использует ее для финансирования прокси-сетей на Ближнем Востоке, Северная Корея проводит нечто похожее на спонсируемую государством операцию по ограблению.

«Их целями являются биржи, провайдеры кошельков, протоколы DeFi, а также отдельные инженеры и учредители, имеющие право подписи или доступ к инфраструктуре», — сказал Александр Урбелис, директор по информационной безопасности ENS Labs и профессор кибербезопасности в Королевском колледже Лондона. «Жертва — это тот, кто владеет ключами или имеет доступ к инфраструктуре, в которой хранятся ключи».

Россия и Иран, напротив, рассматривают криптовалюту как второстепенное явление, как средство для достижения более широких геополитических целей.

«Россия нацелена на выборы, энергетическую инфраструктуру и правительственные системы. Иран преследует диссидентов и региональных противников», - сказал Урбелис. «Когда кто-либо из них касается криптовалюты, это делается для перемещения денег, а не для кражи их из экосистемы».

Эта особая направленность подтолкнула северокорейских боевиков к использованию тактики, которая чаще ассоциируется со спецслужбами, чем с криминальными хакерами: многомесячное выстраивание отношений, фальсификация личности и проникновение в цепочку поставок.

Кампания Drift — лишь самый свежий пример.

«Вы не защищаете себя от фишингового письма от случайного мошенника», — сказал Урбелис. «Вы защищаете человека, который потратил шесть месяцев на выстраивание отношений специально для того, чтобы скомпрометировать одного человека, у которого есть доступ, который вам нужно защитить».

Собственная архитектура Crypto делает ее уникально привлекательным местом для охоты. В традиционных финансах даже успешные хакерские атаки сталкиваются с трудностями в виде проверок соответствия, проверок банков-корреспондентов, задержек расчетов и возможности отмены мошеннических переводов. Когда в 2016 году северокорейские хакеры осуществили ограбление банка Бангладеш, процесс ограбления занял несколько дней, и большая часть средств в конечном итоге была возвращена или заблокирована. В криптографии ни одна из этих мер защиты не существует на уровне протокола.

«Как только сделка будет подписана и подтверждена, она станет окончательной», — сказал Урбелис. Эксплойт Bybit в начале прошлого года перевел 1,5 миллиарда долларов примерно за 30 минут — темп и масштаб, которые были бы практически невозможны в традиционной банковской системе.

Эта окончательность фундаментально меняет подход к безопасности. В банковской сфере разумная защита может быть построена на предотвращении, обнаружении и реагировании, поскольку всегда есть возможность заморозить средства или отменить перевод. В криптографии такое окно практически не существует, а это означает, что остановить атаку до того, как она произойдет, не просто предпочтительнее — это, по сути, единственный вариант.

И хотя банки работают в соответствии с десятилетиями нормативных указаний и требований аудита, многие криптопроекты все еще импровизируют, часто отдавая приоритет скорости и инновациям над управлением и контролем.

Этот разрыв создает среду, в которой даже опытные команды могут быть уязвимы, особенно для той долгосрочной тактики проникновения, которую Северная Корея совершенствует.

«На данный момент это самая сложная проблема операционной безопасности в криптовалюте», — сказал Урбелис о ch.