Хакеры из Северной Кореи похитили $1,6 млрд в криптовалютах за 2025 год

• По данным отчета Google Cloud, злоумышленники из КНДР совершили атаки на $1,6 млрд в криптовалютах в 2025 году.
• Они использовали фейковые вакансии для взломов криптобирж, а ИИ — для общения.
• Эта группа хакеров имеет несколько названий, в частности UNC4899, TraderTraitor, Jade Sleet и Slow Pisces.

Северокорейские хакеры усилили атаки на криптокомпании, используя фальшивые предложения работы и сложное вредоносное программное обеспечение (ПО) для доступа к облачным системам. По данным Google Cloud и компании Wiz, только в 2025 году группы, связанные с КНДР, похитили криптовалюты на сумму более $1,6 млрд.

В отчете Google Cloud за второе полугодие 2025 года сообщается, что UNC4899 — северокорейская хакерская группа, которая активно отслеживается — осуществила успешные атаки на две компании, втершись в доверие к работникам через соцсети.

Злоумышленники присылали этим работникам якобы «тестовые задания», которые на самом деле были вредоносными скриптами. После их выполнения хакеры получали удаленный доступ к облачным средам компаний, где похищали учетные данные и определяли узлы, ответственные за обработку криптотранзакций.

Обе атаки были направлены на разные компании и различные облачные сервисы (в частности Google Cloud и AWS), однако результат был одинаковым — похищение нескольких миллионов долларов в криптовалюте.

По словам Джейми Коллиера, главного советника по разведке угроз в Google Threat Intelligence Group, северокорейские хакеры часто маскируются под рекрутеров, журналистов, профессоров или экспертов в определенных областях:

«Они активно строят доверие, общаются несколько раз и используют искусственный интеллект для создания более правдоподобной переписки».

Компания Wiz, которая также исследует деятельность UNC4899, указала, что эта группа также известна под названиями TraderTraitor, Jade Sleet и Slow Pisces. TraderTraitor является общим обозначением для серии атак, за которыми стоят такие группировки, как Lazarus Group, APT38, BlueNoroff и Stardust Chollima.

По данным Wiz, кампании TraderTraitor начались еще в 2020 году и с тех пор эволюционировали:

• 2020-2022 годы: атаки через вредоносные криптоприложения на JavaScript (Electron);
• 2023 год: внедрение вредоносного открытого кода;
• 2024-2025 годы: массированные атаки через фейковые IT-вакансии, особенно на криптобиржи.

Среди крупнейших атак группы — взлом японской биржи DMM Bitcoin на $303 млн и взлом биржи Bybit на $1,5 млрд, о котором стало известно в феврале 2025 года.

По мнению Бенджамина Рида, директора по разведке угроз в Wiz:

«TraderTraitor фокусируется на облачных атаках, потому что именно там хранятся данные — а значит, и деньги. Это особенно актуально для криптоиндустрии, которая часто строит свою инфраструктуру с подходом “cloud-first”».

Согласно последним оценкам, численность связанных с TraderTraitor хакеров может достигать тысяч человек, работающих в параллельных или взаимосвязанных группах.

Отметим, что в TRM Labs ранее сообщали, что за первое полугодие 2025 года криптоотрасль потеряла более $2,1 млрд.

В Google предупредили, что деятельность северокорейских хакеров только расширяется.

«Мы не видим никаких признаков замедления их атак и ожидаем дальнейшего масштабирования», — подчеркнул Коллиер.

Напомним, что еще в апреле этого года эксперты Google Threat Intelligence Group обнаружили, как работают хакеры из КНДР.

Недавно американка получила 8,5 лет тюремного срока за помощь северокорейским хакерам с трудоустройством в компаниях США.