Chainalysis har tilskrevet det $387 millioner Bitget-tyveri til nordkoreanske hackere. Virksomheden udtalte, at angrebet løfter værdien af kryptovaluta stjålet af aktører med tilknytning til DPRK i år til over $1 milliard.
Nordkoreanske angribere brugte angiveligt et cross-chain swap til at ombytte stjålet XRP til Bitcoin og holdt tokens væk fra børser.
Drift, KelpDAO og nu Bitget
Bitget slutter sig til angrebene 2. april, som virksomheder allerede havde forbundet med Nordkorea. Hackere tømte $285 millioner fra Drift Protocol 1. april. Drift forklarede, at operationen involverede måneders social engineering, inklusiv fysiske møder.
I april, nærmere 18., lykkedes det angribere at tage $292 millioner gennem et KelpDAO bridge-angreb. TRM og LayerZero forbandt begge dette angreb med TraderTraitor, en enhed knyttet til Lazarus-gruppen.
Tilsammen stod de to hacks for 76% af alle kryptorelaterede tab indtil april, ifølge TRM. Chainalysis sagde, at Bitgets $387 millioner bringer den samlede sum for 2026 op på over $1 milliard. I 2025 stjal DPRK-aktører over $2 milliarder fra branchen for kryptovaluta.
Chainalysis bemærkede, at hurtigere sporbarhed bliver afgørende.
“Evnen til hurtigt at identificere og forstå ulovlige aktiviteter bliver mere vigtig, da Nordkorea i stigende grad bruger avanceret automatisering til at flytte og skjule stjålne midler,” skrev Chainalysis.
Bitgets direktør Gracy Chen pegede allerede på Nordkorea kort efter bruddet. Hun henviste til IP-adresser, som matchede en DPRK-gruppes VPN-brug. Tyveriet er også årets største kryptohack i 2026 og løftede tabene i september med 462%.
Hvordan blev stjålet XRP til Bitcoin uden en børs?
Chainalysis talte 23 udgående overførsler i de første tre timer efter udnyttelsen 24. september. Samlet blev $387 millioner fordelt over fire blockchains.
Ethereum stod for næsten halvdelen af udstrømningerne med 49,7%. XRP Ledger modtog 40,8%, herefter fulgte den privatlivsfokuserede Zcash med 7,6% og Tron med 1,8%.
Rapporten fremhævede, at i stedet for at sende XRP til en børs, satte angriberne dem ind i en cross-chain likviditetsprotokol. Herefter trak de Bitcoin ud på et andet netværk.
Chainalysis matchede disse indbetalinger med deres udbetalinger. Titusindvis af dollars blev flyttet på denne måde over cirka 36 timer. Sporet endte hos Bitcoin-adresser styret af angriberne, som virksomheden nu overvåger.
Firmaet nævnte, at de havde bygget skræddersyede automatiseringer med deres egen kunstige intelligens for at gøre sporingen på tværs af blockchains hurtigere. De vurderer, at mere end 20 timers manuel bro-afstemning blev reduceret til under 10 minutter.
Efterforskerne satte dog stadig logikken op og gennemgik resultaterne, tilføjede Chainalysis.
