قرصنة كوريا الشمالية تتجه نحو الذكاء الاصطناعي بينما تقود كوريا الشمالية 66% من خسائر القرصنة المشفرة

يتجه قرصنة كوريا الشمالية نحو الذكاء الاصطناعي لتوسيع عملياتهم السيبرانية، مما يضيف طبقة جديدة من التعقيد لتهديد يمثل بالفعل معظم خسائر القرصنة المشفرة في جميع أنحاء العالم.

كانت المجموعات القرصنة المرتبطة بكوريا الشمالية مسؤولة عن حوالي 643 مليون دولار من العملات المشروبة المسروقة خلال النصف الأول من عام 2026، أو 66% من إجمالي خسائر القرصنة المشفرة عالمياً، وفقاً لشركة استخبارات البلوك تشين TRM Labs.

يبرز الرقم الهيمنة المتزايدة للجهات الفاعلة المرتبطة بـ DPRK في صناعة عانت من خسائر بقيمة 972 مليون دولار من 207 حادثة قرصنة خلال الفترة.

يأتي هذا التطور في وقت وجد فيه باحثو الأمن السيبراني أن كيمسوكي، وهي مجموعة تهديد سيبراني مرتبطة بالمكتب العام للاستطلاع في كوريا الشمالية، تسلح الذكاء الاصطناعي التوليدي لدعم حملتها القرصنة. وجدت شركة الأمن السيبراني الكورية الجنوبية Genians في تقرير جديد أن المجموعة قد نشرت أدوات الذكاء الاصطناعي ومنصات النماذج اللغوية الكبيرة، بما في ذلك Ollama وGPT4All وMsty، جنباً إلى جنب مع تقنية التوليد المعزز بالاسترجاع.

على مر السنين، استخدم قرصنة كوريا الشمالية بشكل رئيسي رسائل البريد الإلكتروني المزيفة من جهات اتصال عمل حقيقية لاستهداف الأشخاص في الدبلوماسية والأكاديميا والأمن. كانوا يرسلون ملفات ضارة تتنكر كمواد لفعاليات دولية، تقارير بحثية، دعوات، مدفوعات شرفية، طلبات تعاون تحقيقي، ومستندات مالية وقانونية.

ومع ذلك، وفقاً لشركة الأمن Genians، فإن كيمسوكي تختبر الآن أدوات الذكاء الاصطناعي التوليدي لموجتها القادمة من الهجمات. لقد أقامت بالفعل نموذج لغة كبير محلي (LLM)، وبيئة توليد معزز بالاسترجاع (RAG)، وبيئة تطوير مدعومة بالذكاء الاصطناعي. 

يشير استخدام الذكاء الاصطناعي إلى أن العمليات السيبرانية لكوريا الشمالية تتجاوز المساعدة البسيطة في التصيد نحو أتمتة أوسع وقدرات استخباراتية. وجد الباحثون أدلة على أدوات برمجة مدعومة بالذكاء الاصطناعي، وأنظمة تحويل الكلام إلى نص، ومستندات تم إنشاؤها بالذكاء الاصطناعي مصممة لتبدو كمواد مالية ومشروعة شرعية.

تستخدم كيمسوكي Ollama وGPT4All وCursor AI

وجدت Genians أن كيمسوكي سلحت المستندات المولدة بالذكاء الاصطناعي حول الأصول الرقمية والشؤون المالية لإغراء الأهداف. كانت محتويات الذكاء الاصطناعي تنسخ الوثائق المؤسسية الحقيقية بدقة في النبرة والتصميم لإغراء المستخدمين.

علاوة على ذلك، اكتشفت شركة الأمن أن الفاعل المهدد كان يستخدم Ollama وGPT4All وMsty لتشغيل نماذج الذكاء الاصطناعي المحلية، وأنظمة RAG، وكلاء الذكاء الاصطناعي، وأدوات تحويل الكلام إلى نص. أظهرت التحليلات الجنائية أيضاً أنهم اعتمدوا بشكل كبير على برنامج البرمجة Cursor AI مع إخفاء كودهم من خلال ترميز Base64، وسلاسل مجزأة، وروتينات فك تشفير مخصصة. 

في المقام الأول، تبدأ كيمسوكي سلسلة هجومها عندما يقوم المستخدم بتنزيل أرشيف ZIP ضار عبر البريد الإلكتروني أو عبرات أخرى وفتح الاختصار LNK المرفق. تستخدم هذه الاختصارات أيقونات خادعة وأسماء ملفات احترافية—مثل الأبحاث الرسمية، طلبات الشرف، تقارير الوسائط، أو المراسلات القنصلية—لمحاكاة الوثائق التجارية المشروعة.

متحدثاً عن نتائجهم، قال مون جونغ هيون، رئيس مركز أمن Genians (GSC)، "يُظهر هذا التحليل أن مجموعة قرصنة مدعومة من دولة تتقدم في قدراتها الهجومية من خلال بناء نماذج LLM محلية وبيئات تطوير الذكاء الاصطناعي لدمج الذكاء الاصطناعي في أطر الهجوم الفعلية." 

القرصنة المرتبطة بكوريا الشمالية شكلت 60% من إجمالي السرقات في عام 2025

شركة أمان البلوك تشين CertiK تقدر أن قرصنة كوريا الشمالية سرقوا 2.06 مليار دولار من الأصول الرقمية في عام 2025، مما يمثل 60% من إجمالي سرقة العملات المشفرة في ذلك العام. في هجوم واحد في عام 2025، نفذ قرصنة كوريا الشمالية أكبر عملية سرقة للعملات المشفرة في التاريخ في عام 2025، وسرقوا 1.5 مليار دولار من Bybit.

أظهرت CertiK أيضاً أن كوريا الشمالية طورت سرقة العملات المشفرة إلى محرك مالي أساسي للدولة، ونهبت حوالي 6.75 مليار دولار عبر 263 حادثة مسجلة من 2016 إلى 2026. كما لاحظت أن الهندسة الاجتماعية هي محور عمليات القرصنة في بلدهم، حيث تبدأ معظم عمليات السطو الكبرى لكوريا الشمالية ببعض أشكال التلاعب البشري.

بالإضافة إلى ذلك، حذرت من أن عام 2026 قد يشهد استخداماً أكبر للذكاء الاصطناعي في الهندسة الاجتماعية، ومزيداً من المحاولات لاستهداف عمال تكنولوجيا المعلومات، وظهور طرق غسيل أموال جديدة. أوصت حتى بأن تنفذ المنظمات المعرضة للخطر مقابلات فيديو خاضعة لفحص الحياد وفحوصات خلفية صارمة للتعامل مع الهويات المولدة أو المستعارة بالذكاء الاصطناعي. كما نصحت الشركات بتطبيق سياسات الثقة الصفرية للمقاولين عن بُعد، وإجراء تدريب على الوعي الأمني للموظفين، وإلزام فترات انتظار للسحوبات، وتأمين البنية التحتية الحرجة مثل الجسوم والمحافظ الساخنة.

بشكل عام، سرق القرصنة أكثر من 900 مليون دولار في جميع أنحاء العالم منذ بداية عام 2026. ومع ذلك، تظهر دراسة جديدة من TRM Labs فجوة كبيرة بين عدد الهجمات السيبرانية والنقد الفعلي المسروق في أوائل عام 2026. هاجم القرصنة الأنظمة 207 مرة لكنهم سرقوا فقط 972 مليون دولار—وهو بعيد كل البعد عن 2.3 مليار دولار التي سُرقت خلال النصف الأول من عام 2025.

ومع ذلك، تتطور الهجمات لتصبح أكثر تعقيداً. ومن بين الحوادث الـ 207، كانت 125 منها استغلالاً لعقود ذكية، حيث يستغل المهاجمون الآن ثغرات متعددة في الكود معاً بدلاً من واحدة فقط. ومع ذلك، لا يزال يتم تصريف الأموال المسروقة من المؤسسات المالية ومشاريع العملات المشفرة.