Утечки seed-фраз и взломы фронтенда стали причиной крупных потерь криптовалют в 2025 году

TRM Labs сообщает о краже более 2,1 млрд долларов в ходе 75 инцидентов с криптовалютами за первое полугодие 2025 года.

Атаки на инфраструктуру, направленные на приватные ключи и seed-фразы, доминируют среди методов хищений, при этом хакеры, действующие по заказу государств, всё чаще используют криптовалютные преступления для достижения геополитических целей.

Взлом Bybit меняет ландшафт краж криптовалют: ущерб составил 1,5 млрд долларов

В феврале 2025 года взлом Bybit стал крупнейшим в истории криптопреступлением: с биржи было похищено 1,5 млрд долларов США, что TRM Labs связывает с государственным участием Северной Кореи. Этот единственный инцидент составил почти 70% всех потерь криптовалют за первую половину 2025 года и изменил динамику краж.

Взлом Bybit увеличил средний размер взлома почти до 30 млн долларов — вдвое больше среднего показателя в 15 млн долларов, зафиксированного во втором квартале 2024 года. Даже если февраль был аномальным по количеству инцидентов, январь, апрель, май и июнь каждый зафиксировали общие кражи свыше 100 млн долларов, что указывает на сохраняющиеся и повсеместные угрозы для сферы криптовалют.

Масштаб взлома Bybit сделал первое полугодие 2025 года рекордным сезоном для краж криптовалют: объём хищений превысил предыдущий рекорд первого полугодия 2022 года примерно на 10% и сравнялся с общими потерями 2024 года. Тенденция смещается в сторону концентрации рисков на крупных централизованных биржах и их привлекательности для опытных злоумышленников.

TRM Labs отметила: «Только этот инцидент составил почти 70% от общих потерь на данный момент в этом году, увеличив средний размер взлома до почти 30 млн долларов США — вдвое больше среднего показателя в 15 млн долларов США в первой половине 2024 года».

Северокорейские государственные акторы доминируют в операциях по краже криптовалют

Данные TRM Labs показывают, что акторы, связанные с Северной Кореей, стоят за $1,6 млрд из общего объема похищенных активов в первом полугодии 2025 года и несут ответственность примерно за 70% всех краж криптовалют за этот период. Рекордный показатель в сочетании с взломом Bybit свидетельствует о продолжающейся активности Демократической Народной Республики Корея по использованию незаконных доходов от криптовалюты в стратегических целях.

Действия Северной Кореи варьируются от обхода санкций до поддержки программ создания ядерного оружия и стали центральными элементами государственной политики. Количество таких операций укрепляет позицию Северной Кореи как наиболее активного угрожающего субъекта-государства в сфере криптовалют, используя кражу цифровых активов как ключевую способность государственной дипломатии.

Другие правительственные акторы все чаще используют взломы криптовалют для достижения геополитических целей. Приписываемая Израилю группировка Gonjeshke Darande (или «Хищный воробей») 18 июня 2025 года взломала крупнейшую криптобиржу Ирана Nobitex и похитила более $90 млн, что, по всей видимости, было мотивировано политическими, а не финансовыми соображениями.

Хакеры перевели украденные средства Nobitex на неактивные адреса с уникальными именами (vanity addresses) без соответствующих приватных ключей. Это указывает на символические или политические мотивы, а не экономические.

Атаки на инфраструктуру доминируют среди методов хищений

Атаки на инфраструктуру составляют более 80% от всех украденных средств в первом полугодии 2025 года и в среднем в десять раз превышают по размеру все остальные типы атак на криптографическую инфраструктуру. Такие атаки направлены на технические основы инфраструктуры цифровых активов с целью получения несанкционированного контроля, влияния на пользователей или перенаправления активов через скомпрометированные элементы базовой безопасности.

Кража приватных ключей и мнемонических фраз, а также компрометация фронтенда являются основными векторами атак на инфраструктуру, использующими присущие уязвимости систем безопасности криптовалют. За такими атаками обычно стоят социальная инженерия и инсайдеры, раскрывающие уязвимости в ядре криптографических систем защиты.

Эксплуатация протоколов составила ещё 12% от общих потерь, что свидетельствует о сохраняющихся рисках в смарт-контрактах децентрализованных финансов (DeFi). Злоумышленники используют уязвимости в смарт-контрактах блокчейн-протоколов или их базовой логике для хищения средств или захвата управления поведением системы с помощью таких техник, как эксплойты flash-кредитов и реентрантности.