Jedno państwo przejęło dwie trzecie każdego dolara skradzionego z globalnego ekosystemu kryptowalut w pierwszej połowie 2026 roku.
To nie jest błąd zaokrąglenia. To nie efekt jednego spektakularnego napadu.
To produkt długotrwałej, zindustrializowanej operacji hakerskiej – prowadzonej od prawie dekady, wciąż doskonalącej swoje metody i dziś prześcigającej łączny poziom wszystkich innych aktorów zagrożeń w tym sektorze.
Skala jest oszałamiająca nawet jak na standardy przestępczości kryptowalutowej, która nigdy nie cierpiała na niedobór imponujących liczb.
Powiązane z Koreą Północną grupy odpowiadały za 66,2% globalnych strat z hacków na aktywa cyfrowe w I połowie 2026 r., wynika z danych krążących w tym tygodniu wśród badaczy bezpieczeństwa blockchain.
To skupienie strat w jednym klastrze zagrożeń oznacza jakościową zmianę profilu ryzyka całej branży. I następuje w momencie, gdy kapitał instytucjonalny napływa do krypto najszybciej od 2021 roku.
TL;DR
- Hakerzy powiązani z Koreą Północną przejęli 66,2% wszystkich strat z hacków na kryptowaluty w pierwszej połowie 2026 r., co stanowi nowy szczyt koncentracji państwowych kradzieży krypto.
- Grupa Lazarus i powiązane jednostki KRLD przeszły od oportunistycznych włamań na giełdy do wysoce zorganizowanych operacji wymierzonych w protokoły DeFi, mosty cross‑chain oraz socjotechnikę wobec deweloperów.
- Środki finansują bezpośrednio programy zbrojeniowe Korei Północnej, co czyni bezpieczeństwo krypto kwestią geopolityczną, do której regulatorzy w Waszyngtonie, Brukseli i Seulu podchodzą dziś z najwyższą powagą.
Liczba 66% i co ona właściwie mierzy
Zanim przejdziemy do strategicznego obrazu, warto przyjrzeć się metodologii stojącej za tą liczbą.
Wskaźnik 66,2% odnosi się do udziału zweryfikowanych strat z hacków na kryptowaluty, które można przypisać portfelom powiązanym z KRLD w I połowie 2026 r. – na podstawie analizy on‑chain śledzącej przepływy środków od początkowej kradzieży, przez użycie mikserów, po końcowe ich „wypłukanie”.
Chainalysis, która publikuje najbardziej kompleksowe, długoterminowe dane o przestępczości w krypto, podała w raporcie Crime Report 2024, że powiązane z Koreą Północną grupy ukradły ok. 1,34 mld dol. w 47 incydentach w 2023 r. – 61% łącznej wartości kradzieży w tamtym roku.
Dane za I połowę 2026 r. oznaczają dalszą koncentrację. Sugerują, że przewaga możliwości KRLD nad innymi aktorami zagrożeń się powiększa, a nie zmniejsza.
Udział 66,2% to najwyższy zarejestrowany poziom koncentracji państwowych kradzieży aktywów cyfrowych w pojedynczym sześciomiesięcznym okresie.
Warto podkreślić, czego liczba 66% nie obejmuje.
Nie uwzględnia exit scamów, rug pulli ani oszustw – które Chainalysis zazwyczaj klasyfikuje osobno względem hacków. Mianownikiem są tylko zweryfikowane straty wynikające z włamań.
Włączenie wszystkich kategorii przestępczości krypto obniżyłoby procentowy udział KRLD. Nie zmieniłoby jednak bezwzględnej kwoty skradzionych dolarów.
Przeczytaj także: Popyt spot na XRP rośnie, gdy kontrakty wieczyste na Binance wysyłają ostrzeżenie na 783 mln dol.
Jak Grupa Lazarus stała się kryptowalutową supermocą
Grupa Lazarus – zbiorcze określenie używane przez amerykańskie agencje wywiadowcze i prywatnych badaczy na najbardziej zaawansowane jednostki cybernetyczne KRLD – nie zaczynała jako operacja skoncentrowana na krypto.
Jej wczesny profil obejmował ataki destrukcyjne, napady na banki z wykorzystaniem sieci SWIFT oraz ransomware.
Zwrot w stronę krypto był stopniowy. Na dobrą sprawę rozpoczął się około 2017 r., kiedy grupa zaatakowała południowokoreańskie giełdy – po czym gwałtownie przyspieszył po włamaniu do sieci Ronin w 2022 r.
Atak na Ronin, w którym Grupa Lazarus ukradła ok. 625 mln dol. z łańcucha pobocznego Axie Infinity, był strategicznym punktem zwrotnym.
Pokazał, że infrastruktura DeFi – z jej złożonością smart kontraktów, zależnościami mostów cross‑chain i podatnością na socjotechnikę wobec deweloperów – oferuje znacznie bardziej dochodową powierzchnię ataku niż scentralizowane giełdy, które po dekadzie włamań znacząco wzmocniły swoje zabezpieczenia.
Ta kradzież 625 mln dol. z marca 2022 r. pozostaje największym pojedynczym włamaniem w DeFi w historii. Stała się operacyjnym wzorcem dla kolejnych kampanii kryptowalutowych KRLD.
Od 2022 r. grupa systematycznie dopracowuje trzy wektory ataku.
Pierwszym są przejęte dane uwierzytelniające deweloperów – zwykle za pośrednictwem fałszywych ofert pracy na LinkedIn, które instalują złośliwe oprogramowanie po otwarciu dokumentu lub uruchomieniu repozytorium.
Drugim są exploity mostów cross‑chain, wymierzone w logikę smart kontraktów weryfikujących transfery aktywów między sieciami.
Trzecim są ataki na łańcuch dostaw oprogramowania – na zależności (dependencies), z których korzystają protokoły krypto; technika ta pierwotnie spopularyzowana w tradycyjnym cyberbezpieczeństwie, dziś jest adaptowana do celów blockchainowych.
Przeczytaj także: Eng vs Ind to już nie tylko krykiet dla traderów rynków predykcyjnych
Profil celów przesunął się z giełd na DeFi
Wczesna historia największych hacków krypto była pisana włamaniami na scentralizowane giełdy. Mt. Gox w 2014 r., Bitfinex w 2016 r., Coincheck w 2018 r. Ataki te opierały się na kompromitacji infrastruktury hot walletów, wykorzystywaniu luk w API lub korumpowaniu insiderów. Sprawcami były często oportunistyczne grupy przestępcze, a nie aktorzy państwowi z instytucjonalnym zapleczem.
Obecny podręcznik KRLD wygląda zupełnie inaczej. TRM Labs w raporcie 2024 Crypto Threat Intelligence stwierdziło, że udział skradzionych przez KRLD kryptowalut pochodzących z exploitów protokołów DeFi, a nie włamań na scentralizowane giełdy, wzrósł z około 30% w 2021 r. do ponad 70% w 2024 r. Ten zwrot podąża za wzrostem samej płynności on‑chain.
Całkowita wartość zablokowana w protokołach DeFi globalnie (TVL) osiągnęła szczyt powyżej 180 mld dol. pod koniec 2021 r., następnie gwałtownie spadła w trakcie bessy 2022 r., by potem odbić do poziomów, które znów stanowią atrakcyjny cel. Dane DefiLlama (data) z połowy 2026 r. pokazują łączny TVL DeFi powyżej 110 mld dol. we wszystkich łańcuchach, przy czym mosty cross‑chain kontrolują nieproporcjonalnie dużą część tej wartości w formie wspólnych pul.
Kontrakty mostów DeFi są strukturalnie atrakcyjnymi celami dla zaawansowanych napastników, ponieważ agregują duże pule płynności w pojedynczych smart kontraktach, jednocześnie wymagając złożonej walidacji komunikatów cross‑chain, którą trudno w pełni zauditować.
Mosty cross‑chain stały się szczególną obsesją jednostek KRLD z uwagi na ich unikalną topologię ryzyka. Kontrakt mostu musi ufać twierdzeniom pochodzącym z obcego łańcucha, którego nie może natywnie zweryfikować. Logika walidacji jest złożona, często opiera się na komitecie multisig lub lekkim kliencie dowodowym. Każde z tych podejść tworzy podatne założenia. Most Ronin używał multisiga dziewięć‑z‑dziewięciu, który w praktyce został „zredukowany” do progu pięć‑z‑dziewięciu poprzez socjotechnikę. Ten próg pięciu podpisów został następnie spełniony przez napastników, co autoryzowało wypłaty, które opróżniły most.
Przeczytaj także: Czy Fable 5 jest warte podwójnej ceny, skoro Opus 4.8 wciąż dowozi?
Wektor fałszywych ofert pracy i atak na deweloperów
Najbardziej konsekwentnym i niedocenianym elementem kampanii KRLD z I połowy 2026 r. jest infrastruktura socjotechniki wymierzona w indywidualnych deweloperów i pracowników protokołów. To nie jest klasyczny techniczny hack. To cierpliwa, oparta na relacjach operacja wywiadowcza, której kulminacją jest uruchomienie złośliwego kodu.
Standardowy scenariusz, szczegółowo opisany przez Mandiant w analizie APT38 financial threat analysis oraz przez amerykańską Cybersecurity and Infrastructure Security Agency w CISA Alert AA22-108A, zakłada, że operatorzy KRLD tworzą wiarygodne profile zawodowe na LinkedIn, często z użyciem zdjęć generowanych przez AI. Nawiązują kontakt z deweloperami pracującymi przy protokołach krypto, oferując kontrakty, rozmowy rekrutacyjne lub okazje do code review.
W udokumentowanych przypadkach operatorzy KRLD utrzymywali relacje na LinkedIn z deweloperami celami przez tygodnie lub miesiące, zanim dostarczyli payload z malware, budując zaufanie poprzez merytoryczne rozmowy o konkretnym kodzie, nad którym pracował cel.
Gdy cel podejmie współpracę, atakujący ostatecznie wysyła plik wymagający uruchomienia. Może to być PDF z osadzonym ładunkiem, repozytorium GitHub zawierające złośliwą zależność lub fałszywy test techniczny instalujący backdoora. Po uzyskaniu przyczółka na komputerze dewelopera napastnik może pozyskać klucze prywatne, tokeny sesyjne do systemów wewnętrznych oraz dane logowania do infrastruktury chmurowej używanej do zarządzania wdrożeniami protokołu.
Sofistyka tego „rzemiosła” odzwierciedla instytucjonalne inwestycje w rozwój zdolności, których żadna prywatna grupa przestępcza nie jest w stanie skopiować. Jednostki cyber KRLD to etatowi pracownicy państwowi, szkoleni na pełen etat, działający w reżimie ścisłego bezpieczeństwa operacyjnego i dysponujący latami skumulowanej wiedzy o tym, które protokoły są najbardziej podatne, a którzy deweloperzy – najbardziej podatni na podejście.
Przeczytaj także: Akcje TeraWulf rosną, gdy umowa z Anthropic przekształca górnika Bitcoina w gracza AI wart 19 mld dol.
Infrastruktura prania pieniędzy stojąca za liczbami kradzieży
Kradzież kryptowaluty to dopiero pierwszy krok. Zamiana jej w użyteczne dla reżimu dochody wymaga rozbudowanego łańcucha prania, który sam w sobie stał się przedmiotem intensywnych badań on‑chain. Ruch środków po kradzieży to miejsce, w którym śledczy najpewniej przypisują ataki KRLD, ponieważ grupa wykazuje rozpoznawalne wzorce zachowań wzorce w sposobie, w jaki przemieszcza i zaciemnia środki.
Chainalysis udokumentował standardowy schemat prania pieniędzy przez KRLD jako proces wieloetapowy. Skradzione aktywa są najpierw wymieniane na Ethereum (ETH) lub Bitcoin (BTC) przy użyciu zdecentralizowanych giełd on-chain, co pozwala zamienić mało płynne tokeny specyficzne dla danego protokołu na bardziej płynne aktywa. Następnie te aktywa przepływają przez usługi mieszające; grupa historycznie używała Tornado Cash, zanim jego objęcie sankcjami OFAC w sierpniu 2022 r. wymusiło dostosowanie się do alternatywnych narzędzi zaciemniania, w tym Sinbad i Yomix, które również zostały już objęte sankcjami USA.
OFAC wyznaczył mixer Sinbad w listopadzie 2023 r. i mixer Yomix w kwietniu 2025 r., co pokazuje grę w kotka i myszkę, w której każde narzędzie prania pieniędzy KRLD ostatecznie staje się celem sankcji, zmuszając grupę do przechodzenia na nową infrastrukturę.
Po wymieszaniu środki są kierowane przez sieć zagnieżdżonych kont giełdowych, brokerów OTC działających w jurysdykcjach bez skutecznego egzekwowania AML oraz platform peer‑to‑peer. Najczęściej stosowaną „zjazdową” ścieżką wyjścia historycznie były giełdy działające we Wschodniej i Południowo‑Wschodniej Azji z ograniczonym egzekwowaniem KYC. Raport Panelu Ekspertów ONZ z 2024 r. dotyczący Korei Północnej wskazał wprost przychody z kradzieży krypto jako główne źródło finansowania północnokoreańskiego programu rakiet balistycznych, szacując, że przychody z krypto pokrywały około 40% potrzeb walutowych związanych z rozwojem broni masowego rażenia.
Przeczytaj także: Ethereum Could Go Near-Zero State Under Buterin’s Most Radical Lean Chain Plan
Reakcja regulacyjna i jej ograniczenia
Rząd USA wdrożył rozbudowany zestaw narzędzi przeciwko operacjom kryptowalutowym KRLD, w tym oznaczenia OFAC dotyczące portfeli i usług mieszających, komunikaty atrybucyjne FBI dla konkretnych włamań oraz wspólne ostrzeżenia z sojuszniczymi agencjami wywiadowczymi. Departament Sprawiedliwości oskarżył kilku zidentyfikowanych z nazwiska operacyjnych KRLD, choć ich ściganie jest w praktyce niemożliwe ze względu na brak ścieżek ekstradycyjnych.
Ograniczenia reakcji USA mają charakter strukturalny. Sankcje na adresy portfeli są skuteczne tylko wobec podmiotów, które korzystają z regulowanej infrastruktury finansowej jako ścieżki wyjścia. Mają minimalny wpływ na zaawansowanych sprawców, którzy kierują środki przez jurysdykcje znajdujące się poza zasięgiem amerykańskich regulacji AML. Działanie OFAC przeciwko Tornado Cash było znaczące i kontestowane, ale KRLD dostosowała się w ciągu kilku miesięcy, migrując do alternatywnej infrastruktury.
Departament Sprawiedliwości postawił zarzuty siedmiu zidentyfikowanym z nazwiska wojskowym hakerom KRLD w związku z operacjami kradzieży krypto, ale żaden z nich nie stanął przed sądem. Akty oskarżenia służą przede wszystkim jako narzędzia atrybucji i środek odstraszający dla usług stron trzecich, które w przeciwnym razie mogłyby ułatwiać przepływ środków.
Grupa Specjalna ds. Przeciwdziałania Praniu Pieniędzy (FATF), międzyrządowy organ ustalający standardy AML, podniosła Koreę Północną do najwyższej kategorii ryzyka i utrzymuje stały apel do jurysdykcji członkowskich o stosowanie wzmocnionej należytej staranności przy wszelkich transakcjach z powiązaniem z KRLD. Jednak zalecenia FATF nie są wiążące, a jurysdykcje najbardziej przydatne KRLD do „zjazdu” środków zazwyczaj nie są członkami FATF lub są członkami o słabych wynikach we wdrażaniu standardów.
Rozporządzenie UE w sprawie rynków kryptoaktywów (MiCA), które weszło w pełni w życie pod koniec 2024 r., obejmuje wymogi tzw. „travel rule”, nakazujące identyfikację kontrahenta przy transferach krypto powyżej określonych progów. Zwolennicy twierdzą, że zamyka to część ścieżek wyjścia przez OTC. Krytycy zauważają, że operacje KRLD są na tyle zaawansowane, że potrafią ominąć wymagania KYC, korzystając z niehostowanych portfeli i jurysdykcji poza zasięgiem UE.
Przeczytaj także: Meta’s Muse Image Turns Instagram Into The Raw Material For AI Art
Co faktycznie pokazuje analiza on‑chain
Przypisywanie kradzieży krypto Korei Północnej nie jest twierdzeniem politycznym. Opiera się na weryfikowalnych danych on‑chain, które każdy badacz z dostępem do publicznych danych blockchain i narzędzi do grupowania portfeli może niezależnie odtworzyć. Zrozumienie, jak działa ta atrybucja, jest kluczowe dla oceny jej wiarygodności.
Gdy KRLD okrada dany protokół, początkowa transakcja jest natychmiast widoczna on‑chain. Skradzione środki trafiają do portfeli kontrolowanych przez atakujących, które następnie wykonują sekwencję swapów, transakcji mostkowych i operacji mieszania. Elliptic, kolejna firma zajmująca się analizą blockchain, opublikowała szczegółową metodologię pokazującą, że portfele KRLD grupują się wokół charakterystycznych sygnatur behawioralnych, obejmujących konkretne wzorce czasowe, preferowane trasy swapów, charakterystyczne ilości „kurzu” pozostawiane w portfelach pośrednich oraz tendencję do przetrzymywania skradzionych środków w klastrach portfeli przez dłuższe okresy przed ich przemieszczeniem.
Analiza grupowania portfeli prowadzona przez Elliptic zidentyfikowała ponad 15 000 adresów powiązanych z operacjami kradzieży KRLD, tworząc graf wzajemnie połączonych portfeli, którego analitycy śledczy używają do śledzenia przepływu środków nawet po ich wymieszaniu.
Komunikaty atrybucyjne FBI dotyczące konkretnych włamań, w tym naruszenia Alphapo oraz exploitu Atomic Wallet w 2023 r., opierają się na tej metodologii kryminalistycznej w połączeniu z tajnymi danymi wywiadu sygnałowego.
Połączenie publicznych danych on‑chain z informacjami rządowych służb wywiadowczych doprowadziło do poziomów pewności atrybucji, które przewyższają to, co jest typowe w tradycyjnych dochodzeniach w sprawach cyberprzestępczości, gdzie dowody on‑chain nie istnieją.
Przeczytaj także: Saylor Says 3.3% Bitcoin Growth Can Keep Strategy Dividends Alive
Schemat pracy IT jako równoległy kanał przychodów
Niezależnie od operacji hakerskich KRLD prowadzi równoległy program generowania przychodów z krypto, który w latach 2024 i 2025 przyciągnął znaczną uwagę organów ścigania. Tysiące obywateli Korei Północnej, działających pod fałszywymi tożsamościami z wykorzystaniem dokumentów generowanych przez AI i technologii deepfake wideo, zdobyło zdalne zatrudnienie w firmach kryptowalutowych i startupach Web3 w Ameryce Północnej i Europie.
Departament Sprawiedliwości oskarżył czternaście osób w maju 2024 r. o prowadzenie schematu, w ramach którego północnokoreańscy pracownicy IT byli umieszczani w ponad 300 amerykańskich firmach, a ich zarobki były przekazywane z powrotem do KRLD.
Akt oskarżenia zarzucał, że poszczególni pracownicy zarabiali od 250 000 do 300 000 dolarów rocznie, a cały schemat wygenerował dziesiątki milionów dolarów w ciągu kilku lat.
Majowy akt oskarżenia DOJ z 2024 r. udokumentował, że północnokoreańscy pracownicy IT zarabiali do 300 000 dolarów rocznie każdy w amerykańskich firmach krypto i technologicznych, a środki były przekazywane do KRLD przez sieć pośredników w USA, Wielkiej Brytanii i Chinach.
Schemat pracy IT jest szczególnie podstępny dla branży krypto, ponieważ zaszczepia dostęp insiderski wewnątrz zespołów deweloperskich. Pracownik IT z legalnymi poświadczeniami i dostępem do repozytoriów jest bardziej niebezpieczny niż zewnętrzny atakujący próbujący sforsować zabezpieczenia perymetru.
Kilku badaczy bezpieczeństwa zauważyło, że podejrzane wzorce w commitach kodu, niewyjaśniony dostęp do repozytoriów i nietypowe godziny pracy są obecnie traktowane przez świadome ryzyka firmy krypto jako potencjalne wskaźniki obecności pracowników IT z KRLD.
Przecięcie schematu pracy IT z kampanią socjotechniczną wymierzoną w deweloperów oznacza, że powierzchnia ataku KRLD na branżę krypto jest wielowymiarowa. Zewnętrzni hakerzy, skompromitowani deweloperzy zwabieni fałszywymi ofertami pracy oraz ulokowani insiderzy to równolegle działające wektory zagrożeń.
Przeczytaj także: OpenAI Wins GPT-5.6 Approval As Trump Clears Wider AI Rollout
Szersza reakcja branży na zagrożenia bezpieczeństwa
Reakcja branży na zagrożenie ze strony KRLD była istotna, ale nierówna.
Najlepiej dofinansowane protokoły przeprowadzają obecnie rozbudowane audyty bezpieczeństwa przed wdrożeniem, prowadzą programy bug bounty z sześciocyfrowymi wypłatami i utrzymują wewnętrzne zespoły ds. bezpieczeństwa z doświadczeniem w ofensywnych badaniach.
To skoncentrowanie inwestycji w bezpieczeństwo na szczycie „drabiny protokołów” odzwierciedla tę samą regułę potęgową, która rządzi krypto ogólnie.
Immunefi, wiodąca platforma bug bounty Web3, podała, że łączna kwota wypłaconych bounty przekroczyła 100 milionów dolarów do połowy 2025 r. — przyczyniając się do zidentyfikowania podatności, które mogły umożliwić straty liczone w miliardach.
Największa pojedyncza wypłata w jej historii to nagroda w wysokości 10 milionów dolarów dla white‑hatowego badacza, który wykrył krytyczną lukę w dużym protokole DeFi, zanim została ona wykorzystana.
Jednak koncentracja wydatków na bezpieczeństwo na protokołach z najwyższej półki sprawia, że mniejsze projekty DeFi — które łącznie nadal kontrolują miliardy w TVL — są znacząco niedostatecznie chronione.
Problem mostów cross‑chain, który leży u podstaw tak wielu dużych włamań, doczekał się własnych odpowiedzi architektonicznych.
Najważniejszym z nich jest przejście w kierunku bardziej zaufanie‑zminimalizowanego bridgowania, z wykorzystaniem dowodów o zerowej wiedzy do weryfikacji stanu łańcucha źródłowego bez polegania na komitetach walidatorów.
Projekty takie jak Succinct Labs i Polyhedra Network zbudowały infrastrukturę lekkich klientów ZK zaprojektowaną specjalnie po to, by wyeliminować założenie zaufanego komitetu, które sprawiło, że mosty takie jak Ronin były podatne na atak.
Czy że infrastruktura bezpieczeństwa poprawia się na tyle szybko, by wyprzedzać rozwój zdolności KRLD, pozostaje kwestią naprawdę niepewną.
Udział na poziomie 66% w pierwszej połowie 2026 r. sugeruje, że nawet przy znaczących inwestycjach branży atakujący dotrzymuje kroku.
Also Read: SpaceXAI Wants A Cursor-Powered Claude Killer Before The $60B Deal Even Closes
Stawka geopolityczna i co dalej
Kradzież kryptowalut jest najważniejszym źródłem twardej waluty dla Korei Północnej.
To nie figura retoryczna. To odzwierciedlenie udokumentowanej rzeczywistości operacyjnej — uznawanej przez Departament Skarbu USA, Organizację Narodów Zjednoczonych i sojusznicze służby wywiadowcze.
Panel Ekspertów ONZ oszacował, że wpływy KRLD z kradzieży krypto wyniosły około 3 mld dolarów w latach 2017–2023, przy czym tempo rosło w kolejnych latach.
Te środki nie trafiają do skarbca reżimu w żadnym konwencjonalnym sensie.
Płyną bezpośrednio do programów zbrojeniowych — w szczególności do wysiłków nad pociskami balistycznymi i miniaturyzacją głowic jądrowych, które stanowią główny priorytet strategiczny Pjongjangu.
Każdy dolar skradziony z protokołu DeFi może potencjalnie przełożyć się na materialne i techniczne zdolności systemów uzbrojenia, które amerykańscy, południowokoreańscy i japońscy planiści obronni aktywnie modelują w swoich ocenach zagrożeń.
Panel Ekspertów ONZ powiązał te 3 mld dolarów skradzione w latach 2017–2023 bezpośrednio z finansowaniem programów zbrojeniowych — czyniąc bezpieczeństwo blockchaina żywym elementem regionalnych kalkulacji bezpieczeństwa w Azji Północno-Wschodniej.
Read Next: 5 Cheaper Fable 5 Rivals: Don’t Overpay For Daily AI Work
Ostatnie uwagi
Udział 66,2% z pierwszej połowy 2026 r. nie jest ciekawostką statystyczną.
To sygnał dotyczący obecnego stanu rywalizacji między jednym z najbardziej zaawansowanych państwowych programów cybernetycznych na świecie a branżą, która historycznie przedkładała czas wprowadzenia produktu na rynek nad bezpieczeństwo operacyjne.
Trajektoria tej rywalizacji — biegnąca od oportunistycznych ataków na giełdy w 2017 r. przez włamanie do mostu Ronin w 2022 r. po obecną kampanię wielowektorową wymierzoną jednocześnie w deweloperów, mosty i osoby z wewnątrz — pokazuje aktora zagrożenia, który uczy się, adaptuje i skaluje szybciej, niż branżowe inwestycje w obronę były w stanie go powstrzymać.
Czynniki strukturalne sprzyjające KRLD nie znikną w najbliższym czasie.
Korea Północna dysponuje instytucjonalną kadrą cybernetyczną bez pokus sektora prywatnego, bez publicznej odpowiedzialności i z państwowym mandatem do generowania przychodów wszelkimi dostępnymi środkami.
Branża krypto ma natomiast rozproszony krajobraz bezpieczeństwa. Najbardziej wartościowe protokoły są coraz lepiej chronione — ale długa lista mniejszych projektów DeFi pozostaje systematycznie niedofinansowana.
A mosty międzyłańcuchowe, infrastruktura łącząca wyspy płynności w ekosystemie, pozostają architektonicznie złożone w sposób, który tworzy trwałe, podatne na wykorzystanie założenia.