Jeden reżim państwowy zainkasował dwie trzecie każdego dolara skradzionego z globalnego ekosystemu kryptowalut w pierwszej połowie 2026 r.
To nie błąd zaokrąglenia. I nie efekt jednego spektakularnego skoku.
To rezultat długotrwałej, zindustrializowanej kampanii hakerskiej – prowadzonej od blisko dekady, stale doskonalonej, która dziś przewyższa łącznie wszystkie inne grupy przestępcze działające w krypto.
Skala jest szokująca nawet jak na standardy przestępczości kryptowalutowej, która przyzwyczaiła rynek do astronomicznych liczb.
Według danych analityków bezpieczeństwa blockchain, na które powołuje się branża, grupy powiązane z Koreą Północną odpowiadały w I półroczu 2026 r. za 66,2% globalnych strat z tytułu ataków na aktywa cyfrowe.
Takie skupienie strat w jednym „klastrze” zagrożenia oznacza jakościową zmianę w profilu ryzyka całej branży. Dzieje się to w momencie, gdy kapitał instytucjonalny napływa do krypto najszybciej od 2021 r.
TL;DR
- Hakerzy powiązani z Koreą Północną przechwycili 66,2% wszystkich strat z ataków na krypto w I połowie 2026 r., co oznacza rekordową koncentrację państwowych kradzieży krypto.
- Grupa Lazarus i powiązane z nią jednostki KRLD przeszły drogę od oportunistycznych ataków na scentralizowane giełdy do wysoce zorganizowanych operacji wymierzonych w protokoły DeFi, mosty cross-chain i wyrafinowany social engineering deweloperów.
- Skonfiskowane środki bezpośrednio zasilają północnokoreańskie programy zbrojeniowe, zamieniając bezpieczeństwo krypto w kwestię geopolityczną, którą regulatorzy w Waszyngtonie, Brukseli i Seulu zaczęli traktować priorytetowo.
Co naprawdę oznacza „66%”
Zanim przejdziemy do strategicznych wniosków, warto przyjrzeć się metodologii stojącej za tym wskaźnikiem.
66,2% to udział w łącznej, potwierdzonej wartości strat z hacków krypto, który można przypisać portfelom powiązanym z KRLD w pierwszej połowie 2026 r. – na podstawie analizy on-chain śledzącej przepływy środków od momentu kradzieży, przez miksery, aż po zrzut do fiat lub innych aktywów.
Chainalysis, firma publikująca jedne z najbardziej przekrojowych danych o przestępczości w krypto, informowała w raporcie Crime Report 2024, że grupy powiązane z Koreą Północną ukradły w 2023 r. ok. 1,34 mld dol. w 47 incydentach – co stanowiło 61% wartości wszystkich kradzieży w tamtym roku.
Dane za I półrocze 2026 r. oznaczają dalszą koncentrację. Sugerują, że przewaga operacyjna KRLD nad pozostałymi grupami hakerskimi się powiększa, a nie maleje.
Udział 66,2% to najwyższa dotąd zanotowana koncentracja państwowych kradzieży aktywów cyfrowych w jednym półroczu.
Ważne jest też to, czego wskaźnik 66% nie obejmuje.
Nie uwzględnia exit scamów, rug pulli czy oszustw inwestycyjnych – Chainalysis klasyfikuje je oddzielnie od „czystych” hacków. Mianownik obejmuje wyłącznie potwierdzone straty z ataków hakerskich.
Ujęcie wszystkich kategorii przestępczości kryptowalutowej obniżyłoby procentowy udział KRLD. Nie zmieniłoby jednak bezwzględnej, dolarowej skali szkód.
Przeczytaj także: Popyt spot na XRP rośnie, gdy kontrakty perps na Binance wysyłają sygnał ostrzegawczy o wartości 783 mln dol.
Jak Grupa Lazarus stała się „supermocarstwem” krypto
Grupa Lazarus – nazwa parasolowa używana przez amerykański wywiad i prywatne firmy badawcze dla najbardziej zaawansowanych jednostek cybernetycznych KRLD – nie zaczynała jako podmiot wyspecjalizowany w krypto.
Jej wczesny profil obejmował destrukcyjne ataki, cyfrowe napady na banki z wykorzystaniem sieci SWIFT oraz kampanie ransomware.
Zwrot w stronę krypto następował stopniowo. Na dobre rozpoczął się ok. 2017 r., kiedy grupa obrała za cel południowokoreańskie giełdy, a następnie gwałtownie przyspieszył po włamaniu do Ronin Network w 2022 r.
Atak na Ronin, w którym Grupa Lazarus ukradła ok. 625 mln dol. z sidechaina Axie Infinity, był punktem zwrotnym.
Pokazał, że infrastruktura DeFi – z jej złożonymi smart kontraktami, zależnością od mostów cross-chain i podatnością na socjotechnikę wobec deweloperów – stanowi znacznie bardziej dochodową powierzchnię ataku niż scentralizowane giełdy, które przez dekadę wzmacniały swoje zabezpieczenia.
Kradzież 625 mln dol. z marca 2022 r. pozostaje największym pojedynczym włamaniem do protokołu DeFi w historii i stała się operacyjnym wzorcem dla kolejnych kampanii KRLD w krypto.
Od 2022 r. grupa systematycznie doskonali trzy główne wektory ataku.
Pierwszy to przejmowanie danych uwierzytelniających deweloperów – najczęściej przez fałszywe oferty pracy na LinkedIn, w których „zadania rekrutacyjne” instalują malware po otwarciu dokumentu lub uruchomieniu repozytorium.
Drugi to ataki na mosty cross-chain, wymierzone w logikę smart kontraktów odpowiedzialnych za walidację transferów między łańcuchami.
Trzeci to ataki na łańcuch dostaw oprogramowania – na biblioteki i zależności wykorzystywane przez protokoły krypto. To technika znana z klasycznego cyberbezpieczeństwa, zaadaptowana dziś do ekosystemu blockchain.
Przeczytaj także: Eng vs Ind to już nie tylko krykiet dla traderów z rynków predykcyjnych
Cele: od giełd do DeFi
Wczesna historia dużych hacków w krypto to głównie włamania do scentralizowanych giełd. Mt. Gox w 2014 r., Bitfinex w 2016 r., Coincheck w 2018 r. Ataki opierały się na przejmowaniu hot walletów, lukach w API lub korumpowaniu insiderów. Sprawcami były na ogół zorganizowane grupy przestępcze, ale rzadko państwowe zespoły z pełnym zapleczem instytucjonalnym.
Dzisiejszy „playbook” KRLD wygląda zdecydowanie inaczej. TRM Labs w raporcie 2024 Crypto Threat Intelligence szacuje, że udział kradzieży przypisywanych KRLD, dokonanych poprzez exploity na protokołach DeFi (a nie ataki na scentralizowane giełdy), wzrósł z ok. 30% w 2021 r. do ponad 70% w 2024 r. Ten zwrot dobrze koreluje ze wzrostem płynności on-chain.
Globalna wartość zablokowana w protokołach DeFi (TVL) sięgnęła szczytu powyżej 180 mld dol. pod koniec 2021 r., później mocno spadła w bessie 2022 r., by kolejno odbić do poziomów, które znów przyciągają napastników. Dane DefiLlama (https://defillama.com/) z połowy 2026 r. pokazują ponad 110 mld dol. TVL w DeFi na wszystkich łańcuchach, przy czym mosty cross-chain zarządzają nieproporcjonalnie dużymi, skonsolidowanymi pulami kapitału.
Kontrakty mostów DeFi są z natury atrakcyjnym celem dla zaawansowanych napastników, bo kumulują ogromne pule płynności w pojedynczych smart kontraktach, przy jednoczesnej konieczności stosowania złożonych mechanizmów walidacji komunikatów cross-chain, które bardzo trudno w pełni przeaudytować.
Mosty cross-chain stały się dla jednostek KRLD obsesją właśnie ze względu na ten profil ryzyka. Kontrakt musi ufać komunikatom z obcego łańcucha, którego nie jest w stanie natywnie zweryfikować. Logika walidacji jest skomplikowana, często oparta na komitecie multisig lub light clientach. Każde z tych rozwiązań tworzy założenia, które da się obejść. W przypadku mostu Ronin zastosowano multisig 9‑z‑9, sprowadzony w praktyce do progu 5‑z‑9 wskutek socjotechniki. Atakujący zdobyli wymagane pięć podpisów i autoryzowali wypłaty, które wyczyściły most.
Przeczytaj także: Czy Fable 5 jest warte dwukrotnie wyższej ceny, skoro Opus 4.8 nadal dowozi?
Wektor „fałszywej oferty pracy” i polowanie na deweloperów
Najbardziej konsekwentnym i wciąż niedocenianym elementem kampanii KRLD w I połowie 2026 r. jest socjotechniczna infrastruktura wymierzona w pojedynczych deweloperów i pracowników protokołów. To nie jest klasyczny „techniczny” hack. To cierpliwa operacja wywiadowcza oparta na relacjach, której kulminacją jest dopiero wykonanie złośliwego kodu.
Standardowy scenariusz – opisany szczegółowo przez Mandiant w analizie APT38 financial threat analysis oraz przez amerykańską Cybersecurity and Infrastructure Security Agency w CISA Alert AA22-108A – zakłada, że operatorzy KRLD zakładają wiarygodnie wyglądające profile zawodowe na LinkedIn, często z wykorzystaniem zdjęć generowanych przez AI. Kontaktują się z deweloperami pracującymi przy protokołach krypto, oferując kontrakty, rozmowy rekrutacyjne lub „review” kodu.
W udokumentowanych przypadkach operatorzy KRLD utrzymywali relację na LinkedIn z celem – deweloperem krypto – przez tygodnie lub miesiące, zanim dostarczyli właściwy ładunek malware, budując zaufanie poprzez merytoryczne dyskusje o konkretnym kodzie ofiary.
Gdy cel wejdzie w interakcję, atakujący w końcu wysyła plik wymagający uruchomienia. Może to być PDF z osadzonym payloadem, repozytorium GitHub z zainfekowaną zależnością albo fikcyjny test techniczny, który instaluje backdoora.
Po uzyskaniu dostępu do maszyny dewelopera, hakerzy mogą wykradać klucze prywatne, tokeny sesyjne do systemów wewnętrznych oraz dane logowania do chmury, na której utrzymywane są wdrożenia protokołu.
Poziom wyrafinowania tej „sztuki rzemiosła” odzwierciedla skalę inwestycji państwa w rozwój kompetencji. Prywatne gangi nie są w stanie tego skopiować. Jednostki cybernetyczne KRLD to etatowi funkcjonariusze, szkolący się na pełen etat, działający według ścisłych procedur bezpieczeństwa operacyjnego i dysponujący latami skumulowanej wiedzy o tym, które protokoły są najsłabsze, a którzy deweloperzy – najbardziej podatni na podejście.
Przeczytaj także: Akcje TeraWulf rosną, gdy umowa z Anthropic zmienia kopalnię Bitcoina w gracza AI wart 19 mld dol.
Infrastruktura prania pieniędzy stojąca za tymi liczbami
Kradzież kryptowalut to dopiero pierwszy etap. Zamiana ich w realne przychody reżimu wymaga rozbudowanego łańcucha prania, który sam w sobie stał się dziś obiektem intensywnych badań analityków on-chain. To właśnie na etapie „post‑theft”, czyli po kradzieży, śledczy najpewniej przypisują ataki KRLD, bo grupa wykazuje rozpoznawalne wzorce zachowań... wzorców w sposobie przemieszczania i zaciemniania środków.
Chainalysis opisał typowy schemat prania pieniędzy przez KRLD jako wieloetapowy proces. Skradzione aktywa są najpierw wymieniane na Ethereum (ETH) lub Bitcoina (BTC) na zdecentralizowanych giełdach on-chain, co pozwala zamienić mało płynne tokeny specyficzne dla danego protokołu na aktywa o wysokiej płynności. Następnie środki trafiają do mixerów. Historycznie grupa korzystała z Tornado Cash, ale po objęciu tego protokołu sankcjami OFAC w sierpniu 2022 r. przeszła na alternatywne narzędzia anonimizujące, takie jak Sinbad i Yomix – oba również zostały już objęte sankcjami USA.
OFAC wpisał mikser Sinbad na listę sankcyjną w listopadzie 2023 r., a Yomix w kwietniu 2025 r., ilustrując grę w „kotka i myszkę”, w której każde narzędzie prania pieniędzy wykorzystywane przez KRLD prędzej czy później trafia pod reżim sankcyjny, zmuszając grupę do przenoszenia się na nowe infrastruktury.
Po etapie mieszania środki przechodzą przez sieć zagnieżdżonych kont giełdowych, brokerów OTC działających w jurysdykcjach bez realnego egzekwowania przepisów AML oraz platform peer‑to‑peer. Najczęściej wykorzystywanym wyjściem do fiat są giełdy w Azji Wschodniej i Południowo‑Wschodniej, gdzie wymogi KYC są słabo egzekwowane. W raporcie Panelu Ekspertów ONZ z 2024 r. dotyczącym Korei Północnej przychody z kradzieży krypto zostały wskazane jako kluczowe źródło finansowania programu rakiet balistycznych KRLD – oszacowano, że odpowiadają za ok. 40% zagranicznych wpływów walutowych przeznaczanych na rozwój broni masowego rażenia.
Czytaj także: Ethereum może przejść w stan niemal „zero state” w ramach najbardziej radykalnego planu „lean chain” Buterina
Reakcja regulatorów i jej ograniczenia
Rząd USA sięgnął po szeroki zestaw narzędzi wobec operacji kryptowalutowych KRLD: od wpisywania adresów portfeli i mixerów na listy sankcyjne OFAC, przez komunikaty FBI przypisujące konkretne ataki, po wspólne ostrzeżenia publikowane z sojuszniczymi służbami wywiadowczymi. Departament Sprawiedliwości postawił zarzuty kilku imiennie wskazanym funkcjonariuszom KRLD, choć ich realne ściganie jest iluzoryczne z powodu braku możliwości ekstradycji.
Słabość amerykańskiej odpowiedzi ma charakter systemowy. Sankcje na adresy portfeli działają wyłącznie wobec podmiotów, które ostatecznie korzystają z regulowanej infrastruktury finansowej jako off‑rampu. Wobec zaawansowanych graczy, przenoszących środki przez jurysdykcje poza zasięgiem amerykańskiego AML, skuteczność takich działań jest ograniczona. Sankcje OFAC na Tornado Cash były precedensowe i kontrowersyjne, ale KRLD w ciągu kilku miesięcy dostosowała się, przenosząc operacje na alternatywne rozwiązania.
Departament Sprawiedliwości postawił zarzuty siedmiu imiennie wskazanym hakerom wojskowym KRLD w związku z kradzieżami krypto, jednak żaden nie stanął przed sądem. Akty oskarżenia pełnią głównie funkcję narzędzia przypisania winy oraz sygnału odstraszającego dla podmiotów trzecich, które mogłyby ułatwiać transfer środków.
Financial Action Task Force, międzyrządowy organ standaryzujący regulacje AML, podniósł Koreę Północną do najwyższej kategorii ryzyka i apeluje do państw członkowskich o stosowanie wzmożonej due diligence wobec transakcji mających związek z KRLD. Rekomendacje FATF nie są jednak prawnie wiążące, a jurysdykcje najbardziej użyteczne dla KRLD jako off‑rampy to zazwyczaj kraje spoza FATF lub członkowie z bardzo słabą implementacją standardów.
Unijne Markets in Crypto‑Assets Regulation, w pełni obowiązujące od końca 2024 r., zawiera m.in. wymogi tzw. travel rule, czyli identyfikacji kontrahenta przy transferach krypto powyżej określonych progów. Zwolennicy twierdzą, że utrudnia to część ścieżek off‑ramp przez rynek OTC. Krytycy zauważają jednak, że operacje KRLD są na tyle zaawansowane, iż mogą omijać KYC, korzystając z niehostowanych portfeli i jurysdykcji poza zasięgiem regulacji UE.
Czytaj także: Meta’s Muse Image zamienia Instagrama w surowiec dla sztuki generowanej przez AI
Co naprawdę pokazuje analiza on‑chain
Przypisanie kradzieży kryptowalut Korei Północnej nie jest tezą polityczną, lecz opiera się na weryfikowalnych danych on‑chain, które może samodzielnie przeanalizować każdy badacz dysponujący publicznymi danymi z blockchainów i narzędziami do klastrowania portfeli. Zrozumienie tej metodologii jest kluczowe dla oceny wiarygodności takich przypisań.
W momencie ataku na protokół transakcja kradzieży jest natychmiast widoczna on‑chain. Środki trafiają na portfele kontrolowane przez atakujących, które następnie wykonują serię swapów, transakcji mostkowych i operacji mieszania. Elliptic, inna firma specjalizująca się w analizie blockchain, opublikował szczegółową metodologię wskazującą, że portfele KRLD grupują się wokół powtarzalnych sygnatur behawioralnych: specyficznych schematów czasowych, preferowanych tras swapów, charakterystycznych „resztek” (dust) pozostawianych na portfelach pośrednich oraz skłonności do długotrwałego przetrzymywania środków w określonych klastrach przed ich dalszym przemieszczaniem.
Analiza klastrów portfeli Elliptic pozwoliła zidentyfikować ponad 15 000 adresów powiązanych z operacjami kradzieży KRLD, tworząc graf powiązań, który analitycy forensyczni wykorzystują do śledzenia przepływów środków nawet po ich zmieszaniu.
Komunikaty FBI przypisujące konkretne ataki – m.in. włamanie do Alphapo czy exploit Atomic Wallet w 2023 r. – opierają się na tej samej analizie on‑chain, uzupełnionej o niejawne dane z rozpoznania sygnałowego.
Połączenie publicznych danych z blockchainów i informacji wywiadowczych daje poziom pewności przypisania winy wyższy niż w typowych śledztwach cyberprzestępczych w tradycyjnych finansach, gdzie ścieżka transakcyjna nie jest w podobny sposób przejrzysta.
Czytaj także: Saylor: wzrost Bitcoina o 3,3% rocznie może utrzymać strategię wypłaty dywidend
Schemat „pracowników IT” jako równoległy kanał przychodów
Niezależnie od operacji hakerskich KRLD prowadzi równoległy program generowania przychodów z krypto, który w latach 2024–2025 przyciągnął dużą uwagę organów ścigania. Tysiące obywateli Korei Północnej, korzystając z fałszywych tożsamości wspieranych przez dokumenty tworzone z użyciem AI i deepfake’owe wideo, uzyskało zdalne zatrudnienie w firmach krypto i startupach Web3 w Ameryce Północnej i Europie.
Departament Sprawiedliwości postawił zarzuty czternastu osobom w maju 2024 r. w związku ze schematem, który umożliwił rozmieszczenie pracowników IT z KRLD w ponad 300 amerykańskich firmach, a uzyskiwane wynagrodzenia były przekazywane do Korei Północnej.
Z aktu oskarżenia wynika, że pojedynczy pracownik zarabiał od 250 000 do 300 000 USD rocznie, a cały schemat wygenerował w ciągu kilku lat dziesiątki milionów dolarów.
Majowy akt oskarżenia z 2024 r. dokumentuje przypadki, w których północnokoreańscy pracownicy IT zarabiali nawet 300 000 USD rocznie w amerykańskich firmach krypto i technologicznych, przekazując środki do KRLD przez sieć pośredników w USA, Wielkiej Brytanii i Chinach.
Dla branży krypto ten model jest szczególnie groźny, bo zapewnia agresorowi dostęp insiderski do zespołów deweloperskich. Pracownik IT z legalnymi uprawnieniami i dostępem do repozytoriów kodu stanowi większe zagrożenie niż zewnętrzny napastnik próbujący sforsować zabezpieczenia z zewnątrz.
Kilku badaczy bezpieczeństwa zwróciło uwagę, że podejrzane wzorce commitów, niewyjaśniony dostęp do repozytoriów czy nietypowe godziny pracy są dziś w firmach krypto traktowane jako potencjalne sygnały wskazujące na pracowników IT powiązanych z KRLD.
Skrzyżowanie schematu „pracowników IT” z kampaniami socjotechnicznymi wymierzonymi w deweloperów powoduje, że powierzchnia ataku KRLD na branżę krypto jest wielowymiarowa. Zewnętrzni hakerzy, skompromitowani deweloperzy zwabieni fałszywymi ofertami pracy oraz „wbudowani” insiderzy funkcjonują jednocześnie jako aktywne wektory zagrożeń.
Czytaj także: OpenAI zdobywa zgodę na GPT‑5.6, gdy administracja Trumpa otwiera drogę do szerszego wdrożenia AI
Szersza reakcja branży na zagrożenie
Reakcja sektora krypto na zagrożenie ze strony KRLD jest znacząca, ale bardzo nierówna.
Najlepiej dofinansowane protokoły wdrożyły rozbudowane audyty bezpieczeństwa przed wdrożeniem na mainnecie, prowadzą programy bug bounty z sześciocyfrowymi nagrodami i utrzymują wewnętrzne zespoły security z doświadczeniem w ofensywnych badaniach bezpieczeństwa.
To skupienie wydatków na bezpieczeństwo na szczycie hierarchii protokołów odzwierciedla tę samą „power law”, która rządzi całą branżą krypto.
Immunefi, wiodąca platforma bug bounty Web3, podała, że do połowy 2025 r. za jej pośrednictwem wypłacono ponad 100 mln USD nagród – w zamian za ujawnienie luk, które w przeciwnym razie mogłyby doprowadzić do strat liczonych w miliardach.
Największą pojedynczą wypłatą w historii Immunefi było 10 mln USD dla white‑hata, który zidentyfikował krytyczną lukę w dużym protokole DeFi, zanim została wykorzystana przez napastników.
Skupienie inwestycji w bezpieczeństwo na topowych protokołach oznacza jednak, że mniejsze projekty DeFi – które łącznie nadal zarządzają miliardami dolarów TVL – pozostają znacząco niedoinwestowane pod względem ochrony.
Problem mostów cross‑chain, leżący w centrum wielu największych ataków, doczekał się własnych odpowiedzi architektonicznych.
Najważniejszą z nich jest przejście w stronę bardziej „trust‑minimized” rozwiązań mostkowych, wykorzystujących dowody zero‑knowledge do weryfikacji stanu łańcucha źródłowego bez konieczności opierania się na komitetach walidatorów.
Projekty takie jak Succinct Labs i Polyhedra Network budują infrastrukturę lekkich klientów ZK zaprojektowaną właśnie po to, by wyeliminować założenie zaufanego komitetu, które uczyniło most Ronin podatnym na atak.
Czy To, czy infrastruktura bezpieczeństwa rozwija się dziś szybciej niż ofensywne zdolności Korei Północnej, pozostaje kwestią wysoce wątpliwą.
Udział na poziomie 66% w I półroczu 2026 r. pokazuje, że nawet przy dużych nakładach branży napastnik wciąż dotrzymuje jej kroku.
Zobacz też: SpaceXAI chce zbudować „zabójcę Claude’a” sterowanego kursorem, zanim dopnie umowę wartą 60 mld dol.
Stawka geopolityczna i co dalej
Kradzież kryptowalut jest dziś dla Korei Północnej kluczowym źródłem twardej waluty.
To nie publicystyczna przesada, lecz opis dobrze udokumentowanej praktyki operacyjnej — potwierdzanej przez amerykański Departament Skarbu, ONZ oraz służby wywiadowcze państw sojuszniczych.
Panel Ekspertów ONZ oszacował, że w latach 2017–2023 reżim z Pjongjangu zdołał ukraść kryptowaluty o wartości ok. 3 mld dol., przy czym tempo ataków w ostatnich latach wyraźnie przyspieszyło.
Te środki nie trafiają do „budżetu państwa” w klasycznym znaczeniu.
Przepływają bezpośrednio do programów zbrojeniowych — przede wszystkim do rozwoju rakiet balistycznych oraz miniaturyzacji głowic jądrowych, które są dziś strategicznym priorytetem władz Korei Północnej.
Każdy dolar wyprowadzony z protokołu DeFi może przekładać się na realną poprawę zdolności materiałowych i technologicznych systemów uzbrojenia, które amerykańskie, południowokoreańskie i japońskie sztaby uwzględniają w swoich analizach ryzyka.
Panel Ekspertów ONZ powiązał wspomniane 3 mld dol. skradzione w latach 2017–2023 bezpośrednio z finansowaniem programów zbrojeniowych — czyniąc bezpieczeństwo blockchainu jednym z realnych elementów kalkulacji strategicznych w Azji Północno-Wschodniej.
Przeczytaj również: 5 tańszych alternatyw dla Fable 5: nie przepłacaj za codzienną pracę z AI
Na zakończenie
Wskaźnik 66,2% z I połowy 2026 r. nie jest ciekawostką statystyczną.
To sygnał pokazujący aktualną równowagę sił między jednym z najbardziej zaawansowanych państwowych aparatów cybernetycznych na świecie a branżą, która historycznie przedkładała szybkość wdrożeń nad rygor bezpieczeństwa operacyjnego.
Ewolucja tej konfrontacji — od oportunistycznych ataków na giełdy w 2017 r., przez włamanie do mostu Ronin w 2022 r., po dzisiejszą kampanię wielowektorową wymierzoną równocześnie w deweloperów, mosty i insiderów — pokazuje przeciwnika, który uczy się, adaptuje i skaluje swoje działania szybciej, niż branża jest w stanie nadążyć z inwestycjami w obronę.
Strukturalne przewagi Korei Północnej nie znikną w krótkim terminie.
Reżim dysponuje scentralizowaną kadrą cybernetyczną, która nie ma pokus odejścia do sektora prywatnego, nie podlega publicznej kontroli i działa pod wyraźnym nakazem państwa: generować przychody wszelkimi dostępnymi metodami.
Branża krypto ma natomiast krajobraz bezpieczeństwa silnie rozproszony. Najcenniejsze protokoły są coraz lepiej chronione, ale długa „ogona” mniejszych projektów DeFi pozostaje chronicznie niedofinansowana i narażona.
A mosty cross-chain — infrastruktura spinająca wyspy płynności w całym ekosystemie — są z natury architektonicznie złożone, co sprzyja powstawaniu trwałych, możliwych do wykorzystania luk i błędnych założeń.
