Hacken은 Web3 손실이 2025년에 거의 40억 달러에 이르렀으며 북한이 피해의 절반 이상을 차지했으며 규제 당국은 보안 지침을 엄격한 규칙으로 바꾸라는 압력을 받고 있다고 말합니다.
소셜 피드의 코인텔레그래프.
Hacken 2025 연간 보안 보고서에 따르면 Web3의 총 손실액은 약 3달러입니다. 950억 달러로 약 1달러 증가했습니다. 2024년부터 10억 달러 중 절반 이상이 북한 위협 행위자에 의한 것입니다.
코인텔레그래프와 공유한 보고서에 따르면 손실은 1분기에 20억 달러 이상으로 최고조에 달했다가 4분기에는 약 3억 5천만 달러로 감소했지만 Hacken은 이 패턴이 여전히 고립된 코딩 버그라기보다는 시스템적인 운영 위험을 지적하고 있다고 경고합니다.
보고서는 2025년을 수치가 악화된 해로 설정했지만 근본적인 이야기는 분명해졌습니다. 스마트 계약 버그도 중요하지만 가장 크고 복구 가능한 손실은 여전히 취약한 키, 손상된 서명자 및 엉성한 오프보딩에서 발생합니다.
Hacken에 따르면 액세스 제어 실패와 광범위한 운영 보안 고장이 약 2달러를 차지했습니다. 스마트 계약 취약점으로 인한 약 5억 1, 200만 달러와 비교하면 2025년 전체 손실의 거의 54%에 해당하는 120억 달러입니다.
Bybit 위반 비용만 거의 1달러입니다. 50억 달러는 단일 절도 사상 최대 규모로, 북한 관련 클러스터가 전체 도난 자금의 약 52%를 차지하는 주요 이유다.
관련 항목: 3달러 부근의 암호화폐 손실. 4B는 해커들이 '대형 사냥'에 나섰다.
Hacken Extractor의 포렌식 책임자인 Yehor Rudystia는 미국, 유럽 연합 및 기타 주요 관할권의 라이선스 제도가 역할 기반 액세스 제어, 로깅, 보안 온보딩 및 ID 확인, 기관 등급 보호(하드웨어 보안 모델, 다자간 계산 또는 다중 서명 및 콜드 스토리지), 지속적인 모니터링 및 이상 탐지와 같은 "좋은" 모습을 문서에 점점 더 자세히 설명하고 있다고 Cointelegraph에 말했습니다.
그러나 "규제 요구 사항이 필수 원칙으로 변하면서 많은 Web3 회사가 2025년 내내 계속해서 안전하지 않은 관행을 따랐습니다"라고 Rudystia는 말했습니다.
그는 오프보딩 중에 개발자의 액세스 권한을 취소하지 않고, 프로토콜 관리를 위해 단일 개인 키를 사용하고, 엔드포인트 탐지 및 대응 시스템을 갖추지 않는 등의 관행을 지적했습니다.
Rudystia는 “가장 중요한 것 중에는 정기적인 침투 테스트, 사고 시뮬레이션, 보관 통제 검토, 독립적인 재무 및 통제 감사가 있습니다. ”라고 Rudystia는 말했습니다. 또한 대규모 거래소와 관리인은 2026년에 이를 협상 불가능한 것으로 처리해야 한다고 덧붙였습니다.
관련 항목: 2025년 사회공학 비용은 수십억 달러에 달합니다: 자신을 보호하는 방법.
Hacken은 감독자가 지침에서 엄격한 요구 사항으로 전환함에 따라 기준이 더욱 높아질 것으로 예상합니다.
Hacken의 공동 창립자이자 CEO인 Yevheniia Broshevan은 Cointelegraph에 다음과 같이 말했습니다. “우리는 특히 전용 서명 하드웨어를 사용하고 필수 모니터링 도구를 구현하기 위한 명확한 프로토콜을 채택하는 데 있어 업계가 보안 기준을 높일 수 있는 중요한 기회를 보고 있습니다. ”
그는 규제 요건과 사용자 자금을 보호하기 위해 부과되어야 하는 "가장 안전한 표준"을 통해 2026년에는 전반적인 보안이 향상될 것으로 기대한다고 말했습니다.
Rudystia는 북한과 관련된 클러스터가 Hacken의 귀속으로 인한 전체 손실의 약 절반을 초래했다는 점을 감안할 때 규제 기관과 법 집행 기관도 국가의 플레이북을 특정 감독 문제로 취급해야 한다고 말했습니다.
그는 당국이 북한 지표에 대한 실시간 위협 정보 공유를 의무화하고, 피싱 주도 액세스 공격에 초점을 맞춘 위협별 위험 평가를 요구하며, 이를 "비준수에 대한 단계적 처벌" 및 북한 관련 방어에 완전히 참여하고 유지하는 플랫폼에 대한 세이프 하버 보호와 결합해야 한다고 주장했습니다.
원문 제목: North Korea-linked theft and poor key security dominate Web3 losses: Hacken
Hacken says Web3 losses climbed to nearly $4 billion in 2025, with North Korea behind over half the damage, and regulators are under pressure to turn security guidance into hard rules.
Cointelegraph in your social feed.
The Hacken 2025 Yearly Security Report puts total Web3 losses at about $3.
95 billion, up roughly $1.
1 billion from 2024, with just over half of that attributed to North Korean threat actors.
A report shared with Cointelegraph shows losses peaked at more than $2 billion in the first quarter of the year before falling to around $350 million by Q4, but Hacken warns that the pattern still points to systemic operational risk rather than isolated coding bugs.
The report frames 2025 as a year where the numbers worsened, but the underlying story became clear.
Smart contract bugsmatter, but the biggest, least recoverable losses are still coming from weak keys, compromised signers, and sloppy off‑boarding.
According to Hacken, access control failures and broader operational security breakdowns accounted for about $2.
12 billion, or nearly 54% of all 2025 losses, compared with around $512 million from smart contract vulnerabilities.
TheBybit breach alone, at nearly $1.
5 billion, is described as the largest single theft on record and a key reason North Korea-linked clusters account for roughly 52% of total stolen funds.
Related:Crypto losses near $3.
4B as hackers went ‘big game hunting’.
Yehor Rudystia, head of forensic at Hacken Extractor, told Cointelegraph that regulators across the US, European Union and other major jurisdictions’ licensing regimes increasingly spell out what “good” looks like on paper, such as role‑based access control, logging, secure onboarding and ID verification,institutional‑grade custody(hardware security models, multi-party computation, ormulti‑sig, and cold storage), as well as continuous monitoring and anomaly detection.
However, “as regulatory requirements are only becoming mandatory principles, a lot of Web3 companies continued to follow insecure practices throughout 2025,” Rudystia said.
He pointed to practices such as not revoking developers’ access during off‑boarding, using a single private key for managing a protocol, and not having Endpoint Detection and Response systems.
“Among the most important are regular pen tests, incident simulations, custody control reviews, and independent financial and controls audits,” Rudystia said, adding that large exchanges and custodians should treat these as non‑negotiable in 2026.
Related:Social engineering cost crypto billions in 2025: How to protect yourself.
Hacken expects the bar to rise further as supervisors move from guidance to hard requirements.
Yevheniia Broshevan, Hacken’s co-founder and CEO, told Cointelegraph, “We see a significant opportunity for the industry to raise its security baseline, particularly in adopting clear protocols for using dedicated signing hardware and implementing essential monitoring tools.
”.
He said he expected overall security to improve in 2026 with regulatory requirements and “the most secure standards” that should be imposed to protect users’ funds.
Given that North Korea-linked clusters drove roughly half of all losses in Hacken’s attribution, Rudystia said regulators and law enforcement also needed to treat the country’s playbooks as a specific supervisory concern.
He argued that authorities should mandate real‑time threat intelligence sharing on North Korean indicators, require threat‑specific risk assessments focused on phishing‑led access attacks, and pair that with “graduated penalties for non‑compliance” and safe‑harbor protections for platforms that fully participate and maintain North Korea‑specific defenses.
