Lazarus Group: التهديد الأول لشركات العملات المشفرة

سرق قراصنة مرتبطون بكوريا الشمالية مليارات الدولارات من قطاع العملات المشفرة خلال السنوات الأخيرة. لكن اسماً واحداً يظهر في تقارير الجرائم السيبرانية أكثر من معظم الأسماء الأخرى: Lazarus Group. كيف حوّلت عملية قرصنة مدعومة من الدولة سوق العملات المشفرة إلى مصدر للإيرادات، ولماذا ثبتت صعوبة إيقافها؟

تُصوَّر Lazarus Group عادةً على أنها مجموعة قرصنة واحدة، لكنها عملياً جزء من عملية سيبرانية كورية شمالية أوسع بكثير. وقد حددت تحقيقات مختلفة وحدات ومجموعات مرتبطة بها تحت أسماء مثل APT38 وBlueNoroff وTraderTraitor وتسميات أخرى.

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

ما يميز Lazarus هو ارتباطها بالدولة. تربط السلطات الأمريكية المجموعة بمكتب الاستطلاع العام في كوريا الشمالية، وتعتقد أن الأموال المسروقة تساعد البلاد على الحصول على العملات الأجنبية رغم العقوبات الدولية.

أثبتت العملات المشفرة أنها هدف جذاب بشكل خاص: إذ يمكن سرقة مبالغ كبيرة عن بُعد، ونقلها سريعاً عبر البلوكشين، وتقسيمها بين آلاف العناوين.

من البنوك إلى منصات العملات المشفرة

بدأ تاريخ Lazarus Group قبل وقت طويل من انتشار الأصول الرقمية. ارتبطت المجموعة بهجوم عام 2014 على Sony Pictures، بينما سرق قراصنة مرتبطون بكوريا الشمالية $81 مليون من البنك المركزي البنغلاديشي عبر نظام SWIFT في عام 2016.

جاءت نقطة التحول التالية مع توسع سوق العملات المشفرة. فعلى خلاف البنوك التقليدية، كانت شركات العملات المشفرة تسيطر على كميات ضخمة من الأصول السائلة، وتعمل على مدار الساعة، وغالباً ما تعتمد على عدد محدود من الموظفين أو المفاتيح الخاصة أو أنظمة توقيع المعاملات.

كان أحد أكبر الهجمات اختراق Ronin Bridge في مارس 2022. وسُرق من النظام المرتبط بـ Axie Infinity ما يقارب $620 مليون من الأصول. ونسب مكتب التحقيقات الفيدرالي لاحقاً العملية رسمياً إلى Lazarus Group وAPT38.

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

في يونيو من العام نفسه، تعرض Horizon Bridge التابع لـ Harmony لهجوم، ما أسفر عن خسائر بنحو $100 مليون. وفي 2023، انضمت Atomic Wallet وAlphapo وCoinsPaid وStake.com إلى قائمة الضحايا، فيما خسرت DMM Bitcoin اليابانية $308 مليون إضافية في 2024.

مليارات مسروقة خلال بضع سنوات فقط

وقعت الحادثة الأبرز في فبراير 2025، حين خسرت Bybit نحو $1.5 مليار. وربط مكتب التحقيقات الفيدرالي السرقة بحملة TraderTraitor الكورية الشمالية. وبقيمة الأموال المسروقة، أصبحت أكبر سرقة منفردة للعملات المشفرة في التاريخ.

قدّرت Chainalysis أن المجموعات المرتبطة بكوريا الشمالية سرقت ما لا يقل عن $2 مليار من العملات المشفرة في 2025 وحده. وبنهاية ذلك العام، بلغ الإجمالي التراكمي للسنوات السابقة $6.75 مليار.

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

استمرت الهجمات في 2026. وربط الباحثون سرقات كبرى من Drift Protocol وKelpDAO بجهات كورية شمالية، فيما دفع اختراق Bitget في سبتمبر إجمالي المبالغ المسروقة خلال العام إلى ما فوق $1 مليار.

لا تُنسب كل هجمة تنفذها مجموعات كورية شمالية رسمياً إلى Lazarus نفسها، وغالباً ما تشير الأسماء المختلفة إلى فرق منفصلة ضمن المنظومة نفسها المدعومة من الدولة. لذلك، من الأدق القول إن القراصنة المرتبطين بكوريا الشمالية سرقوا أكثر من $7 مليار من العملات المشفرة بحلول خريف 2026، مع بقاء Lazarus أحد المكونات الرئيسية لتلك العملية.

القراصنة يستهدفون الأشخاص لا البلوكشين

تبدأ عمليات Lazarus الكبرى بشكل متزايد ليس بثغرة في عقد ذكي، بل بالوصول إلى موظف أو إلى الأنظمة الداخلية للشركة. يتواصل مجندون مزيفون مع المطورين عبر LinkedIn، ويرسلون «مهام اختبارية» أو ملفات أو مستودعات خبيثة، ويحاولون الحصول على بيانات الاعتماد أو الوصول إلى أجهزة العمل.

وصفت السلطات الأمريكية واليابانية هذا الأسلوب تحديداً بعد اختراق DMM Bitcoin. إذ تواصل مهاجم متنكراً في هيئة مسؤول توظيف مع موظف لدى Ginco، وهي شركة مرتبطة بالمنصة، واستخدم الهندسة الاجتماعية للوصول إلى نظام مشارك في معالجة المعاملات.

يتطلب نهج آخر أشهراً لتنفيذه. يحصل عاملون كوريون شماليون في مجال تكنولوجيا المعلومات على وظائف لدى شركات عملات مشفرة شرعية بهويات مزيفة، ما يتيح لهم الوصول إلى الأنظمة الداخلية بصفتهم موظفين.

عرض المنشور على X جارٍ التحميل...

تم حذف التغريدة بواسطة المؤلف.

لكننا حفظنا كل شيء 🙂.

وفقاً لـ TRM Labs ، نتج نحو 76% من القيمة المسروقة في النصف الأول من 2026 عن اختراق الأنظمة الداخلية والعمليات التشغيلية. ويتيح التحكم في مفتاح خاص أو حساب أو نظام توقيع المعاملات للمهاجمين نقل الأموال دون استغلال ثغرة في البلوكشين نفسه.

المرحلة الثانية: نقل الأموال المسروقة

مباشرة بعد الهجوم، تُقسَّم الأصول المسروقة بين عناوين عديدة، وتُبادَل عبر منصات لامركزية، وتُنقل بين شبكات البلوكشين، وتُمرَّر عبر خدمات تجعل تتبع المعاملات أكثر صعوبة.

عقب اختراق Horizon Bridge، تتبع مكتب التحقيقات الفيدرالي استخدام RAILGUN، فيما استخدمت Lazarus Tornado Cash في عمليات أخرى واعتمدت سابقاً على Sinbad. وعندما واجهت خدمات منفردة عقوبات أو أُغلقت، تغيرت مسارات غسل الأموال.

بعد اختراق Bybit ، حُوّلت الأصول المسروقة بسرعة، ووُزعت على آلاف العناوين، ونُقلت بين شبكات البلوكشين.

تُظهر قضية حديثة مدى امتداد هذه الشبكة إلى ما وراء كوريا الشمالية نفسها. يزعم ZachXBT أن شبكة إجرامية صينية ساعدت في غسل أكثر من $1 مليار سرقتها Lazarus عبر عدة هجمات. وبعد اختراق Bybit، اخترق المحقق الشبكة متنكراً كعميل وربط مشغلين أفراداً بملايين الدولارات من الأموال المسروقة.

لماذا تظل Lazarus تهديداً نظامياً

نادراً ما يؤدي حظر محفظة أو خدمة واحدة إلى إيقاف Lazarus. فخلف مجموعة واحدة من العناوين قد توجد جهات وسيطة جديدة، وموظفون يعملون بهويات مزيفة، وشبكات لغسل الأموال، ومنظومة تعتمد على تدفق مستمر للأموال. وتربط السلطات الأمريكية مباشرةً إيرادات هذه العمليات ببرامج كوريا الشمالية، بما في ذلك تطوير الصواريخ الباليستية والأسلحة النووية. وبالنسبة لنظام يواجه عقوبات صارمة، أصبح قطاع العملات المشفرة إحدى طرق الحصول على العملات الأجنبية من دون الوصول إلى النظام المالي الدولي التقليدي.

يغير هذا أيضاً متطلبات الأمن. فلم يعد بإمكان المنصات ومشاريع DeFi الاعتماد على تدقيق العقود الذكية وحده. بل يجب عليها أيضاً مراقبة التوظيف وأجهزة الموظفين وصلاحيات الوصول وأنظمة توقيع المعاملات والمتعاقدين الخارجيين.

وفي الوقت نفسه، تزيد كل سرقة كبرى الضغط على الخدمات التي قد تخدم أيضاً أغراضاً مشروعة. إذ تواجه الخلاطات والجسور والمنصات اللامركزية عقوبات وتدقيقاً تنظيمياً عندما تمر عبرها مئات ملايين الدولارات المرتبطة بكوريا الشمالية.

خلال السنوات العديدة الماضية، تطورت Lazarus من إحدى مجموعات القرصنة الكثيرة إلى تهديد نظامي لقطاع العملات المشفرة. ولا تكمن ميزتها في ثغرة متطورة واحدة، بل في قدرتها على الجمع بين الهندسة الاجتماعية والوصول الداخلي والهجمات التقنية وغسل الأموال الدولي ضمن عملية منسقة.

لذلك، لم يعد من الممكن قياس حجم المشكلة بمليارات الدولارات المسروقة وحدها. فما دامت شركات العملات المشفرة أهدافاً مريحة للوصول إلى الأصول الرقمية السائلة، وما دامت هناك شبكات لنقل الأموال المسروقة وغسلها، ستظل هجمات Lazarus تهديداً مستمراً للقطاع بأكمله لا حوادث معزولة.