Hrozba č. 1: Jak skupina Lazarus útočí na kryptoměnové společnosti

Hackeři napojení na Severní Koreu v posledních letech ukradli kryptoměnovému odvětví miliardy dolarů. Jedno jméno se však ve zprávách o kyberkriminalitě objevuje častěji než většina ostatních: skupina Lazarus. Jak se hackerská operace podporovaná státem proměnila ve zdroj příjmů z kryptoměnového trhu a proč se ji dosud nedaří zastavit?

Skupina Lazarus je obvykle vykreslována jako jediná hackerská skupina, ve skutečnosti je však součástí mnohem širší severokorejské kybernetické operace. Různá vyšetřování identifikovala přidružené jednotky a skupiny označované například jako APT38, BlueNoroff, TraderTraitor a dalšími názvy.

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Odlišuje ji napojení na stát. Americké úřady spojují skupinu s Hlavním průzkumným úřadem Severní Koreje a domnívají se, že ukradené prostředky pomáhají zemi získávat cizí měnu navzdory mezinárodním sankcím.

Kryptoměny se ukázaly jako mimořádně atraktivní cíl: velké částky lze ukrást na dálku, rychle přesouvat mezi blockchainy a rozdělit mezi tisíce adres.

Od bank ke kryptoměnovým burzám

Historie skupiny Lazarus začala dávno předtím, než se digitální aktiva stala běžnou součástí trhu. Skupina byla spojována s útokem na Sony Pictures v roce 2014, zatímco hackeři napojení na Severní Koreu v roce 2016 ukradli bangladéšské centrální bance 81 milionů dolarů prostřednictvím systému SWIFT.

Další zásadní zlom přišel s rozšířením kryptoměnového trhu. Na rozdíl od tradičních bank kryptoměnové společnosti spravovaly obrovské objemy likvidních aktiv, fungovaly nepřetržitě a často závisely na několika zaměstnancích, privátních klíčích nebo systémech pro podepisování transakcí.

Jeden z největších útoků představoval hack Ronin Bridge z března 2022. Ze systému spojeného s Axie Infinity byla ukradena aktiva v hodnotě přibližně 620 milionů dolarů. FBI později operaci oficiálně připsala skupinám Lazarus a APT38.

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

V červnu téhož roku byl napaden Harmonyin Horizon Bridge, což vedlo ke ztrátám kolem 100 milionů dolarů. V roce 2023 přibyly na seznam obětí Atomic Wallet, Alphapo, CoinsPaid a Stake.com, zatímco japonský DMM Bitcoin v roce 2024 přišel o dalších 308 milionů dolarů.

Miliardy ukradené během pouhých několika let

K nejznámějšímu incidentu došlo v únoru 2025, kdy Bybit přišel přibližně o 1,5 miliardy dolarů. FBI krádež spojila se severokorejskou kampaní TraderTraitor. Podle ukradené částky šlo o největší jednotlivou krádež kryptoměn v historii.

Chainalysis odhadla, že skupiny napojené na Severní Koreu ukradly jen v roce 2025 kryptoměny v hodnotě nejméně 2 miliard dolarů. Do konce téhož roku dosáhl kumulativní součet za předchozí roky 6,75 miliardy dolarů.

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Útoky pokračovaly i v roce 2026. Výzkumníci spojili velké krádeže z Drift Protocol a KelpDAO se severokorejskými aktéry, zatímco zářijový hack Bitget zvýšil částku ukradenou během roku nad 1 miliardu dolarů.

Ne každý útok provedený severokorejskými skupinami je oficiálně připsán přímo Lazarusu a různá označení často odkazují na samostatné týmy v rámci stejného státem podporovaného systému. Přesnější proto je říci, že hackeři napojení na Severní Koreu do podzimu 2026 ukradli kryptoměny v hodnotě přes 7 miliard dolarů, přičemž Lazarus zůstává jednou z hlavních součástí této operace.

Hackeři cílí na lidi, ne na blockchainy

Velké operace skupiny Lazarus stále častěji nezačínají zneužitím zranitelnosti smart kontraktu, ale získáním přístupu k zaměstnanci nebo interním systémům společnosti. Falešní náboráři kontaktují vývojáře přes LinkedIn, posílají „testovací úkoly“, škodlivé soubory nebo repozitáře a pokoušejí se získat přihlašovací údaje či přístup k pracovním zařízením.

Americké a japonské úřady popsaly přesně tento postup po hacku DMM Bitcoin. Útočník vydávající se za náboráře kontaktoval zaměstnance společnosti Ginco, která byla spojena s burzou, a pomocí sociálního inženýrství získal přístup k systému zapojenému do zpracování transakcí.

Jiný přístup se realizuje během několika měsíců. Severokorejští IT pracovníci získávají pod falešnou identitou zaměstnání v legitimních kryptoměnových společnostech a jako zaměstnanci tak získávají přístup k interním systémům.

Zobrazit příspěvek na X Načítání...

Tweet byl autorem smazán.

Ale my jsme všechno uložili 🙂.

Podle TRM Labs bylo přibližně 76 % hodnoty ukradené v první polovině roku 2026 výsledkem kompromitace interních systémů a provozních procesů. Kontrola nad privátním klíčem, účtem nebo systémem pro podepisování transakcí umožňuje útočníkům přesouvat prostředky bez zneužití zranitelnosti samotného blockchainu.

Druhá fáze: Přesun ukradených prostředků

Bezprostředně po útoku jsou ukradená aktiva rozdělena mezi množství adres, směněna prostřednictvím decentralizovaných platforem, převedena mezi blockchainy a vedena přes služby, které ztěžují dohledání transakcí.

Po hacku Horizon Bridge FBI sledovala využití RAILGUN, zatímco Lazarus při jiných operacích používal Tornado Cash a dříve se spoléhal na Sinbad. Když jednotlivé služby čelily sankcím nebo byly uzavřeny, trasy praní peněz se změnily.

Po hacku Bybitu byla ukradená aktiva rychle převedena na jiné tokeny, rozprostřena mezi tisíce adres a přesouvána mezi blockchainy.

Nedávný případ ukazuje, jak daleko tato síť přesahuje samotnou Severní Koreu. ZachXBT tvrdí, že čínská zločinecká síť pomohla vyprat více než 1 miliardu dolarů ukradených skupinou Lazarus při několika útocích. Po hacku Bybitu vyšetřovatel do sítě pronikl v roli zákazníka a spojil jednotlivé operátory s ukradenými prostředky v hodnotě milionů dolarů.

Proč Lazarus zůstává systémovou hrozbou

Zablokování jedné peněženky nebo služby Lazarus jen zřídka zastaví. Za jedním shlukem adres mohou stát noví prostředníci, zaměstnanci vystupující pod falešnou identitou, sítě pro praní peněz a systém závislý na nepřetržitém toku prostředků.Americké úřady přímo spojují příjmy z těchto operací se severokorejskými programy včetně vývoje balistických raket a jaderných zbraní. Pro režim čelící přísným sankcím se kryptoměnové odvětví stalo jedním ze způsobů, jak získávat cizí měnu bez přístupu ke konvenčnímu mezinárodnímu finančnímu systému.

To mění také bezpečnostní požadavky. Burzy a projekty DeFi se již nemohou spoléhat pouze na audity smart kontraktů. Musí rovněž monitorovat nábor, zařízení zaměstnanců, přístupová oprávnění, systémy pro podepisování transakcí a externí dodavatele.

Každá velká krádež zároveň zvyšuje tlak na služby, které mohou sloužit i legitimním účelům. Mixery, bridge protokoly a decentralizované burzy čelí sankcím a regulatornímu dohledu, když přes ně procházejí stovky milionů dolarů spojených se Severní Koreou.

Během posledních několika let se Lazarus proměnil z jedné z mnoha hackerských skupin v systémovou hrozbu pro kryptoměnové odvětví. Jeho výhoda nespočívá v jediné sofistikované zranitelnosti, ale ve schopnosti kombinovat sociální inženýrství, interní přístup, technické útoky a mezinárodní praní peněz do koordinované operace.

Rozsah problému proto již nelze měřit pouze v ukradených miliardách dolarů. Dokud zůstanou kryptoměnové společnosti snadným cílem pro přístup k likvidním digitálním aktivům a budou existovat sítě pro přesun a praní ukradených prostředků, zůstanou útoky skupiny Lazarus trvalou hrozbou pro celé odvětví, nikoli izolovanými incidenty.