Trussel nr. 1: Sådan rammer Lazarus Group kryptovirksomheder

Nordkoreansk-tilknyttede hackere har i de seneste år stjålet milliarder af dollar fra kryptovalutaindustrien. Men ét navn optræder oftere end de fleste andre i rapporter om cyberkriminalitet: Lazarus Group. Hvordan forvandlede en statsstøttet hackeroperation kryptomarkedet til en indtægtskilde, og hvorfor har den vist sig så vanskelig at stoppe?

Lazarus Group fremstilles typisk som én enkelt hackergruppe, men i praksis er den en del af en langt bredere nordkoreansk cyberoperation. Forskellige undersøgelser har identificeret tilknyttede enheder og grupper under navne som APT38, BlueNoroff, TraderTraitor og andre betegnelser.

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Det, der adskiller Lazarus fra andre, er forbindelsen til staten. Amerikanske myndigheder forbinder gruppen med Nordkoreas Reconnaissance General Bureau og mener, at de stjålne midler hjælper landet med at skaffe udenlandsk valuta trods internationale sanktioner.

Kryptovaluta har vist sig at være et særligt attraktivt mål: Store beløb kan stjæles på afstand, flyttes hurtigt på tværs af blockchains og fordeles på tusindvis af adresser.

Fra banker til kryptobørser

Lazarus Groups historie begyndte længe før, digitale aktiver blev mainstream. Gruppen blev sat i forbindelse med angrebet på Sony Pictures i 2014, mens nordkoreansk-tilknyttede hackere stjal 81 millioner dollar fra Bangladeshs centralbank via SWIFT -systemet i 2016.

Det næste vendepunkt kom, da kryptomarkedet voksede. I modsætning til traditionelle banker kontrollerede kryptovirksomheder store mængder likvide aktiver, opererede døgnet rundt og var ofte afhængige af en håndfuld medarbejdere, private keys eller systemer til transaktionssignering.

Et af de største angreb var hacket af Ronin Bridge i marts 2022. Omkring 620 millioner dollar i aktiver blev stjålet fra systemet, der var forbundet med Axie Infinity. FBI tilskrev senere officielt operationen til Lazarus Group og APT38.

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

I juni samme år blev Harmonys Horizon Bridge angrebet, hvilket resulterede i tab på omkring 100 millioner dollar. I 2023 kom Atomic Wallet, Alphapo, CoinsPaid og Stake.com på listen over ofre, mens Japans DMM Bitcoin mistede yderligere 308 millioner dollar i 2024.

Milliarder stjålet på blot få år

Den mest opsigtsvækkende hændelse fandt sted i februar 2025, da Bybit mistede omkring 1,5 milliarder dollar. FBI kædede tyveriet sammen med Nordkoreas TraderTraitor-kampagne. Målt på det stjålne beløb blev det historiens største enkeltstående kryptovalutatyveri.

Chainalysis vurderede, at nordkoreansk-tilknyttede grupper alene i 2025 stjal mindst 2 milliarder dollar i kryptovaluta. Ved udgangen af året var det samlede beløb for de foregående år nået op på 6,75 milliarder dollar.

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Angrebene fortsatte i 2026. Forskere kædede større tyverier fra Drift Protocol og KelpDAO sammen med nordkoreanske aktører, mens Bitget-hacket i september bragte årets stjålne beløb op over 1 milliard dollar.

Ikke alle angreb udført af nordkoreanske grupper tilskrives officielt Lazarus selv, og forskellige navne henviser ofte til separate teams inden for det samme statsstøttede system. Det er derfor mere præcist at sige, at nordkoreansk-tilknyttede hackere ved efteråret 2026 havde stjålet mere end 7 milliarder dollar i kryptovaluta, hvor Lazarus fortsat var en af operationens centrale komponenter.

Hackerne går efter mennesker – ikke blockchains

Større Lazarus-operationer begynder i stigende grad ikke med en sårbarhed i en smart contract, men med adgang til en medarbejder eller virksomhedens interne systemer. Falske rekrutteringsansvarlige kontakter udviklere via LinkedIn, sender "testopgaver", ondsindede filer eller repositories og forsøger at få fat i loginoplysninger eller adgang til arbejdsenheder.

Amerikanske og japanske myndigheder beskrev netop denne fremgangsmåde efter DMM Bitcoin-hacket. En angriber, der udgav sig for at være rekrutteringsansvarlig, kontaktede en medarbejder hos Ginco, en virksomhed med tilknytning til børsen, og brugte social engineering til at få adgang til et system, der indgik i behandlingen af transaktioner.

En anden metode tager måneder at gennemføre. Nordkoreanske IT-medarbejdere får job i legitime kryptovirksomheder under falske identiteter og opnår dermed adgang til interne systemer som ansatte.

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Ifølge TRM Labs skyldtes omkring 76 % af værdien, der blev stjålet i første halvdel af 2026, kompromittering af interne systemer og operationelle processer. Kontrol over en private key, konto eller et system til transaktionssignering giver angribere mulighed for at flytte midler uden at udnytte en sårbarhed i selve blockchainen.

Fase to: Flytning af de stjålne midler

Umiddelbart efter et angreb fordeles de stjålne aktiver på talrige adresser, veksles via decentraliserede platforme, overføres mellem blockchains og sendes gennem tjenester, der gør transaktionerne sværere at spore.

Efter hacket af Horizon Bridge fulgte FBI brugen af RAILGUN, mens Lazarus anvendte Tornado Cash i andre operationer og tidligere gjorde brug af Sinbad. Da enkelte tjenester blev ramt af sanktioner eller lukket, ændrede hvidvaskningsruterne sig.

Efter Bybit -hacket blev de stjålne aktiver hurtigt konverteret, fordelt på tusindvis af adresser og flyttet mellem blockchains.

En nyere sag viser, hvor langt dette netværk rækker uden for selve Nordkorea. ZachXBT hævder, at et kinesisk kriminelt netværk hjalp med at hvidvaske mere end 1 milliard dollar, som Lazarus havde stjålet i flere angreb. Efter Bybit-hacket infiltrerede efterforskeren netværket ved at udgive sig for at være kunde og kædede individuelle operatører sammen med millioner af dollar i stjålne midler.

Hvorfor Lazarus fortsat udgør en systemisk trussel

Blokering af en enkelt wallet eller tjeneste stopper sjældent Lazarus. Bag én klynge af adresser kan der være nye mellemmænd, medarbejdere, der opererer under falske identiteter, hvidvaskningsnetværk og et system, der er afhængigt af en konstant strøm af midler. Amerikanske myndigheder forbinder direkte indtægter fra disse operationer med nordkoreanske programmer, herunder udviklingen af ballistiske missiler og atomvåben. For et regime, der er underlagt omfattende sanktioner, er kryptovalutaindustrien blevet en måde at skaffe udenlandsk valuta uden adgang til det konventionelle internationale finanssystem.

Det ændrer også sikkerhedskravene. Børser og DeFi-projekter kan ikke længere udelukkende basere sig på audits af smart contracts. De skal også overvåge rekruttering, medarbejdernes enheder, adgangstilladelser, systemer til transaktionssignering og eksterne leverandører.

Samtidig øger hvert større tyveri presset på tjenester, der også kan tjene legitime formål. Mixers, bridges og decentraliserede børser møder sanktioner og regulatorisk kontrol, når hundredvis af millioner dollar med forbindelse til Nordkorea passerer gennem dem.

I løbet af de seneste år har Lazarus udviklet sig fra én blandt mange hackergrupper til en systemisk trussel mod kryptovalutaindustrien. Gruppens fordel ligger ikke i en enkelt avanceret sårbarhed, men i evnen til at kombinere social engineering, intern adgang, tekniske angreb og international hvidvaskning af penge i en koordineret operation.

Problemets omfang kan derfor ikke længere udelukkende måles i stjålne milliarder af dollar. Så længe kryptovirksomheder forbliver bekvemme mål for adgang til likvide digitale aktiver, og der findes netværk, som kan flytte og hvidvaske stjålne midler, vil Lazarus-angreb fortsat udgøre en vedvarende trussel mod hele branchen frem for isolerede hændelser.