Uhka nro 1: Näin Lazarus Group kohdistaa hyökkäyksiä kryptoyrityksiin

Pohjois-Koreaan kytkeytyneet hakkerit ovat varastaneet viime vuosina kryptovaluutta-alalta miljardeja dollareita. Yksi nimi kuitenkin esiintyy kyberrikollisuutta koskevissa raporteissa muita useammin: Lazarus Group. Miten valtion tukema hakkerioperaatio muutti kryptomarkkinat tulonlähteeksi, ja miksi sen pysäyttäminen on osoittautunut niin vaikeaksi?

Lazarus Group esitetään yleensä yhtenä hakkeriryhmänä, mutta käytännössä se on osa paljon laajempaa Pohjois-Korean kyberoperaatiota. Eri tutkimuksissa on tunnistettu siihen liittyviä yksiköitä ja ryhmiä nimillä kuten APT38, BlueNoroff, TraderTraitor ja muilla nimityksillä.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Lazaruksen erottaa muista sen yhteys valtioon. Yhdysvaltain viranomaiset yhdistävät ryhmän Pohjois-Korean tiedustelun pääosastoon ja uskovat varastettujen varojen auttavan maata hankkimaan ulkomaanvaluuttaa kansainvälisistä pakotteista huolimatta.

Kryptovaluutat ovat osoittautuneet erityisen houkuttelevaksi kohteeksi: suuria summia voidaan varastaa etänä, siirtää nopeasti lohkoketjujen välillä ja jakaa tuhansille osoitteille.

Pankeista kryptopörsseihin

Lazarus Groupin historia alkoi kauan ennen kuin digitaalisista varoista tuli valtavirtaa. Ryhmä yhdistettiin vuonna 2014 Sony Picturesiin kohdistuneeseen hyökkäykseen, ja Pohjois-Koreaan kytkeytyneet hakkerit varastivat vuonna 2016 Bangladeshin keskuspankilta $81 miljoonaa SWIFT -järjestelmän kautta.

Seuraava käännekohta tuli kryptovaluuttamarkkinoiden kasvaessa. Toisin kuin perinteiset pankit, kryptoyritykset hallinnoivat valtavia määriä likvidejä varoja, toimivat ympäri vuorokauden ja olivat usein riippuvaisia vain harvoista työntekijöistä, yksityisavaimista tai tapahtumien allekirjoitusjärjestelmistä.

Yksi suurimmista hyökkäyksistä oli Ronin Bridgeen maaliskuussa 2022 kohdistunut hakkerointi. Axie Infinityyn liittyvästä järjestelmästä varastettiin noin $620 miljoonaa varoja. FBI katsoi myöhemmin virallisesti operaation Lazarus Groupin ja APT38:n syyksi.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Saman vuoden kesäkuussa Harmonyn Horizon Bridgeen hyökättiin, mikä johti noin $100 miljoonan tappioihin. Vuonna 2023 Atomic Wallet, Alphapo, CoinsPaid ja Stake.com liittyivät uhrien joukkoon, kun taas Japanin DMM Bitcoin menetti vuonna 2024 vielä $308 miljoonaa.

Miljardeja varastettu vain muutamassa vuodessa

Näkyvin tapaus sattui helmikuussa 2025, jolloin Bybit menetti noin $1,5 miljardia. FBI yhdisti varkauden Pohjois-Korean TraderTraitor-kampanjaan. Varastetun summan perusteella siitä tuli historian suurin yksittäinen kryptovaluuttavarkaus.

Chainalysis arvioi, että Pohjois-Koreaan kytkeytyneet ryhmät varastivat pelkästään vuonna 2025 vähintään $2 miljardia kryptovaluuttoja. Tuon vuoden loppuun mennessä aiempien vuosien kumulatiivinen kokonaismäärä oli noussut $6,75 miljardiin.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Hyökkäykset jatkuivat vuonna 2026. Tutkijat yhdistivät Drift Protocoliin ja KelpDAO:hon kohdistuneet merkittävät varkaudet pohjoiskorealaisiin toimijoihin, kun taas syyskuun Bitget-hakkerointi nosti vuoden aikana varastetun määrän yli $1 miljardin.

Kaikkia Pohjois-Korean ryhmien toteuttamia hyökkäyksiä ei virallisesti liitetä itse Lazarukseen, ja eri nimet viittaavat usein erillisiin tiimeihin saman valtion tukeman järjestelmän sisällä. Siksi on täsmällisempää sanoa, että Pohjois-Koreaan kytkeytyneet hakkerit olivat varastaneet yli $7 miljardia kryptovaluuttoja syksyyn 2026 mennessä, ja Lazarus säilyi yhtenä operaation keskeisistä osista.

Hakkerit kohdistavat hyökkäyksensä ihmisiin, eivät lohkoketjuihin

Lazaruksen merkittävät operaatiot alkavat yhä useammin pääsyllä työntekijän tai yrityksen sisäisiin järjestelmiin, eivät älysopimuksen haavoittuvuudella. Valevärvääjät ottavat kehittäjiin yhteyttä LinkedInin kautta, lähettävät "testitehtäviä", haitallisia tiedostoja tai repositorioita ja yrittävät saada haltuunsa tunnuksia tai pääsyn työvälineisiin.

Yhdysvaltain ja Japanin viranomaiset kuvasivat juuri tällaista toimintatapaa DMM Bitcoinin hakkeroinnin jälkeen. Rekrytoijaksi tekeytynyt hyökkääjä otti yhteyttä pörssiin liittyvän Ginco-yhtiön työntekijään ja käytti sosiaalista manipulointia päästäkseen käsiksi tapahtumien käsittelyyn osallistuvaan järjestelmään.

Toisen lähestymistavan toteuttaminen kestää kuukausia. Pohjoiskorealaiset IT-työntekijät hankkivat työpaikkoja laillisista kryptoyrityksistä väärillä henkilöllisyyksillä ja saavat työntekijöinä pääsyn sisäisiin järjestelmiin.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

TRM Labsin mukaan noin 76 % vuoden 2026 ensimmäisellä puoliskolla varastetusta arvosta johtui sisäisten järjestelmien ja toimintaprosessien murroista. Yksityisavaimen, tilin tai tapahtumien allekirjoitusjärjestelmän hallinta mahdollistaa varojen siirtämisen ilman, että lohkoketjua itseään koskevaa haavoittuvuutta tarvitsee hyödyntää.

Vaihe kaksi: varastettujen varojen siirtäminen

Välittömästi hyökkäyksen jälkeen varastetut varat jaetaan lukuisiin osoitteisiin, vaihdetaan hajautetuilla alustoilla, siirretään lohkoketjujen välillä ja ohjataan palvelujen kautta, jotka vaikeuttavat tapahtumien jäljittämistä.

Horizon Bridge -hakkeroinnin jälkeen FBI seurasi RAILGUNin käyttöä, kun taas Lazarus käytti muissa operaatioissa Tornado Cashia ja turvautui aiemmin Sinbadiin. Kun yksittäiset palvelut joutuivat pakotteiden kohteeksi tai suljettiin, rahanpesureitit muuttuivat.

Bybit -hakkeroinnin jälkeen varastetut varat muunnettiin nopeasti, jaettiin tuhansille osoitteille ja siirrettiin lohkoketjujen välillä.

Tuore tapaus osoittaa, kuinka pitkälle tämä verkosto ulottuu Pohjois-Korean ulkopuolelle. ZachXBT väittää, että kiinalainen rikollisverkosto auttoi pesemään useissa hyökkäyksissä Lazaruksen varastamia yli $1 miljardia. Bybit-hakkeroinnin jälkeen tutkija soluttautui verkostoon esiintymällä asiakkaana ja yhdisti yksittäisiä toimijoita miljooniin dollareihin varastettuja varoja.

Miksi Lazarus on edelleen systeeminen uhka

Yksittäisen lompakon tai palvelun estäminen pysäyttää Lazaruksen harvoin. Yhden osoiteklusterin takana voi olla uusia välikäsiä, väärillä henkilöllisyyksillä toimivia työntekijöitä, rahanpesuverkostoja ja järjestelmä, joka on riippuvainen jatkuvasta varojen virrasta.Yhdysvaltain viranomaiset yhdistävät näistä operaatioista saatavat tulot suoraan Pohjois-Korean ohjelmiin, mukaan lukien ballististen ohjusten ja ydinaseiden kehittämiseen. Ankarien pakotteiden kohteena olevalle hallinnolle kryptovaluutta-ala on muodostunut yhdeksi keinoksi hankkia ulkomaanvaluuttaa ilman pääsyä tavanomaiseen kansainväliseen rahoitusjärjestelmään.

Tämä muuttaa myös tietoturvavaatimuksia. Pörssit ja DeFi-projektit eivät voi enää luottaa pelkästään älysopimusten auditointeihin. Niiden on myös seurattava rekrytointia, työntekijöiden laitteita, käyttöoikeuksia, tapahtumien allekirjoitusjärjestelmiä ja ulkopuolisia alihankkijoita.

Samalla jokainen merkittävä varkaus lisää painetta palveluihin, joilla voi olla myös laillisia käyttötarkoituksia. Mixerit, sillat ja hajautetut pörssit joutuvat pakotteiden ja sääntelyviranomaisten tarkasteluun, kun niiden kautta kulkee satoja miljoonia dollareita Pohjois-Koreaan kytkeytyviä varoja.

Viime vuosina Lazarus on kehittynyt yhdestä monista hakkeriryhmistä kryptovaluutta-alan systeemiseksi uhaksi. Sen etu ei perustu yksittäiseen kehittyneeseen haavoittuvuuteen, vaan kykyyn yhdistää sosiaalinen manipulointi, sisäinen pääsy, tekniset hyökkäykset ja kansainvälinen rahanpesu koordinoiduksi operaatioksi.

Ongelman mittakaavaa ei siksi voi enää mitata pelkästään varastetuissa miljardeissa dollareissa. Niin kauan kuin kryptoyritykset ovat helppoja kohteita likvidien digitaalisten varojen saamiseksi ja on olemassa verkostoja varastettujen varojen siirtämiseen ja pesemiseen, Lazaruksen hyökkäykset pysyvät koko alaa koskevana jatkuvana uhkana eivätkä yksittäisinä tapauksina.