1. számú fenyegetés: Így célozza a Lazarus Group a kriptovállalatokat

Az Észak-Koreához köthető hackerek az elmúlt években több milliárd dollárt loptak el a kriptovaluta-iparágból. Egy név azonban a kiberbűnözésről szóló jelentésekben a legtöbbször visszatér: a Lazarus Group. Hogyan alakított egy államilag támogatott hackercsoport a kriptopiacot bevételi forrássá, és miért bizonyult ilyen nehéznek megállítani?

A Lazarus Groupot általában egyetlen hackercsoportként ábrázolják, a gyakorlatban azonban egy sokkal szélesebb körű észak-koreai kiberhadművelet része. A különböző vizsgálatok olyan kapcsolódó egységeket és csoportokat azonosítottak, mint az APT38, a BlueNoroff, a TraderTraitor és más elnevezésekkel illetett szervezetek.

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

Ami megkülönbözteti a Lazarust, az az államhoz fűződő kapcsolata. Az amerikai hatóságok a csoportot Észak-Korea Reconnaissance General Bureau szervezetéhez kötik, és úgy vélik, hogy az ellopott pénzek segítik az országot devizához jutni a nemzetközi szankciók ellenére.

A kriptovaluta különösen vonzó célpontnak bizonyult: nagy összegeket lehet távolról ellopni, gyorsan mozgatni különböző blokkláncok között, majd több ezer címre szétosztani.

A bankoktól a kriptotőzsdékig

A Lazarus Group története jóval azelőtt kezdődött, hogy a digitális eszközök általánosan elterjedtek volna. A csoportot kapcsolatba hozták a Sony Pictures ellen 2014-ben végrehajtott támadással, míg az Észak-Koreához köthető hackerek 2016-ban a SWIFT rendszeren keresztül 81 millió dollárt loptak el Banglades központi bankjától.

A következő fordulópontot a kriptopiac bővülése jelentette. A hagyományos bankokkal ellentétben a kriptovállalatok hatalmas mennyiségű likvid eszközt kezeltek, éjjel-nappal működtek, és gyakran néhány alkalmazottra, privát kulcsra vagy tranzakció-aláíró rendszerre támaszkodtak.

Az egyik legnagyobb támadás a Ronin Bridge 2022 márciusában végrehajtott feltörése volt. Az Axie Infinityhez kapcsolódó rendszerből megközelítőleg 620 millió dollár értékű eszközt loptak el. Az FBI később hivatalosan is a Lazarus Groupnak és az APT38-nak tulajdonította a műveletet.

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

Ugyanezen év júniusában megtámadták a Harmony Horizon Bridge-et, ami mintegy 100 millió dolláros veszteséget okozott. 2023-ban az Atomic Wallet, az Alphapo, a CoinsPaid és a Stake.com is felkerült az áldozatok listájára, míg a japán DMM Bitcoin 2024-ben további 308 millió dollárt veszített.

Néhány év alatt ellopott milliárdok

A legnagyobb visszhangot kiváltó incidens 2025 februárjában történt, amikor a Bybit megközelítőleg 1,5 milliárd dollárt veszített. Az FBI a lopást az észak-koreai TraderTraitor-kampányhoz kötötte. Az ellopott összeg alapján ez lett a történelem legnagyobb egyedi kriptovaluta-lopása.

A Chainalysis becslése szerint az Észak-Koreához köthető csoportok csak 2025-ben legalább 2 milliárd dollár értékű kriptovalutát loptak el. Az év végére az előző évekkel együtt számított kumulált összeg elérte a 6,75 milliárd dollárt.

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

A támadások 2026-ban is folytatódtak. A kutatók a Drift Protocol és a KelpDAO elleni jelentős lopásokat észak-koreai szereplőkhöz kötötték, míg a szeptemberi Bitget-feltörés 1 milliárd dollár fölé emelte az adott évben ellopott összeget.

Nem minden, észak-koreai csoportok által végrehajtott támadást tulajdonítanak hivatalosan magának a Lazarusnak, és a különböző elnevezések gyakran ugyanazon államilag támogatott rendszer különálló csapataira utalnak. Ezért pontosabb úgy fogalmazni, hogy 2026 őszéig az Észak-Koreához köthető hackerek több mint 7 milliárd dollár értékű kriptovalutát loptak el, miközben a Lazarus továbbra is a művelet egyik központi eleme.

A hackerek nem a blokkláncokat, hanem az embereket célozzák

A Lazarus jelentősebb műveletei egyre gyakrabban nem egy okosszerződés sérülékenységével, hanem egy alkalmazotthoz vagy a vállalat belső rendszereihez való hozzáférés megszerzésével kezdődnek. A hamis toborzók LinkedInen keresik meg a fejlesztőket, „tesztfeladatokat”, kártékony fájlokat vagy repozitóriumokat küldenek nekik, majd megpróbálják megszerezni a hitelesítő adatokat vagy hozzáférést a munkaeszközökhöz.

Az amerikai és japán hatóságok pontosan ezt a módszert írták le a DMM Bitcoin feltörését követően. Egy toborzónak álcázott támadó megkereste a tőzsdéhez kapcsolódó Ginco egyik alkalmazottját, majd social engineering segítségével hozzáférést szerzett a tranzakciók feldolgozásában részt vevő rendszerhez.

Egy másik megközelítés hónapokig tartó előkészítést igényel. Észak-koreai informatikai dolgozók hamis identitással helyezkednek el legitim kriptovállalatoknál, és alkalmazottként hozzáférést szereznek a belső rendszerekhez.

Bejegyzés megtekintése az X-en Betöltés...

A tweetet a szerző törölte.

De mi mindent elmentettünk 🙂.

A TRM Labs szerint 2026 első felében az ellopott érték mintegy 76%-a belső rendszerek és működési folyamatok kompromittálásából származott. Egy privát kulcs, számla vagy tranzakció-aláíró rendszer feletti ellenőrzés lehetővé teszi a támadók számára a pénzek mozgatását anélkül, hogy magát a blokklánc sérülékenységét használnák ki.

Második szakasz: Az ellopott pénzek mozgatása

Közvetlenül a támadás után az ellopott eszközöket számos címre osztják szét, decentralizált platformokon keresztül váltják át, blokkláncok között mozgatják, majd olyan szolgáltatásokon vezetik át, amelyek megnehezítik a tranzakciók nyomon követését.

A Horizon Bridge feltörése után az FBI nyomon követte a RAILGUN használatát, míg a Lazarus más műveletekben a Tornado Casht, korábban pedig a Sinbadot használta. Amikor egyes szolgáltatások szankciókkal szembesültek vagy leálltak, a pénzmosási útvonalak megváltoztak.

A Bybit feltörése után az ellopott eszközöket gyorsan átváltották, több ezer cím között osztották szét, majd különböző blokkláncok között mozgatták.

Egy friss eset megmutatja, milyen messzire nyúlik ez a hálózat Észak-Koreán túl. ZachXBT állítása szerint egy kínai bűnözői hálózat több támadás során több mint 1 milliárd dollárnyi, a Lazarus által ellopott pénz tisztára mosásában segített. A Bybit feltörése után a nyomozó ügyfélnek álcázva beépült a hálózatba, és az egyes operátorokat több millió dollárnyi ellopott pénzzel kapcsolta össze.

Miért jelent a Lazarus továbbra is rendszerszintű fenyegetést

Egyetlen tárca vagy szolgáltatás blokkolása ritkán állítja meg a Lazарust. Egy címcsoport mögött új közvetítők, hamis identitással dolgozó alkalmazottak, pénzmosó hálózatok és egy folyamatos pénzáramlásra épülő rendszer állhatnak.Az amerikai hatóságok közvetlen kapcsolatot látnak e műveletek bevételei és az észak-koreai programok, köztük a ballisztikus rakéták és nukleáris fegyverek fejlesztése között. A súlyos szankciókkal sújtott rezsim számára a kriptoipar az egyik lehetőséget jelenti deviza szerzésére a hagyományos nemzetközi pénzügyi rendszerhez való hozzáférés nélkül.

Ez a biztonsági követelményeket is megváltoztatja. A tőzsdék és a DeFi-projektek többé nem támaszkodhatnak kizárólag az okosszerződések auditjára. A toborzást, az alkalmazottak eszközeit, a hozzáférési jogosultságokat, a tranzakció-aláíró rendszereket és a külső vállalkozókat is figyelniük kell.

Ugyanakkor minden jelentős lopás növeli a nyomást azokra a szolgáltatásokra, amelyek legitim célokat is szolgálhatnak. A mixerek, a hidak és a decentralizált tőzsdék szankciókkal és szabályozói ellenőrzéssel szembesülnek, amikor több száz millió dollárnyi, Észak-Koreához köthető pénz halad át rajtuk.

Az elmúlt években a Lazarus a sok hackercsoport egyikéből a kriptovaluta-iparágat fenyegető rendszerszintű veszéllyé fejlődött. Előnye nem egyetlen kifinomult sérülékenység kihasználásában rejlik, hanem abban, hogy a social engineeringet, a belső hozzáférést, a technikai támadásokat és a nemzetközi pénzmosást összehangolt műveletté képes egyesíteni.

A probléma nagyságát ezért már nem lehet kizárólag az ellopott milliárdokban mérni. Amíg a kriptovállalatok kényelmes célpontot jelentenek a likvid digitális eszközökhöz való hozzáféréshez, és léteznek hálózatok az ellopott pénzek mozgatására és tisztára mosására, addig a Lazarus támadásai nem elszigetelt incidensek, hanem az egész iparágat tartósan fenyegető veszélyek maradnak.