Ancaman No. 1: Cara Lazarus Group menargetkan perusahaan crypto

Peretas yang terkait dengan Korea Utara telah mencuri miliaran dolar dari industri cryptocurrency dalam beberapa tahun terakhir. Namun, satu nama muncul dalam laporan kejahatan siber lebih sering daripada kebanyakan nama lainnya: Lazarus Group. Bagaimana operasi peretasan yang didukung negara mengubah pasar crypto menjadi sumber pendapatan, dan mengapa operasi ini terbukti begitu sulit dihentikan?

Lazarus Group biasanya digambarkan sebagai satu kelompok peretas, tetapi dalam praktiknya, kelompok ini merupakan bagian dari operasi siber Korea Utara yang jauh lebih luas. Berbagai investigasi telah mengidentifikasi unit dan kelompok terkait dengan nama seperti APT38, BlueNoroff, TraderTraitor, serta berbagai sebutan lainnya.

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Yang membedakan Lazarus adalah keterkaitannya dengan negara. Otoritas AS mengaitkan kelompok ini dengan Reconnaissance General Bureau Korea Utara dan meyakini bahwa dana yang dicuri membantu negara tersebut memperoleh valuta asing meskipun menghadapi sanksi internasional.

Cryptocurrency terbukti menjadi target yang sangat menarik: dana dalam jumlah besar dapat dicuri dari jarak jauh, dipindahkan dengan cepat antar-blockchain, dan dipecah ke ribuan alamat.

Dari bank hingga crypto exchange

Sejarah Lazarus Group dimulai jauh sebelum aset digital menjadi arus utama. Kelompok ini dikaitkan dengan serangan terhadap Sony Pictures pada 2014, sementara peretas yang terkait dengan Korea Utara mencuri $81 juta dari bank sentral Bangladesh melalui sistem SWIFT pada 2016.

Titik balik berikutnya terjadi ketika pasar cryptocurrency berkembang. Berbeda dari bank tradisional, perusahaan crypto mengendalikan aset likuid dalam jumlah besar, beroperasi sepanjang waktu, dan sering bergantung pada segelintir karyawan, private key, atau sistem penandatanganan transaksi.

Salah satu serangan terbesar adalah peretasan Ronin Bridge pada Maret 2022. Sekitar $620 juta aset dicuri dari sistem yang terkait dengan Axie Infinity. FBI kemudian secara resmi mengaitkan operasi tersebut dengan Lazarus Group dan APT38.

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Pada Juni tahun yang sama, Horizon Bridge milik Harmony diserang dan mengakibatkan kerugian sekitar $100 juta. Pada 2023, Atomic Wallet, Alphapo, CoinsPaid, dan Stake.com masuk dalam daftar korban, sementara DMM Bitcoin Jepang kembali kehilangan $308 juta pada 2024.

Miliaran dolar dicuri hanya dalam beberapa tahun

Insiden paling terkenal terjadi pada Februari 2025, ketika Bybit kehilangan sekitar $1,5 miliar. FBI mengaitkan pencurian tersebut dengan kampanye TraderTraitor Korea Utara. Berdasarkan jumlah yang dicuri, insiden ini menjadi pencurian cryptocurrency tunggal terbesar dalam sejarah.

Chainalysis memperkirakan bahwa kelompok yang terkait dengan Korea Utara mencuri setidaknya $2 miliar dalam cryptocurrency hanya pada 2025. Pada akhir tahun tersebut, total kumulatif dari tahun-tahun sebelumnya telah mencapai $6,75 miliar.

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Serangan berlanjut pada 2026. Peneliti mengaitkan pencurian besar dari Drift Protocol dan KelpDAO dengan aktor Korea Utara, sementara peretasan Bitget pada September mendorong jumlah yang dicuri sepanjang tahun tersebut melampaui $1 miliar.

Tidak setiap serangan yang dilakukan kelompok Korea Utara secara resmi dikaitkan dengan Lazarus, dan nama-nama yang berbeda sering kali merujuk pada tim terpisah dalam sistem yang sama-sama didukung negara. Oleh karena itu, lebih akurat untuk mengatakan bahwa peretas yang terkait dengan Korea Utara telah mencuri lebih dari $7 miliar dalam cryptocurrency hingga musim gugur 2026, dengan Lazarus tetap menjadi salah satu komponen utama operasi tersebut.

Peretas menargetkan manusia, bukan blockchain

Operasi besar Lazarus semakin sering dimulai bukan dari kerentanan smart contract, melainkan dari akses ke karyawan atau sistem internal perusahaan. Perekrut palsu menghubungi developer melalui LinkedIn, mengirim “tugas uji”, file atau repository berbahaya, dan berupaya memperoleh kredensial atau akses ke perangkat kerja.

Otoritas AS dan Jepang menggambarkan pendekatan ini secara tepat setelah peretasan DMM Bitcoin. Penyerang yang menyamar sebagai perekrut menghubungi seorang karyawan Ginco, perusahaan yang terkait dengan exchange tersebut, lalu menggunakan rekayasa sosial untuk memperoleh akses ke sistem yang terlibat dalam pemrosesan transaksi.

Pendekatan lain membutuhkan waktu berbulan-bulan. Pekerja IT Korea Utara memperoleh pekerjaan di perusahaan crypto yang sah dengan identitas palsu, sehingga mendapatkan akses ke sistem internal sebagai karyawan.

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Menurut TRM Labs, sekitar 76% nilai yang dicuri pada paruh pertama 2026 berasal dari kompromi sistem internal dan proses operasional. Kendali atas private key, akun, atau sistem penandatanganan transaksi memungkinkan penyerang memindahkan dana tanpa mengeksploitasi kerentanan pada blockchain itu sendiri.

Tahap kedua: Memindahkan dana curian

Segera setelah serangan, aset yang dicuri dipecah ke banyak alamat, ditukar melalui platform terdesentralisasi, dipindahkan antar-blockchain, dan dialihkan melalui layanan yang membuat transaksi lebih sulit dilacak.

Setelah peretasan Horizon Bridge, FBI melacak penggunaan RAILGUN, sementara Lazarus menggunakan Tornado Cash dalam operasi lain dan sebelumnya mengandalkan Sinbad. Ketika layanan tertentu menghadapi sanksi atau ditutup, jalur pencucian uang pun berubah.

Setelah peretasan Bybit, aset yang dicuri dengan cepat dikonversi, didistribusikan ke ribuan alamat, dan dipindahkan antar-blockchain.

Kasus terbaru menunjukkan seberapa jauh jaringan ini meluas di luar Korea Utara. ZachXBT mengklaim bahwa jaringan kriminal Tiongkok membantu mencuci lebih dari $1 miliar yang dicuri Lazarus dalam beberapa serangan. Setelah peretasan Bybit, investigator tersebut menyusup ke jaringan dengan menyamar sebagai pelanggan dan mengaitkan operator individu dengan dana curian senilai jutaan dolar.

Mengapa Lazarus tetap menjadi ancaman sistemik

Memblokir satu wallet atau layanan jarang menghentikan Lazarus. Di balik satu klaster alamat mungkin terdapat perantara baru, karyawan yang beroperasi dengan identitas palsu, jaringan pencucian uang, dan sistem yang bergantung pada aliran dana yang stabil.U.S. authorities secara langsung mengaitkan pendapatan dari operasi ini dengan program Korea Utara, termasuk pengembangan rudal balistik dan senjata nuklir. Bagi rezim yang menghadapi sanksi berat, industri cryptocurrency telah menjadi salah satu cara memperoleh valuta asing tanpa akses ke sistem keuangan internasional konvensional.

Hal ini juga mengubah persyaratan keamanan. Exchange dan proyek DeFi tidak lagi dapat hanya mengandalkan audit smart contract. Mereka juga harus memantau proses perekrutan, perangkat karyawan, izin akses, sistem penandatanganan transaksi, dan kontraktor pihak ketiga.

Pada saat yang sama, setiap pencurian besar meningkatkan tekanan terhadap layanan yang juga dapat digunakan untuk tujuan yang sah. Mixer, bridge, dan decentralized exchange menghadapi sanksi serta pengawasan regulator ketika ratusan juta dolar yang terkait dengan Korea Utara melewati layanan tersebut.

Selama beberapa tahun terakhir, Lazarus telah berkembang dari salah satu dari banyak kelompok peretas menjadi ancaman sistemik bagi industri cryptocurrency. Keunggulannya bukan terletak pada satu kerentanan canggih, melainkan pada kemampuannya menggabungkan rekayasa sosial, akses internal, serangan teknis, dan pencucian uang lintas negara menjadi operasi yang terkoordinasi.

Oleh karena itu, skala masalah ini tidak lagi dapat diukur hanya dari miliaran dolar yang dicuri. Selama perusahaan crypto tetap menjadi target yang mudah untuk mengakses aset digital likuid, dan jaringan untuk memindahkan serta mencuci dana curian tetap tersedia, serangan Lazarus akan terus menjadi ancaman persisten bagi seluruh industri, bukan sekadar insiden yang terisolasi.