Trussel nr. 1: Slik rammer Lazarus Group kryptoselskaper

Nord-Korea-tilknyttede hackere har stjålet milliarder av dollar fra kryptovalutaindustrien de siste årene. Men ett navn dukker opp i rapporter om cyberkriminalitet oftere enn de fleste andre: Lazarus Group. Hvordan gjorde en statlig støttet hackeroperasjon kryptomarkedet til en inntektskilde, og hvorfor har den vist seg så vanskelig å stanse?

Lazarus Group fremstilles vanligvis som én enkelt hackergruppe, men i praksis er den del av en langt bredere nordkoreansk cyberoperasjon. Ulike undersøkelser har identifisert tilknyttede enheter og grupper under navn som APT38, BlueNoroff, TraderTraitor og andre betegnelser.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Det som skiller Lazarus fra andre, er tilknytningen til staten. Amerikanske myndigheter knytter gruppen til Nord-Koreas Reconnaissance General Bureau og mener at de stjålne midlene hjelper landet med å skaffe utenlandsk valuta til tross for internasjonale sanksjoner.

Kryptovaluta har vist seg å være et særlig attraktivt mål: Store beløp kan stjeles på avstand, flyttes raskt på tvers av blokkjeder og fordeles på tusenvis av adresser.

Fra banker til kryptobørser

Lazarus Groups historie begynte lenge før digitale aktiva ble allemannseie. Gruppen ble knyttet til angrepet på Sony Pictures i 2014, mens Nord-Korea-tilknyttede hackere stjal 81 millioner dollar fra Bangladeshs sentralbank gjennom SWIFT -systemet i 2016.

Det neste vendepunktet kom da kryptovalutamarkedet vokste. I motsetning til tradisjonelle banker kontrollerte kryptoselskaper enorme mengder likvide aktiva, opererte døgnet rundt og var ofte avhengige av en håndfull ansatte, private nøkler eller systemer for transaksjonssignering.

Et av de største angrepene var hackingen av Ronin Bridge i mars 2022. Omtrent 620 millioner dollar i aktiva ble stjålet fra systemet knyttet til Axie Infinity. FBI tilskrev senere offisielt operasjonen til Lazarus Group og APT38.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

I juni samme år ble Harmony s Horizon Bridge angrepet, noe som førte til tap på rundt 100 millioner dollar. I 2023 kom Atomic Wallet, Alphapo, CoinsPaid og Stake.com på listen over ofre, mens Japans DMM Bitcoin mistet ytterligere 308 millioner dollar i 2024.

Milliarder stjålet på bare noen få år

Den mest omtalte hendelsen fant sted i februar 2025, da Bybit mistet omtrent 1,5 milliarder dollar. FBI knyttet tyveriet til Nord-Koreas TraderTraitor-kampanje. Målt etter stjålet beløp ble det historiens største enkeltstående kryptovalutatyveri.

Chainalysis anslo at Nord-Korea-tilknyttede grupper stjal minst 2 milliarder dollar i kryptovaluta bare i 2025. Ved utgangen av året hadde det samlede beløpet for tidligere år nådd 6,75 milliarder dollar.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Angrepene fortsatte i 2026. Forskere knyttet store tyverier fra Drift Protocol og KelpDAO til nordkoreanske aktører, mens Bitget-hackingen i september løftet det stjålne beløpet i løpet av året til over 1 milliard dollar.

Ikke alle angrep utført av nordkoreanske grupper tilskrives offisielt Lazarus, og ulike navn viser ofte til separate team innenfor det samme statlig støttede systemet. Det er derfor mer presist å si at Nord-Korea-tilknyttede hackere hadde stjålet mer enn 7 milliarder dollar i kryptovaluta innen høsten 2026, med Lazarus som fortsatt en av de sentrale delene av operasjonen.

Hackere går etter mennesker, ikke blokkjeder

Store Lazarus-operasjoner begynner i økende grad ikke med en sårbarhet i en smartkontrakt, men med tilgang til en ansatt eller selskapets interne systemer. Falske rekrutterere kontakter utviklere via LinkedIn, sender «testoppgaver», ondsinnede filer eller kodearkiver og forsøker å få tak i innloggingsopplysninger eller tilgang til arbeidsenheter.

Amerikanske og japanske myndigheter beskrev nettopp denne fremgangsmåten etter hackingen av DMM Bitcoin. En angriper som utga seg for å være rekrutterer, kontaktet en ansatt i Ginco, et selskap tilknyttet børsen, og brukte sosial manipulering for å få tilgang til et system som behandlet transaksjoner.

En annen metode tar måneder å gjennomføre. Nordkoreanske IT-arbeidere får jobb i legitime kryptoselskaper under falske identiteter og får dermed tilgang til interne systemer som ansatte.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Ifølge TRM Labs skyldtes omtrent 76 % av verdien som ble stjålet i første halvdel av 2026 kompromittering av interne systemer og operative prosesser. Kontroll over en privat nøkkel, konto eller et system for transaksjonssignering gjør det mulig for angripere å flytte midler uten å utnytte en sårbarhet i selve blokkjeden.

Fase to: Flytting av de stjålne midlene

Umiddelbart etter et angrep fordeles de stjålne aktivaene på en rekke adresser, veksles gjennom desentraliserte plattformer, overføres mellom blokkjeder og sendes gjennom tjenester som gjør transaksjonene vanskeligere å spore.

Etter hackingen av Horizon Bridge sporet FBI bruken av RAILGUN, mens Lazarus brukte Tornado Cash i andre operasjoner og tidligere benyttet Sinbad. Da enkelte tjenester ble sanksjonert eller stengt, endret hvitvaskingsrutene seg.

Etter hackingen av Bybit ble de stjålne aktivaene raskt konvertert, fordelt på tusenvis av adresser og flyttet mellom blokkjeder.

En nyere sak viser hvor langt dette nettverket strekker seg utover selve Nord-Korea. ZachXBT hevder at et kinesisk kriminelt nettverk bidro til å hvitvaske mer enn 1 milliard dollar som Lazarus stjal i flere angrep. Etter Bybit-hackingen infiltrerte etterforskeren nettverket ved å utgi seg for å være kunde og knyttet enkeltoperatører til millioner av dollar i stjålne midler.

Hvorfor Lazarus fortsatt utgjør en systemisk trussel

Blokkering av én enkelt lommebok eller tjeneste stanser sjelden Lazarus. Bak én klynge med adresser kan det finnes nye mellommenn, ansatte som opererer under falske identiteter, hvitvaskingsnettverk og et system som er avhengig av en jevn strøm av midler.Amerikanske myndigheter knytter inntekter fra disse operasjonene direkte til nordkoreanske programmer, blant annet utvikling av ballistiske missiler og atomvåpen. For et regime som møter omfattende sanksjoner, har kryptovalutaindustrien blitt en måte å skaffe utenlandsk valuta på uten tilgang til det konvensjonelle internasjonale finanssystemet.

Dette endrer også sikkerhetskravene. Børser og DeFi-prosjekter kan ikke lenger bare stole på revisjoner av smartkontrakter. De må også overvåke rekruttering, ansattes enheter, tilgangstillatelser, systemer for transaksjonssignering og eksterne leverandører.

Samtidig øker hvert større tyveri presset mot tjenester som også kan ha legitime formål. Mixere, broer og desentraliserte børser møter sanksjoner og regulatorisk gransking når hundrevis av millioner dollar knyttet til Nord-Korea går gjennom dem.

De siste årene har Lazarus utviklet seg fra å være én av mange hackergrupper til å bli en systemisk trussel mot kryptovalutaindustrien. Fordelen ligger ikke i én enkelt sofistikert sårbarhet, men i evnen til å kombinere sosial manipulering, intern tilgang, tekniske angrep og internasjonal hvitvasking i en koordinert operasjon.

Problemets omfang kan derfor ikke lenger måles utelukkende i stjålne milliarder av dollar. Så lenge kryptoselskaper forblir praktiske mål for tilgang til likvide digitale aktiva, og det finnes nettverk som kan flytte og hvitvaske stjålne midler, vil Lazarus-angrep fortsatt utgjøre en vedvarende trussel mot hele bransjen – ikke bare isolerte hendelser.