Dreiging nr. 1: hoe Lazarus Group cryptobedrijven aanvalt

Aan Noord-Korea gelieerde hackers hebben de afgelopen jaren miljarden dollars gestolen uit de cryptocurrencysector. Maar één naam komt vaker dan de meeste andere voor in rapporten over cybercriminaliteit: Lazarus Group. Hoe veranderde een door de staat gesteunde hackoperatie de cryptomarkt in een inkomstenbron, en waarom blijkt het zo moeilijk om deze te stoppen?

Lazarus Group wordt doorgaans voorgesteld als één hackergroep, maar maakt in de praktijk deel uit van een veel bredere Noord-Koreaanse cyberoperatie. Verschillende onderzoeken hebben gelieerde eenheden en groepen geïdentificeerd onder namen als APT38, BlueNoroff, TraderTraitor en andere benamingen.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Wat Lazarus onderscheidt, is de connectie met de staat. Amerikaanse autoriteiten brengen de groep in verband met het Reconnaissance General Bureau van Noord-Korea en denken dat de gestolen fondsen het land helpen aan buitenlandse valuta te komen ondanks internationale sancties.

Cryptocurrency is een bijzonder aantrekkelijk doelwit gebleken: grote bedragen kunnen op afstand worden gestolen, snel over blockchains worden verplaatst en over duizenden adressen worden verspreid.

Van banken naar crypto-exchanges

De geschiedenis van Lazarus Group begon lang voordat digitale assets mainstream werden. De groep werd in verband gebracht met de aanval op Sony Pictures in 2014, terwijl aan Noord-Korea gelieerde hackers in 2016 via het SWIFT -systeem $81 miljoen stalen van de centrale bank van Bangladesh.

Het volgende keerpunt kwam toen de cryptomarkt groeide. In tegenstelling tot traditionele banken beheerden cryptobedrijven enorme hoeveelheden liquide assets, waren ze de klok rond actief en waren ze vaak afhankelijk van een handvol medewerkers, private keys of systemen voor het ondertekenen van transacties.

Een van de grootste aanvallen was de hack van de Ronin Bridge in maart 2022. Ongeveer $620 miljoen aan assets werd gestolen uit het systeem dat bij Axie Infinity hoorde. De FBI schreef de operatie later officieel toe aan Lazarus Group en APT38.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

In juni van datzelfde jaar werd de Horizon Bridge van Harmony aangevallen, wat leidde tot verliezen van ongeveer $100 miljoen. In 2023 voegden Atomic Wallet, Alphapo, CoinsPaid en Stake.com zich bij de lijst van slachtoffers, terwijl het Japanse DMM Bitcoin in 2024 nog eens $308 miljoen verloor.

Miljarden gestolen in slechts enkele jaren

Het meest spraakmakende incident vond plaats in februari 2025, toen Bybit ongeveer $1,5 miljard verloor. De FBI bracht de diefstal in verband met de TraderTraitor-campagne van Noord-Korea. Op basis van het gestolen bedrag werd dit de grootste afzonderlijke cryptodiefstal in de geschiedenis.

Chainalysis schatte dat aan Noord-Korea gelieerde groepen in 2025 alleen al voor minstens $2 miljard aan cryptocurrency stalen. Tegen het einde van dat jaar was het cumulatieve totaal over eerdere jaren opgelopen tot $6,75 miljard.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

De aanvallen gingen door in 2026. Onderzoekers brachten grote diefstallen bij Drift Protocol en KelpDAO in verband met Noord-Koreaanse actoren, terwijl de Bitget-hack in september het in dat jaar gestolen bedrag boven $1 miljard bracht.

Niet elke aanval van Noord-Koreaanse groepen wordt officieel aan Lazarus zelf toegeschreven, en verschillende namen verwijzen vaak naar afzonderlijke teams binnen hetzelfde door de staat gesteunde systeem. Het is daarom nauwkeuriger om te zeggen dat aan Noord-Korea gelieerde hackers in het najaar van 2026 meer dan $7 miljard aan cryptocurrency hadden gestolen, waarbij Lazarus een van de centrale onderdelen van die operatie bleef.

Hackers richten zich op mensen, niet op blockchains

Grote Lazarus-operaties beginnen steeds vaker niet met een kwetsbaarheid in een smart contract, maar met toegang tot een medewerker of de interne systemen van een bedrijf. Neprecruiters nemen via LinkedIn contact op met ontwikkelaars, sturen "testopdrachten", kwaadaardige bestanden of repositories en proberen inloggegevens of toegang tot werkapparaten te verkrijgen.

Amerikaanse en Japanse autoriteiten beschreven precies deze aanpak na de hack van DMM Bitcoin. Een aanvaller die zich voordeed als recruiter nam contact op met een medewerker van Ginco, een bedrijf dat aan de exchange gelieerd is, en gebruikte social engineering om toegang te krijgen tot een systeem dat bij de verwerking van transacties betrokken was.

Een andere aanpak neemt maanden in beslag. Noord-Koreaanse IT-medewerkers krijgen onder valse identiteiten banen bij legitieme cryptobedrijven en verkrijgen zo als werknemers toegang tot interne systemen.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Volgens TRM Labs was ongeveer 76% van de waarde die in de eerste helft van 2026 werd gestolen het gevolg van compromittering van interne systemen en operationele processen. Controle over een private key, account of systeem voor het ondertekenen van transacties stelt aanvallers in staat fondsen te verplaatsen zonder een kwetsbaarheid in de blockchain zelf te misbruiken.

Fase twee: de gestolen fondsen verplaatsen

Direct na een aanval worden gestolen assets over talloze adressen verdeeld, via gedecentraliseerde platforms omgewisseld, tussen blockchains overgemaakt en via diensten geleid die transacties moeilijker traceerbaar maken.

Na de hack van de Horizon Bridge volgde de FBI het gebruik van RAILGUN, terwijl Lazarus bij andere operaties Tornado Cash gebruikte en eerder op Sinbad vertrouwde. Toen afzonderlijke diensten met sancties te maken kregen of werden gesloten, veranderden de witwasroutes.

Na de hack van Bybit werden de gestolen assets snel omgezet, over duizenden adressen verspreid en tussen blockchains verplaatst.

Een recente zaak laat zien hoe ver dit netwerk buiten Noord-Korea zelf reikt. ZachXBT beweert dat een Chinees crimineel netwerk hielp bij het witwassen van meer dan $1 miljard die Lazarus bij verschillende aanvallen had gestolen. Na de Bybit-hack infiltreerde de onderzoeker het netwerk door zich voor te doen als klant en bracht hij individuele operators in verband met miljoenen dollars aan gestolen fondsen.

Waarom Lazarus een systemische bedreiging blijft

Het blokkeren van één wallet of dienst houdt Lazarus zelden tegen. Achter één cluster van adressen kunnen nieuwe tussenpersonen, medewerkers die onder valse identiteiten opereren, witwasnetwerken en een systeem schuilgaan dat afhankelijk is van een constante geldstroom.Amerikaanse autoriteiten brengen inkomsten uit deze operaties rechtstreeks in verband met Noord-Koreaanse programma's, waaronder de ontwikkeling van ballistische raketten en kernwapens. Voor een regime dat met zware sancties te maken heeft, is de cryptocurrencysector een manier geworden om aan buitenlandse valuta te komen zonder toegang tot het conventionele internationale financiële systeem.

Dit verandert ook de beveiligingseisen. Exchanges en DeFi-projecten kunnen niet langer uitsluitend vertrouwen op audits van smart contracts. Ze moeten ook werving, apparaten van medewerkers, toegangsrechten, systemen voor het ondertekenen van transacties en externe opdrachtnemers monitoren.

Tegelijkertijd verhoogt elke grote diefstal de druk op diensten die ook legitieme doeleinden kunnen hebben. Mixers, bridges en gedecentraliseerde exchanges krijgen te maken met sancties en toezicht wanneer honderden miljoenen dollars die aan Noord-Korea zijn gelieerd via hen worden verplaatst.

In de afgelopen jaren is Lazarus geëvolueerd van een van vele hackergroepen tot een systemische bedreiging voor de cryptocurrencysector. Het voordeel ligt niet in één geavanceerde kwetsbaarheid, maar in het vermogen om social engineering, interne toegang, technische aanvallen en internationale witwaspraktijken te combineren in een gecoördineerde operatie.

De omvang van het probleem kan daarom niet langer uitsluitend worden gemeten aan de hand van de miljarden dollars die zijn gestolen. Zolang cryptobedrijven geschikte doelwitten blijven voor toegang tot liquide digitale assets en er netwerken bestaan om gestolen fondsen te verplaatsen en wit te wassen, blijven Lazarus-aanvallen een aanhoudende bedreiging voor de hele sector in plaats van geïsoleerde incidenten.