Zagrożenie nr 1: Jak grupa Lazarus atakuje firmy kryptowalutowe

Powiązani z Koreą Północną hakerzy ukradli w ostatnich latach miliardy dolarów z branży kryptowalut. Jednak w raportach dotyczących cyberprzestępczości jedna nazwa pojawia się częściej niż większość innych: grupa Lazarus. Jak wspierana przez państwo operacja hakerska przekształciła rynek kryptowalut w źródło dochodów i dlaczego tak trudno ją powstrzymać?

Grupa Lazarus jest zwykle przedstawiana jako pojedyncza grupa hakerska, ale w praktyce stanowi część znacznie szerszej północnokoreańskiej operacji cybernetycznej. W ramach różnych dochodzeń zidentyfikowano powiązane jednostki i grupy działające pod nazwami takimi jak APT38, BlueNoroff, TraderTraitor oraz innymi określeniami.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Tym, co wyróżnia Lazarus, są jego powiązania z państwem. Amerykańskie władze łączą tę grupę z Biurem Rozpoznania Generalnego Korei Północnej i uważają, że skradzione środki pomagają temu krajowi pozyskiwać walutę obcą mimo międzynarodowych sankcji.

Kryptowaluty okazały się szczególnie atrakcyjnym celem: duże kwoty można ukraść zdalnie, szybko przenosić między blockchainami i dzielić na tysiące adresów.

Od banków po giełdy kryptowalut

Historia grupy Lazarus rozpoczęła się na długo przed upowszechnieniem aktywów cyfrowych. Grupę powiązano z atakiem na Sony Pictures w 2014 roku, a hakerzy powiązani z Koreą Północną ukradli 81 mln dolarów z banku centralnego Bangladeszu za pośrednictwem systemu SWIFT w 2016 roku.

Kolejny przełom nastąpił wraz z rozwojem rynku kryptowalut. W przeciwieństwie do tradycyjnych banków firmy kryptowalutowe kontrolowały ogromne ilości płynnych aktywów, działały przez całą dobę i często opierały się na zaledwie kilku pracownikach, kluczach prywatnych lub systemach podpisywania transakcji.

Jednym z największych ataków był włamanie do Ronin Bridge w marcu 2022 roku. Z systemu powiązanego z Axie Infinity skradziono aktywa o wartości około 620 mln dolarów. FBI oficjalnie przypisało później tę operację grupom Lazarus i APT38.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

W czerwcu tego samego roku zaatakowano Horizon Bridge firmy Harmony, powodując straty w wysokości około 100 mln dolarów. W 2023 roku do listy ofiar dołączyły Atomic Wallet, Alphapo, CoinsPaid i Stake.com, a japońska giełda DMM Bitcoin straciła w 2024 roku kolejne 308 mln dolarów.

Miliardy skradzione w zaledwie kilka lat

Do najbardziej głośnego incydentu doszło w lutym 2025 roku, gdy Bybit stracił około 1,5 mld dolarów. FBI powiązało kradzież z północnokoreańską kampanią TraderTraitor. Pod względem skradzionej kwoty był to największy pojedynczy napad na kryptowaluty w historii.

Chainalysis oszacował, że powiązane z Koreą Północną grupy ukradły w samym 2025 roku co najmniej 2 mld dolarów w kryptowalutach. Do końca tego roku łączna suma z poprzednich lat osiągnęła 6,75 mld dolarów.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Ataki trwały również w 2026 roku. Badacze powiązali duże kradzieże z Drift Protocol i KelpDAO z północnokoreańskimi sprawcami, a wrześniowy atak na Bitget zwiększył kwotę skradzioną w tym roku do ponad 1 mld dolarów.

Nie każdy atak przeprowadzony przez grupy z Korei Północnej jest oficjalnie przypisywany samej grupie Lazarus, a różne nazwy często odnoszą się do odrębnych zespołów w ramach tego samego wspieranego przez państwo systemu. Trafniej jest więc stwierdzić, że do jesieni 2026 roku powiązani z Koreą Północną hakerzy ukradli ponad 7 mld dolarów w kryptowalutach, a Lazarus pozostawał jednym z kluczowych elementów tej operacji.

Hakerzy atakują ludzi, nie blockchainy

Największe operacje grupy Lazarus coraz częściej zaczynają się nie od luki w smart kontrakcie, lecz od uzyskania dostępu do pracownika lub wewnętrznych systemów firmy. Fałszywi rekruterzy kontaktują się z deweloperami przez LinkedIn, wysyłają „zadania testowe”, złośliwe pliki lub repozytoria i próbują zdobyć dane uwierzytelniające albo dostęp do urządzeń służbowych.

Amerykańskie i japońskie władze opisały dokładnie takie podejście po ataku na DMM Bitcoin. Napastnik podający się za rekrutera skontaktował się z pracownikiem Ginco, firmy powiązanej z giełdą, i wykorzystał inżynierię społeczną, aby uzyskać dostęp do systemu uczestniczącego w przetwarzaniu transakcji.

Inne podejście wymaga kilku miesięcy przygotowań. Północnokoreańscy pracownicy IT zdobywają posady w legalnie działających firmach kryptowalutowych pod fałszywymi tożsamościami, uzyskując jako pracownicy dostęp do wewnętrznych systemów.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Według TRM Labs około 76% wartości skradzionej w pierwszej połowie 2026 roku wynikało z przejęcia wewnętrznych systemów i procesów operacyjnych. Kontrola nad kluczem prywatnym, kontem lub systemem podpisywania transakcji pozwala napastnikom przenosić środki bez wykorzystywania luki w samym blockchainie.

Etap drugi: przenoszenie skradzionych środków

Bezpośrednio po ataku skradzione aktywa są dzielone między liczne adresy, wymieniane za pośrednictwem zdecentralizowanych platform, przenoszone między blockchainami i kierowane przez usługi utrudniające śledzenie transakcji.

Po ataku na Horizon Bridge FBI śledziło wykorzystanie RAILGUN, podczas gdy Lazarus używał Tornado Cash w innych operacjach, a wcześniej korzystał z Sinbad. Gdy poszczególne usługi były obejmowane sankcjami lub zamykane, zmieniały się również trasy prania pieniędzy.

Po ataku na Bybit skradzione aktywa szybko zamieniono, rozdzielono między tysiące adresów i przeniesiono między blockchainami.

Niedawna sprawa pokazuje, jak daleko ta sieć wykracza poza samą Koreę Północną. ZachXBT twierdzi, że chińska siatka przestępcza pomogła wyprać ponad 1 mld dolarów skradzionych przez Lazarus w ramach kilku ataków. Po ataku na Bybit śledczy przeniknął do sieci, podając się za klienta, i powiązał poszczególnych operatorów z milionami dolarów skradzionych środków.

Dlaczego Lazarus pozostaje zagrożeniem systemowym

Zablokowanie pojedynczego portfela lub usługi rzadko powstrzymuje Lazarus. Za jednym klastrem adresów mogą kryć się nowi pośrednicy, pracownicy działający pod fałszywymi tożsamościami, sieci piorące pieniądze oraz system zależny od stałego przepływu środków.Amerykańskie władze bezpośrednio łączą przychody z tych operacji z północnokoreańskimi programami, w tym z rozwojem pocisków balistycznych i broni jądrowej. Dla reżimu objętego surowymi sankcjami branża kryptowalut stała się jednym ze sposobów pozyskiwania waluty obcej bez dostępu do konwencjonalnego międzynarodowego systemu finansowego.

Zmienia to również wymagania dotyczące bezpieczeństwa. Giełdy i projekty DeFi nie mogą już polegać wyłącznie na audytach smart kontraktów. Muszą także monitorować rekrutację, urządzenia pracowników, uprawnienia dostępu, systemy podpisywania transakcji i zewnętrznych kontrahentów.

Jednocześnie każda duża kradzież zwiększa presję na usługi, które mogą również służyć legalnym celom. Mixery, bridge’e i zdecentralizowane giełdy są obejmowane sankcjami i kontrolą regulacyjną, gdy przepływają przez nie setki milionów dolarów powiązanych z Koreą Północną.

W ciągu ostatnich kilku lat Lazarus przekształcił się z jednej z wielu grup hakerskich w systemowe zagrożenie dla branży kryptowalut. Jego przewaga nie wynika z jednej wyrafinowanej luki, lecz ze zdolności do łączenia inżynierii społecznej, dostępu wewnętrznego, ataków technicznych i międzynarodowego prania pieniędzy w skoordynowaną operację.

Skali problemu nie można już zatem mierzyć wyłącznie miliardami skradzionych dolarów. Dopóki firmy kryptowalutowe pozostają dogodnym celem umożliwiającym dostęp do płynnych aktywów cyfrowych, a sieci pozwalające przenosić i prać skradzione środki nadal istnieją, ataki Lazarus pozostaną trwałym zagrożeniem dla całej branży, a nie odizolowanymi incydentami.