Amenințarea nr. 1: Cum vizează Lazarus Group companiile crypto

Hackerii asociați Coreei de Nord au furat în ultimii ani miliarde de dolari din industria criptomonedelor. Însă un nume apare în rapoartele despre criminalitatea informatică mai des decât majoritatea: Lazarus Group. Cum a transformat o operațiune de hacking susținută de stat piața crypto într-o sursă de venit și de ce s-a dovedit atât de greu de oprit?

Lazarus Group este prezentat de obicei ca un singur grup de hackeri, însă, în practică, face parte dintr-o operațiune cibernetică nord-coreeană mult mai amplă. Investigații diferite au identificat unități și grupuri asociate sub denumiri precum APT38, BlueNoroff, TraderTraitor și alte nume.

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

Ceea ce diferențiază Lazarus este legătura sa cu statul. Autoritățile americane asociază grupul cu Biroul General de Recunoaștere al Coreei de Nord și consideră că fondurile furate ajută țara să obțină valută, în pofida sancțiunilor internaționale.

Criptomonedele s-au dovedit o țintă deosebit de atractivă: sume mari pot fi furate de la distanță, transferate rapid între blockchainuri și împărțite între mii de adrese.

De la bănci la exchange-uri crypto

Istoria Lazarus Group a început cu mult înainte ca activele digitale să devină mainstream. Grupul a fost asociat cu atacul asupra Sony Pictures din 2014, în timp ce hackerii asociați Coreei de Nord au furat 81 de milioane de dolari de la banca centrală a Bangladeshului prin sistemul SWIFT în 2016.

Următorul punct de cotitură a venit odată cu extinderea pieței criptomonedelor. Spre deosebire de băncile tradiționale, companiile crypto controlau volume uriașe de active lichide, operau non-stop și depindeau adesea de un număr mic de angajați, chei private sau sisteme de semnare a tranzacțiilor.

Unul dintre cele mai mari atacuri a fost hack-ul Ronin Bridge din martie 2022. Din sistemul asociat cu Axie Infinity au fost furate active în valoare de aproximativ 620 de milioane de dolari. Ulterior, FBI a atribuit oficial operațiunea Lazarus Group și APT38.

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

În iunie, în același an, Horizon Bridge al Harmony a fost atacat, pierderile ridicându-se la aproximativ 100 de milioane de dolari. În 2023, Atomic Wallet, Alphapo, CoinsPaid și Stake.com s-au adăugat listei victimelor, iar DMM Bitcoin din Japonia a pierdut alți 308 milioane de dolari în 2024.

Miliarde furate în doar câțiva ani

Cel mai mediatizat incident a avut loc în februarie 2025, când Bybit a pierdut aproximativ 1,5 miliarde de dolari. FBI a asociat furtul cu campania TraderTraitor a Coreei de Nord. Prin valoarea fondurilor furate, acesta a devenit cel mai mare furt de criptomonede din istorie.

Chainalysis a estimat că grupurile asociate Coreei de Nord au furat cel puțin 2 miliarde de dolari în criptomonede numai în 2025. Până la sfârșitul acelui an, totalul cumulat pentru anii anteriori ajunsese la 6,75 miliarde de dolari.

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

Atacurile au continuat în 2026. Cercetătorii au asociat furturi majore de la Drift Protocol și KelpDAO cu actori nord-coreeni, iar hack-ul Bitget din septembrie a împins valoarea furată în acel an peste pragul de 1 miliard de dolari.

Nu orice atac desfășurat de grupuri nord-coreene este atribuit oficial Lazarus, iar denumiri diferite se referă adesea la echipe distincte din cadrul aceluiași sistem susținut de stat. Prin urmare, este mai corect să spunem că hackerii asociați Coreei de Nord furaseră peste 7 miliarde de dolari în criptomonede până în toamna lui 2026, Lazarus rămânând una dintre componentele centrale ale operațiunii.

Hackerii vizează oamenii, nu blockchainurile

Operațiunile majore ale Lazarus încep tot mai des nu de la o vulnerabilitate a unui smart contract, ci de la accesul la un angajat sau la sistemele interne ale unei companii. Recrutorii falși contactează dezvoltatori pe LinkedIn, trimit „teme de test”, fișiere sau repository-uri malițioase și încearcă să obțină date de autentificare ori acces la dispozitivele de lucru.

Autoritățile americane și japoneze au descris exact această abordare în urma hack-ului DMM Bitcoin. Un atacator care s-a dat drept recrutor a contactat un angajat al Ginco, o companie asociată exchange-ului, și a folosit ingineria socială pentru a obține acces la un sistem implicat în procesarea tranzacțiilor.

O altă abordare necesită luni de zile pentru a fi pusă în aplicare. Angajați IT nord-coreeni obțin locuri de muncă la companii crypto legitime folosind identități false și dobândesc acces la sistemele interne în calitate de angajați.

Vezi postarea pe X Se încarcă...

Tweetul a fost șters de autor.

Dar noi am salvat totul 🙂.

Potrivit TRM Labs, aproximativ 76% din valoarea furată în prima jumătate a anului 2026 a rezultat din compromiterea sistemelor interne și a proceselor operaționale. Controlul asupra unei chei private, al unui cont sau al unui sistem de semnare a tranzacțiilor le permite atacatorilor să transfere fonduri fără a exploata o vulnerabilitate a blockchainului propriu-zis.

Etapa a doua: transferul fondurilor furate

Imediat după un atac, activele furate sunt împărțite între numeroase adrese, schimbate prin platforme descentralizate, transferate între blockchainuri și direcționate prin servicii care îngreunează trasarea tranzacțiilor.

În urma hack-ului Horizon Bridge, FBI a urmărit utilizarea RAILGUN, în timp ce Lazarus a folosit Tornado Cash în alte operațiuni și s-a bazat anterior pe Sinbad. Când anumite servicii au fost sancționate sau și-au încetat activitatea, rutele de spălare a banilor s-au schimbat.

După hack-ul Bybit, activele furate au fost convertite rapid, distribuite între mii de adrese și transferate între blockchainuri.

Un caz recent arată cât de mult se extinde această rețea dincolo de Coreea de Nord. ZachXBT susține că o rețea criminală chineză a contribuit la spălarea a peste 1 miliard de dolari furați de Lazarus în mai multe atacuri. În urma hack-ului Bybit, investigatorul s-a infiltrat în rețea dându-se drept client și a asociat operatori individuali cu fonduri furate în valoare de milioane de dolari.

De ce Lazarus rămâne o amenințare sistemică

Blocarea unui singur portofel sau serviciu rareori oprește Lazarus. În spatele unui grup de adrese se pot afla intermediari noi, angajați care operează sub identități false, rețele de spălare a banilor și un sistem care depinde de un flux constant de fonduri.Autoritățile americane asociază direct veniturile din aceste operațiuni cu programele nord-coreene, inclusiv dezvoltarea rachetelor balistice și a armelor nucleare. Pentru un regim supus unor sancțiuni severe, industria criptomonedelor a devenit o modalitate de a obține valută fără acces la sistemul financiar internațional convențional.

Acest lucru schimbă și cerințele de securitate. Exchange-urile și proiectele DeFi nu se mai pot baza exclusiv pe audituri ale smart contractelor. Ele trebuie să monitorizeze și recrutarea, dispozitivele angajaților, permisiunile de acces, sistemele de semnare a tranzacțiilor și contractorii terți.

În același timp, fiecare furt major crește presiunea asupra serviciilor care pot avea și scopuri legitime. Mixerele, bridge-urile și exchange-urile descentralizate se confruntă cu sancțiuni și controale de reglementare atunci când prin acestea trec sute de milioane de dolari asociate Coreei de Nord.

În ultimii ani, Lazarus a evoluat de la unul dintre numeroasele grupuri de hackeri la o amenințare sistemică pentru industria criptomonedelor. Avantajul său nu constă într-o singură vulnerabilitate sofisticată, ci în capacitatea de a combina ingineria socială, accesul intern, atacurile tehnice și spălarea internațională a banilor într-o operațiune coordonată.

Prin urmare, amploarea problemei nu mai poate fi măsurată doar în miliarde de dolari furați. Atât timp cât companiile crypto rămân ținte convenabile pentru accesarea activelor digitale lichide și există rețele capabile să transfere și să spele fondurile furate, atacurile Lazarus vor rămâne o amenințare persistentă pentru întreaga industrie, nu incidente izolate.