Угроза №1: как Lazarus Group охотится на криптокомпании

Связанные с Северной Кореей хакеры в последние годы украли у криптовалютной отрасли миллиарды долларов. Но одно имя встречается в отчетах о киберпреступлениях чаще многих других: Lazarus Group. Как поддерживаемой государством хакерской операции удалось превратить крипторынок в источник дохода и почему ее оказалось так трудно остановить?

Lazarus Group обычно представляют как единую хакерскую группировку, однако на практике она является частью гораздо более масштабной северокорейской кибероперации. В ходе разных расследований были выявлены связанные с ней подразделения и группы, известные под такими названиями, как APT38, BlueNoroff, TraderTraitor и другими.

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Lazarus отличает связь с государством. Власти США связывают группировку с Главным разведывательным управлением Северной Кореи и считают, что украденные средства помогают стране получать иностранную валюту в обход международных санкций.

Криптовалюта оказалась особенно привлекательной целью: крупные суммы можно украсть удаленно, быстро переместить между блокчейнами и распределить по тысячам адресов.

От банков к криптовалютным биржам

История Lazarus Group началась задолго до массового распространения цифровых активов. Группировку связали с атакой на Sony Pictures в 2014 году, а в 2016 году связанные с Северной Кореей хакеры украли $81 млн у центрального банка Бангладеш через систему SWIFT.

Следующий переломный момент наступил по мере расширения криптовалютного рынка. В отличие от традиционных банков, криптокомпании контролировали огромные объемы ликвидных активов, работали круглосуточно и часто зависели от небольшой группы сотрудников, приватных ключей или систем подписания транзакций.

Одной из крупнейших атак стал взлом Ronin Bridge в марте 2022 года. Из связанной с Axie Infinity системы было украдено около $620 млн в активах. Позже ФБР официально связало операцию с Lazarus Group и APT38.

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

В июне того же года была атакована Horizon Bridge проекта Harmony, что привело к потерям примерно в $100 млн. В 2023 году в список жертв вошли Atomic Wallet, Alphapo, CoinsPaid и Stake.com, а в 2024 году японская DMM Bitcoin потеряла еще $308 млн.

Миллиарды украдены всего за несколько лет

Самый резонансный инцидент произошел в феврале 2025 года, когда Bybit потеряла около $1,5 млрд. ФБР связало кражу с северокорейской кампанией TraderTraitor. По объему похищенных средств она стала крупнейшей разовой кражей криптовалюты в истории.

По оценке Chainalysis, связанные с Северной Кореей группировки только в 2025 году украли криптовалюту минимум на $2 млрд. К концу того года совокупный объем за предыдущие годы достиг $6,75 млрд.

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Атаки продолжились в 2026 году. Исследователи связали крупные кражи у Drift Protocol и KelpDAO с северокорейскими операторами, а после сентябрьского взлома Bitget объем украденных за год средств превысил $1 млрд.

Не каждая атака, проведенная северокорейскими группировками, официально приписывается непосредственно Lazarus, а разные названия часто относятся к отдельным командам внутри одной поддерживаемой государством системы. Поэтому точнее сказать, что к осени 2026 года связанные с Северной Кореей хакеры украли более $7 млрд в криптовалюте, при этом Lazarus остается одним из центральных компонентов этой операции.

Хакеры атакуют людей, а не блокчейны

Крупные операции Lazarus все чаще начинаются не с уязвимости смарт-контракта, а с получения доступа к сотруднику или внутренним системам компании. Фальшивые рекрутеры связываются с разработчиками через LinkedIn, отправляют «тестовые задания», вредоносные файлы или репозитории и пытаются получить учетные данные либо доступ к рабочим устройствам.

Власти США и Японии описали именно такой подход после взлома DMM Bitcoin. Злоумышленник, выдававший себя за рекрутера, связался с сотрудником Ginco — компании, связанной с биржей, — и с помощью социальной инженерии получил доступ к системе, участвовавшей в обработке транзакций.

Другой подход требует месяцев подготовки. Северокорейские IT-специалисты устраиваются на работу в легальные криптокомпании под вымышленными личностями и получают доступ к внутренним системам в качестве сотрудников.

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

По данным TRM Labs, примерно 76% стоимости активов, украденных в первой половине 2026 года, пришлось на взлом внутренних систем и операционных процессов. Контроль над приватным ключом, аккаунтом или системой подписания транзакций позволяет злоумышленникам перемещать средства без эксплуатации уязвимости самого блокчейна.

Этап второй: перемещение украденных средств

Сразу после атаки украденные активы распределяются между многочисленными адресами, обмениваются через децентрализованные платформы, переводятся между блокчейнами и направляются через сервисы, затрудняющие отслеживание транзакций.

После взлома Horizon Bridge ФБР отслеживало использование RAILGUN, в других операциях Lazarus применяла Tornado Cash, а ранее полагалась на Sinbad. Когда отдельные сервисы попадали под санкции или закрывались, маршруты отмывания менялись.

После взлома Bybit украденные активы быстро конвертировали, распределили по тысячам адресов и переместили между блокчейнами.

Недавний случай показывает, насколько эта сеть выходит за пределы самой Северной Кореи. По утверждению ZachXBT, китайская преступная сеть помогла отмыть более $1 млрд, украденных Lazarus в ходе нескольких атак. После взлома Bybit расследователь проник в сеть, выдавая себя за клиента, и связал отдельных операторов с украденными средствами на миллионы долларов.

Почему Lazarus остается системной угрозой

Блокировка одного кошелька или сервиса редко останавливает Lazarus. За одним кластером адресов могут стоять новые посредники, сотрудники, работающие под вымышленными личностями, сети отмывания и система, зависящая от постоянного потока средств.Власти США напрямую связывают доходы от этих операций с северокорейскими программами, включая разработку баллистических ракет и ядерного оружия. Для режима, находящегося под жесткими санкциями, криптовалютная отрасль стала одним из способов получать иностранную валюту без доступа к традиционной международной финансовой системе.

Это также меняет требования к безопасности. Биржи и DeFi-проекты больше не могут полагаться только на аудит смарт-контрактов. Им также необходимо контролировать процессы найма, устройства сотрудников, права доступа, системы подписания транзакций и сторонних подрядчиков.

Одновременно каждая крупная кража усиливает давление на сервисы, которые могут использоваться и в законных целях. Миксеры, мосты и децентрализованные биржи сталкиваются с санкциями и усиленным регуляторным контролем, когда через них проходят связанные с Северной Кореей сотни миллионов долларов.

За последние несколько лет Lazarus превратилась из одной из многих хакерских группировок в системную угрозу для криптовалютной отрасли. Ее преимущество заключается не в какой-то одной сложной уязвимости, а в способности объединять социальную инженерию, внутренний доступ, технические атаки и международное отмывание денег в скоординированную операцию.

Поэтому масштаб проблемы уже нельзя измерять только украденными миллиардами долларов. Пока криптокомпании остаются удобными целями для доступа к ликвидным цифровым активам, а сети для перемещения и отмывания украденных средств продолжают существовать, атаки Lazarus будут представлять постоянную угрозу для всей отрасли, а не быть отдельными инцидентами.