Hot nummer 1: Så angriper Lazarus Group kryptoföretag

Nordkoreakopplade hackare har stulit miljarder dollar från kryptovalutabranschen under de senaste åren. Men ett namn förekommer i rapporter om cyberbrott oftare än de flesta andra: Lazarus Group. Hur kunde en statligt stödd hackeroperation göra kryptomarknaden till en inkomstkälla, och varför har den visat sig vara så svår att stoppa?

Lazarus Group framställs vanligtvis som en enda hackergrupp, men i praktiken är den en del av en mycket bredare nordkoreansk cyberoperation. Olika utredningar har identifierat associerade enheter och grupper under namn som APT38, BlueNoroff, TraderTraitor och andra beteckningar.

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

Det som skiljer Lazarus från mängden är kopplingen till staten. Amerikanska myndigheter kopplar gruppen till Nordkoreas Reconnaissance General Bureau och anser att de stulna medlen hjälper landet att få tillgång till utländsk valuta trots internationella sanktioner.

Kryptovalutor har visat sig vara ett särskilt attraktivt mål: stora belopp kan stjälas på distans, flyttas snabbt mellan blockkedjor och delas upp på tusentals adresser.

Från banker till kryptobörser

Lazarus Groups historia började långt innan digitala tillgångar blev etablerade. Gruppen kopplades till attacken mot Sony Pictures 2014, medan nordkoreakopplade hackare stal 81 miljoner dollar från Bangladeshs centralbank via SWIFT -systemet 2016.

Nästa vändpunkt kom när kryptomarknaden expanderade. Till skillnad från traditionella banker kontrollerade kryptoföretag stora mängder likvida tillgångar, var verksamma dygnet runt och var ofta beroende av ett fåtal anställda, privata nycklar eller system för transaktionssignering.

En av de största attackerna var hackningen av Ronin Bridge i mars 2022. Tillgångar värda cirka 620 miljoner dollar stals från systemet som var kopplat till Axie Infinity. FBI tillskrev senare officiellt operationen till Lazarus Group och APT38.

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

I juni samma år angreps Harmonys Horizon Bridge, vilket ledde till förluster på omkring 100 miljoner dollar. År 2023 tillkom Atomic Wallet, Alphapo, CoinsPaid och Stake.com på listan över offer, medan japanska DMM Bitcoin förlorade ytterligare 308 miljoner dollar 2024.

Miljarder stals på bara några år

Den mest uppmärksammade incidenten inträffade i februari 2025, när Bybit förlorade cirka 1,5 miljarder dollar. FBI kopplade stölden till Nordkoreas TraderTraitor-kampanj. Sett till det stulna beloppet blev det historiens största enskilda kryptovalutastöld.

Chainalysis uppskattade att nordkoreakopplade grupper stal minst 2 miljarder dollar i kryptovaluta bara under 2025. Vid slutet av året hade den ackumulerade summan från tidigare år nått 6,75 miljarder dollar.

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

Attackerna fortsatte 2026. Forskare kopplade stora stölder från Drift Protocol och KelpDAO till nordkoreanska aktörer, medan Bitget-hacket i september drev upp det stulna beloppet under året till över 1 miljard dollar.

Alla attacker som genomförs av nordkoreanska grupper tillskrivs inte officiellt Lazarus, och olika namn syftar ofta på separata team inom samma statligt stödda system. Det är därför mer korrekt att säga att nordkoreakopplade hackare hade stulit mer än 7 miljarder dollar i kryptovaluta fram till hösten 2026, där Lazarus fortfarande var en av operationens centrala delar.

Hackare angriper människor, inte blockkedjor

Större Lazarus-operationer börjar allt oftare inte med en sårbarhet i ett smart kontrakt, utan med åtkomst till en anställd eller ett företags interna system. Falska rekryterare kontaktar utvecklare via LinkedIn, skickar ”testuppgifter”, skadliga filer eller kodarkiv och försöker få tag på inloggningsuppgifter eller åtkomst till arbetsenheter.

Amerikanska och japanska myndigheter beskrev exakt denna metod efter hacket mot DMM Bitcoin. En angripare som utgav sig för att vara rekryterare kontaktade en anställd på Ginco, ett företag med koppling till börsen, och använde social engineering för att få åtkomst till ett system som användes för att behandla transaktioner.

En annan metod tar månader att genomföra. Nordkoreanska IT-arbetare får anställning på legitima kryptoföretag under falska identiteter och får därmed åtkomst till interna system som anställda.

Visa inlägget på X Laddar...

Tweeten raderades av författaren.

Men vi sparade allt 🙂.

Enligt TRM Labs berodde cirka 76 % av värdet som stals under första halvåret 2026 på intrång i interna system och operativa processer. Kontroll över en privat nyckel, ett konto eller ett system för transaktionssignering gör det möjligt för angripare att flytta pengar utan att utnyttja en sårbarhet i själva blockkedjan.

Steg två: Att flytta de stulna medlen

Omedelbart efter en attack delas de stulna tillgångarna upp på ett stort antal adresser, växlas via decentraliserade plattformar, överförs mellan blockkedjor och slussas genom tjänster som gör transaktionerna svårare att spåra.

Efter hacket mot Horizon Bridge spårade FBI användningen av RAILGUN, medan Lazarus använde Tornado Cash i andra operationer och tidigare förlitade sig på Sinbad. När enskilda tjänster drabbades av sanktioner eller stängdes ändrades vägarna för penningtvätten.

Efter Bybit -hacket konverterades de stulna tillgångarna snabbt, spreds över tusentals adresser och flyttades mellan blockkedjor.

Ett aktuellt fall visar hur långt detta nätverk sträcker sig utanför Nordkorea. ZachXBT hävdar att ett kinesiskt kriminellt nätverk hjälpte till att tvätta mer än 1 miljard dollar som Lazarus stal i flera attacker. Efter Bybit-hacket infiltrerade utredaren nätverket genom att utge sig för att vara kund och kopplade enskilda operatörer till stulna medel värda miljontals dollar.

Varför Lazarus fortfarande är ett systemhot

Att blockera en enskild plånbok eller tjänst stoppar sällan Lazarus. Bakom ett kluster av adresser kan det finnas nya mellanhänder, anställda som arbetar under falska identiteter, penningtvättsnätverk och ett system som är beroende av ett jämnt inflöde av medel. Amerikanska myndigheter kopplar direkt intäkterna från dessa operationer till nordkoreanska program, inklusive utvecklingen av ballistiska robotar och kärnvapen. För en regim som står inför omfattande sanktioner har kryptobranschen blivit ett sätt att få tillgång till utländsk valuta utan det konventionella internationella finanssystemet.

Detta förändrar också säkerhetskraven. Börser och DeFi-projekt kan inte längre enbart förlita sig på granskningar av smarta kontrakt. De måste också övervaka rekrytering, anställdas enheter, åtkomstbehörigheter, system för transaktionssignering och externa leverantörer.

Samtidigt ökar varje större stöld pressen på tjänster som också kan ha legitima användningsområden. Mixers, broar och decentraliserade börser möter sanktioner och regulatorisk granskning när hundratals miljoner dollar med koppling till Nordkorea passerar genom dem.

Under de senaste åren har Lazarus utvecklats från en av många hackergrupper till ett systemhot mot kryptovalutabranschen. Dess fördel ligger inte i någon enskild sofistikerad sårbarhet, utan i förmågan att kombinera social engineering, intern åtkomst, tekniska attacker och internationell penningtvätt i en samordnad operation.

Problemets omfattning kan därför inte längre mätas enbart i stulna miljarder dollar. Så länge kryptoföretag förblir lättillgängliga mål för åtkomst till likvida digitala tillgångar och det finns nätverk som kan flytta och tvätta stulna medel kommer Lazarus-attacker att förbli ett ihållande hot mot hela branschen, snarare än isolerade incidenter.