1 Numara Tehdit: Lazarus Group kripto şirketlerini nasıl hedef alıyor

Kuzey Kore bağlantılı hackerlar son yıllarda kripto para sektöründen milyarlarca dolar çaldı. Ancak siber suç raporlarında diğerlerinden daha sık karşımıza çıkan bir isim var: Lazarus Group. Devlet destekli bir hacker operasyonu kripto piyasasını nasıl bir gelir kaynağına dönüştürdü ve bunu durdurmak neden bu kadar zor oldu?

Lazarus Group genellikle tek bir hacker grubu olarak tanımlanır, ancak gerçekte çok daha geniş bir Kuzey Kore siber operasyonunun parçasıdır. Farklı soruşturmalar, APT38, BlueNoroff, TraderTraitor ve diğer adlar altında ilişkili birimler ve gruplar tespit etti.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Lazarus 'u farklı kılan, devletle olan bağlantısıdır. ABD makamları grubu Kuzey Kore'nin Reconnaissance General Bureau birimiyle ilişkilendiriyor ve çalınan fonların uluslararası yaptırımlara rağmen ülkenin döviz elde etmesine yardımcı olduğuna inanıyor.

Kripto para özellikle cazip bir hedef olduğunu kanıtladı: büyük meblağlar uzaktan çalınabiliyor, blockchain'ler arasında hızla taşınabiliyor ve binlerce adres arasında bölünebiliyor.

Bankalardan kripto borsalarına

Lazarus Group'un geçmişi, dijital varlıklar yaygınlaşmadan çok önce başladı. Grup, 2014'teki Sony Pictures saldırısıyla ilişkilendirilirken, Kuzey Kore bağlantılı hackerlar 2016'da SWIFT sistemi üzerinden Bangladeş merkez bankasından 81 milyon dolar çaldı.

Kripto para piyasası büyürken bir sonraki dönüm noktası yaşandı. Geleneksel bankaların aksine kripto şirketleri büyük miktarlarda likit varlık kontrol ediyor, 24 saat faaliyet gösteriyor ve çoğu zaman az sayıda çalışana, özel anahtara veya işlem imzalama sistemine bağımlı oluyordu.

En büyük saldırılardan biri, Mart 2022'deki Ronin Bridge hack'iydi. Axie Infinity ile ilişkili sistemden yaklaşık 620 milyon dolar değerinde varlık çalındı. FBI daha sonra operasyonu resmen Lazarus Group ve APT38'e atfetti.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Aynı yılın haziran ayında Harmony'nin Horizon Bridge'i saldırıya uğradı ve yaklaşık 100 milyon dolarlık kayıp yaşandı. 2023'te Atomic Wallet, Alphapo, CoinsPaid ve Stake.com da mağdurlar listesine katılırken, Japonya'nın DMM Bitcoin'i 2024'te 308 milyon dolar daha kaybetti.

Sadece birkaç yılda çalınan milyarlarca dolar

En yüksek profilli olay, Bybit'in yaklaşık 1,5 milyar dolar kaybettiği Şubat 2025'te yaşandı. FBI, hırsızlığı Kuzey Kore'nin TraderTraitor kampanyasına bağladı. Çalınan miktar bakımından bu olay, tarihin tek seferde gerçekleştirilen en büyük kripto para hırsızlığı oldu.

Chainalysis, Kuzey Kore bağlantılı grupların yalnızca 2025'te kripto para olarak en az 2 milyar dolar çaldığını tahmin etti. O yılın sonuna gelindiğinde, önceki yıllardaki toplam birikimli miktar 6,75 milyar dolara ulaşmıştı.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Saldırılar 2026'da da devam etti. Araştırmacılar, Drift Protocol ve KelpDAO 'dan gerçekleştirilen büyük hırsızlıkları Kuzey Koreli aktörlerle ilişkilendirirken, eylül ayındaki Bitget hack'i yıl içinde çalınan miktarı 1 milyar doların üzerine çıkardı.

Kuzey Koreli grupların gerçekleştirdiği her saldırı resmen Lazarus'un kendisine atfedilmiyor ve farklı adlar çoğu zaman aynı devlet destekli sistem içindeki ayrı ekiplere işaret ediyor. Bu nedenle, 2026 sonbaharına gelindiğinde Kuzey Kore bağlantılı hackerların kripto para olarak 7 milyar dolardan fazla çaldığını söylemek daha doğru olur; Lazarus ise bu operasyonun merkezi unsurlarından biri olmayı sürdürüyor.

Hackerlar blockchain'leri değil, insanları hedef alıyor

Büyük Lazarus operasyonları giderek bir smart contract açığıyla değil, bir çalışana veya şirketin dahili sistemlerine erişim elde edilmesiyle başlıyor. Sahte işe alım uzmanları LinkedIn üzerinden geliştiricilerle iletişime geçiyor, "test görevleri", kötü amaçlı dosyalar veya depolar gönderiyor ve kimlik bilgilerini ya da iş cihazlarına erişimi ele geçirmeye çalışıyor.

ABD ve Japonya makamları, DMM Bitcoin hack'inin ardından tam olarak bu yaklaşımı tanımladı. İşe alım uzmanı kılığına giren bir saldırgan, borsayla ilişkili bir şirket olan Ginco'nun bir çalışanıyla iletişime geçti ve işlemlerin gerçekleştirilmesinde kullanılan bir sisteme erişim sağlamak için sosyal mühendislik yöntemlerinden yararlandı.

Başka bir yaklaşımın uygulanması aylar sürüyor. Kuzey Koreli bilişim çalışanları sahte kimliklerle meşru kripto şirketlerinde iş buluyor ve çalışan olarak dahili sistemlere erişim kazanıyor.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

TRM Labs 'e göre, 2026'nın ilk yarısında çalınan değerin yaklaşık %76'sı dahili sistemlerin ve operasyonel süreçlerin ele geçirilmesinden kaynaklandı. Özel anahtar, hesap veya işlem imzalama sistemi üzerindeki kontrol, saldırganların blockchain'in kendisindeki bir açıktan yararlanmadan fonları taşımasına olanak tanıyor.

İkinci aşama: Çalınan fonların taşınması

Bir saldırının hemen ardından çalınan varlıklar çok sayıda adrese bölünüyor, merkeziyetsiz platformlar üzerinden takas ediliyor, blockchain'ler arasında transfer ediliyor ve işlemlerin izlenmesini zorlaştıran hizmetler üzerinden yönlendiriliyor.

Horizon Bridge hack'inin ardından FBI, RAILGUN kullanımını takip etti; Lazarus diğer operasyonlarda Tornado Cash'i kullandı ve daha önce Sinbad'a güvendi. Bireysel hizmetler yaptırımlarla karşılaştığında veya kapandığında, aklama güzergâhları değişti.

Bybit hack'inin ardından çalınan varlıklar hızla dönüştürüldü, binlerce adrese dağıtıldı ve blockchain'ler arasında taşındı.

Yakın tarihli bir vaka, bu ağın Kuzey Kore'nin çok ötesine nasıl uzandığını gösteriyor. ZachXBT, bir Çin suç ağının Lazarus tarafından çeşitli saldırılarda çalınan 1 milyar dolardan fazlasını aklamaya yardımcı olduğunu iddia ediyor. Araştırmacı, Bybit hack'inin ardından müşteri kılığına girerek ağa sızdı ve bireysel operatörleri milyonlarca dolarlık çalınan fonla ilişkilendirdi.

Lazarus neden sistemik bir tehdit olmayı sürdürüyor

Tek bir cüzdanı veya hizmeti engellemek Lazarus'u nadiren durduruyor. Bir adres kümesinin arkasında yeni aracılar, sahte kimliklerle çalışan kişiler, aklama ağları ve istikrarlı bir fon akışına dayanan bir sistem bulunabilir. ABD makamları, bu operasyonlardan elde edilen geliri balistik füze ve nükleer silah geliştirme de dahil olmak üzere Kuzey Kore programlarıyla doğrudan ilişkilendiriyor. Ağır yaptırımlarla karşı karşıya olan bir rejim için kripto para sektörü, geleneksel uluslararası finans sistemine erişim olmadan döviz elde etmenin yollarından biri haline geldi.

Bu durum güvenlik gereksinimlerini de değiştiriyor. Borsalar ve DeFi projeleri artık yalnızca smart contract denetimlerine güvenemez. İşe alım süreçlerini, çalışan cihazlarını, erişim izinlerini, işlem imzalama sistemlerini ve üçüncü taraf yüklenicileri de izlemeleri gerekiyor.

Aynı zamanda her büyük hırsızlık, meşru amaçlara da hizmet edebilen platformlar üzerindeki baskıyı artırıyor. Kuzey Kore bağlantılı yüz milyonlarca dolar bu platformlardan geçtiğinde mixer'lar, bridge'ler ve merkeziyetsiz borsalar yaptırımlar ve düzenleyici incelemelerle karşı karşıya kalıyor.

Son birkaç yılda Lazarus, çok sayıdaki hacker grubundan biri olmaktan çıkarak kripto para sektörü için sistemik bir tehdide dönüştü. Avantajı tek bir gelişmiş açıktan değil, sosyal mühendislik, dahili erişim, teknik saldırılar ve uluslararası para aklamayı koordineli bir operasyonda birleştirebilme yeteneğinden kaynaklanıyor.

Bu nedenle sorunun boyutu artık yalnızca çalınan milyarlarca dolarla ölçülemez. Kripto şirketleri likit dijital varlıklara erişim için elverişli hedefler olmaya ve çalınan fonları taşıyıp aklayacak ağlar varlığını sürdürmeye devam ettiği sürece Lazarus saldırıları münferit olaylar değil, tüm sektör için sürekli bir tehdit olmaya devam edecek.