Загроза №1: як Lazarus Group полює на криптокомпанії

Пов’язані з Північною Кореєю хакери в останні роки викрали з криптовалютної індустрії мільярди доларів. Але одне ім’я згадується у звітах про кіберзлочини частіше за більшість інших: Lazarus Group. Як операція зламників, яку підтримує держава, перетворила крипторинок на джерело доходу і чому її виявилося так складно зупинити?

Lazarus Group зазвичай зображують як єдине хакерське угруповання, але на практиці воно є частиною значно ширшої північнокорейської кібероперації. У різних розслідуваннях згадуються пов’язані підрозділи та групи під такими назвами, як APT38, BlueNoroff, TraderTraitor та іншими.

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Відмінність Lazarus — у його зв’язку з державою. Влада США пов’язує угруповання з Генеральним розвідувальним управлінням Північної Кореї та вважає, що викрадені кошти допомагають країні отримувати іноземну валюту попри міжнародні санкції.

Криптовалюта виявилася особливо привабливою ціллю: великі суми можна викрадати дистанційно, швидко переміщувати між блокчейнами та розподіляти між тисячами адрес.

Від банків до криптобірж

Історія Lazarus Group почалася задовго до того, як цифрові активи стали масовим явищем. Угруповання пов’язували з атакою на Sony Pictures у 2014 році, а пов’язані з Північною Кореєю хакери викрали $81 млн із центрального банку Бангладешу через систему SWIFT у 2016 році.

Наступний переломний момент настав у міру розширення криптовалютного ринку. На відміну від традиційних банків, криптокомпанії контролювали величезні обсяги ліквідних активів, працювали цілодобово й часто залежали від жменьки співробітників, приватних ключів або систем підписання транзакцій.

Однією з найбільших атак став злам Ronin Bridge у березні 2022 року. Із системи, пов’язаної з Axie Infinity, викрали активи приблизно на $620 млн. Пізніше ФБР офіційно приписало цю операцію Lazarus Group і APT38.

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

У червні того ж року атакували Horizon Bridge компанії Harmony, що призвело до збитків приблизно на $100 млн. У 2023 році до списку жертв додалися Atomic Wallet, Alphapo, CoinsPaid і Stake.com, а японська DMM Bitcoin у 2024 році втратила ще $308 млн.

Мільярди викрадено лише за кілька років

Найрезонансніший інцидент стався в лютому 2025 року, коли Bybit втратила приблизно $1,5 млрд. ФБР пов’язало крадіжку з північнокорейською кампанією TraderTraitor. За обсягом викрадених коштів це була найбільша одноразова крадіжка криптовалюти в історії.

За оцінкою Chainalysis, пов’язані з Північною Кореєю угруповання лише у 2025 році викрали криптовалюту щонайменше на $2 млрд. До кінця того року сукупний обсяг за попередні роки сягнув $6,75 млрд.

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Атаки продовжилися у 2026 році. Дослідники пов’язали масштабні крадіжки з Drift Protocol і KelpDAO із північнокорейськими зловмисниками, а вересневий злам Bitget збільшив суму викраденого за рік до понад $1 млрд.

Не кожну атаку, здійснену північнокорейськими угрупованнями, офіційно приписують саме Lazarus, а різні назви часто стосуються окремих команд у межах однієї системи, яку підтримує держава. Тому точніше сказати, що до осені 2026 року пов’язані з Північною Кореєю хакери викрали понад $7 млрд у криптовалюті, а Lazarus залишається одним із центральних компонентів цієї операції.

Хакери атакують людей, а не блокчейни

Масштабні операції Lazarus дедалі частіше починаються не з уразливості смартконтракту, а з доступу до співробітника або внутрішніх систем компанії. Фальшиві рекрутери контактують із розробниками через LinkedIn, надсилають «тестові завдання», шкідливі файли або репозиторії та намагаються отримати облікові дані чи доступ до робочих пристроїв.

Влада США та Японії описала саме такий підхід після злому DMM Bitcoin. Зловмисник, який видавав себе за рекрутера, зв’язався зі співробітником Ginco — компанії, пов’язаної з біржею, — і за допомогою соціальної інженерії отримав доступ до системи, задіяної в обробці транзакцій.

Інший підхід потребує кількох місяців. Північнокорейські ІТ-фахівці влаштовуються на роботу до легальних криптокомпаній під фальшивими особами, отримуючи доступ до внутрішніх систем як співробітники.

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

За даними TRM Labs, приблизно 76% вартості, викраденої в першій половині 2026 року, припало на злами внутрішніх систем та операційних процесів. Контроль над приватним ключем, акаунтом або системою підписання транзакцій дає зловмисникам змогу переміщувати кошти без використання вразливості самого блокчейну.

Етап другий: переміщення викрадених коштів

Одразу після атаки викрадені активи розподіляють між численними адресами, обмінюють через децентралізовані платформи, переводять між блокчейнами та спрямовують через сервіси, які ускладнюють відстеження транзакцій.

Після злому Horizon Bridge ФБР відстежило використання RAILGUN, тоді як в інших операціях Lazarus використовувала Tornado Cash, а раніше покладалася на Sinbad. Коли окремі сервіси потрапляли під санкції або припиняли роботу, маршрути відмивання коштів змінювалися.

Після злому Bybit викрадені активи швидко конвертували, розподілили між тисячами адрес і перемістили між блокчейнами.

Нещодавній випадок показує, наскільки далеко ця мережа виходить за межі самої Північної Кореї. ZachXBT стверджує, що китайська злочинна мережа допомогла відмити понад $1 млрд, викрадених Lazarus унаслідок кількох атак. Після злому Bybit розслідувач проник у мережу, видавши себе за клієнта, і пов’язав окремих операторів із викраденими коштами на мільйони доларів.

Чому Lazarus залишається системною загрозою

Блокування одного гаманця або сервісу рідко зупиняє Lazarus. За одним кластером адрес можуть стояти нові посередники, співробітники, які працюють під фальшивими особами, мережі відмивання коштів і система, що залежить від постійного надходження коштів. Влада США безпосередньо пов’язує доходи від цих операцій із північнокорейськими програмами, зокрема розробкою балістичних ракет і ядерної зброї. Для режиму, що перебуває під жорсткими санкціями, криптовалютна індустрія стала одним зі способів отримувати іноземну валюту без доступу до традиційної міжнародної фінансової системи.

Це також змінює вимоги до безпеки. Біржі та DeFi-проєкти більше не можуть покладатися лише на аудити смартконтрактів. Вони також мають контролювати процес найму, пристрої співробітників, права доступу, системи підписання транзакцій і сторонніх підрядників.

Водночас кожна масштабна крадіжка посилює тиск на сервіси, які можуть використовуватися і в легальних цілях. Міксери, мости та децентралізовані біржі стикаються із санкціями та регуляторним контролем, коли через них проходять сотні мільйонів доларів, пов’язаних із Північною Кореєю.

За останні кілька років Lazarus перетворилася з однієї з багатьох хакерських груп на системну загрозу для криптовалютної індустрії. Її перевага полягає не в якійсь одній складній уразливості, а в здатності поєднувати соціальну інженерію, внутрішній доступ, технічні атаки та міжнародне відмивання коштів у скоординовану операцію.

Тому масштаб проблеми вже не можна вимірювати лише мільярдами доларів, викраденими коштом. Доки криптокомпанії залишаються зручними цілями для доступу до ліквідних цифрових активів, а існують мережі для переміщення й відмивання викрадених коштів, атаки Lazarus залишатимуться постійною загрозою для всієї індустрії, а не поодинокими інцидентами.