Mối đe dọa số 1: Cách Lazarus Group nhắm vào các công ty crypto

Các hacker có liên hệ với Triều Tiên đã đánh cắp hàng tỷ USD từ ngành cryptocurrency trong những năm gần đây. Nhưng có một cái tên xuất hiện trong các báo cáo tội phạm mạng thường xuyên hơn hầu hết các nhóm khác: Lazarus Group. Làm thế nào một chiến dịch hack được nhà nước hậu thuẫn biến thị trường crypto thành nguồn doanh thu, và tại sao việc ngăn chặn nhóm này lại khó đến vậy?

Lazarus Group thường được mô tả là một nhóm hacker duy nhất, nhưng trên thực tế, đây là một phần của chiến dịch mạng quy mô rộng hơn nhiều của Triều Tiên. Các cuộc điều tra khác nhau đã xác định những đơn vị và nhóm liên quan dưới các tên như APT38, BlueNoroff, TraderTraitor cùng nhiều tên gọi khác.

Xem bài đăng trên X Đang tải...

Dòng tweet đã bị tác giả xóa.

Nhưng chúng tôi đã lưu lại mọi thứ 🙂.

Điểm khiến Lazarus khác biệt là mối liên hệ với nhà nước. Giới chức Mỹ liên kết nhóm này với Tổng cục Trinh sát của Triều Tiên và cho rằng số tiền bị đánh cắp giúp quốc gia này có được ngoại tệ bất chấp các lệnh trừng phạt quốc tế.

Cryptocurrency đặc biệt hấp dẫn đối với những kẻ tấn công: các khoản tiền lớn có thể bị đánh cắp từ xa, nhanh chóng chuyển qua nhiều blockchain và chia nhỏ đến hàng nghìn địa chỉ.

Từ ngân hàng đến sàn crypto

Lịch sử của Lazarus Group bắt đầu từ rất lâu trước khi tài sản số trở nên phổ biến. Nhóm này bị liên hệ với vụ tấn công Sony Pictures năm 2014, trong khi các hacker có liên hệ với Triều Tiên đã đánh cắp 81 triệu USD từ ngân hàng trung ương Bangladesh thông qua hệ thống SWIFT vào năm 2016.

Bước ngoặt tiếp theo đến khi thị trường cryptocurrency mở rộng. Không giống các ngân hàng truyền thống, các công ty crypto kiểm soát lượng tài sản thanh khoản khổng lồ, hoạt động 24/7 và thường phụ thuộc vào một số ít nhân viên, private key hoặc hệ thống ký giao dịch.

Một trong những vụ tấn công lớn nhất là vụ hack Ronin Bridge vào tháng 3/2022. Khoảng 620 triệu USD tài sản đã bị đánh cắp khỏi hệ thống liên quan đến Axie Infinity. Sau đó, FBI chính thức quy trách nhiệm chiến dịch này cho Lazarus Group và APT38.

Xem bài đăng trên X Đang tải...

Dòng tweet đã bị tác giả xóa.

Nhưng chúng tôi đã lưu lại mọi thứ 🙂.

Tháng 6 cùng năm, Horizon Bridge của Harmony bị tấn công, gây thiệt hại khoảng 100 triệu USD. Năm 2023, Atomic Wallet, Alphapo, CoinsPaid và Stake.com nằm trong danh sách nạn nhân, trong khi DMM Bitcoin của Nhật Bản mất thêm 308 triệu USD vào năm 2024.

Đánh cắp hàng tỷ USD chỉ trong vài năm

Vụ việc gây chấn động nhất xảy ra vào tháng 2/2025, khi Bybit mất khoảng 1,5 tỷ USD. FBI liên kết vụ trộm với chiến dịch TraderTraitor của Triều Tiên. Xét theo số tiền bị đánh cắp, đây là vụ trộm cryptocurrency đơn lẻ lớn nhất lịch sử.

Chainalysis ước tính các nhóm có liên hệ với Triều Tiên đã đánh cắp ít nhất 2 tỷ USD cryptocurrency chỉ trong năm 2025. Đến cuối năm đó, tổng lũy kế của các năm trước đã đạt 6,75 tỷ USD.

Xem bài đăng trên X Đang tải...

Dòng tweet đã bị tác giả xóa.

Nhưng chúng tôi đã lưu lại mọi thứ 🙂.

Các cuộc tấn công tiếp diễn trong năm 2026. Các nhà nghiên cứu liên kết những vụ trộm lớn từ Drift Protocol và KelpDAO với các tác nhân Triều Tiên, trong khi vụ hack Bitget hồi tháng 9 đẩy số tiền bị đánh cắp trong năm vượt 1 tỷ USD.

Không phải mọi cuộc tấn công do các nhóm Triều Tiên thực hiện đều chính thức được quy cho chính Lazarus, và những tên gọi khác nhau thường đề cập đến các đội riêng biệt trong cùng một hệ thống được nhà nước hậu thuẫn. Vì vậy, chính xác hơn là nói rằng các hacker có liên hệ với Triều Tiên đã đánh cắp hơn 7 tỷ USD cryptocurrency vào mùa thu năm 2026, trong đó Lazarus vẫn là một trong những thành phần trung tâm của chiến dịch này.

Hacker nhắm vào con người, không phải blockchain

Các chiến dịch lớn của Lazarus ngày càng bắt đầu không phải từ lỗ hổng smart contract mà từ quyền truy cập vào nhân viên hoặc hệ thống nội bộ của doanh nghiệp. Những kẻ tuyển dụng giả mạo liên hệ với các nhà phát triển qua LinkedIn, gửi “bài kiểm tra,” tệp hoặc repository độc hại và tìm cách lấy thông tin xác thực hay quyền truy cập vào thiết bị làm việc.

Giới chức Mỹ và Nhật Bản mô tả chính xác phương thức này sau vụ hack DMM Bitcoin. Một kẻ tấn công giả danh nhà tuyển dụng đã liên hệ với một nhân viên của Ginco, công ty liên quan đến sàn giao dịch, rồi sử dụng kỹ nghệ xã hội để truy cập vào hệ thống xử lý giao dịch.

Một phương thức khác cần nhiều tháng để thực hiện. Các nhân viên IT Triều Tiên xin được việc tại những công ty crypto hợp pháp dưới danh tính giả, từ đó có quyền truy cập vào hệ thống nội bộ với tư cách nhân viên.

Xem bài đăng trên X Đang tải...

Dòng tweet đã bị tác giả xóa.

Nhưng chúng tôi đã lưu lại mọi thứ 🙂.

Theo TRM Labs, khoảng 76% giá trị bị đánh cắp trong nửa đầu năm 2026 bắt nguồn từ việc xâm nhập hệ thống nội bộ và quy trình vận hành. Quyền kiểm soát private key, tài khoản hoặc hệ thống ký giao dịch cho phép kẻ tấn công chuyển tiền mà không cần khai thác lỗ hổng trong chính blockchain.

Giai đoạn hai: Di chuyển số tiền bị đánh cắp

Ngay sau một cuộc tấn công, tài sản bị đánh cắp được chia nhỏ qua nhiều địa chỉ, đổi qua các nền tảng phi tập trung, chuyển giữa các blockchain và định tuyến qua những dịch vụ khiến giao dịch khó bị truy vết hơn.

Sau vụ hack Horizon Bridge, FBI theo dõi việc sử dụng RAILGUN, trong khi Lazarus dùng Tornado Cash trong các chiến dịch khác và trước đó từng dựa vào Sinbad. Khi các dịch vụ riêng lẻ bị trừng phạt hoặc đóng cửa, các tuyến rửa tiền cũng thay đổi.

Sau vụ hack Bybit, tài sản bị đánh cắp nhanh chóng được chuyển đổi, phân tán qua hàng nghìn địa chỉ và luân chuyển giữa các blockchain.

Một vụ việc gần đây cho thấy mạng lưới này vươn xa khỏi phạm vi Triều Tiên đến mức nào. ZachXBT cho rằng một mạng lưới tội phạm Trung Quốc đã giúp rửa hơn 1 tỷ USD bị Lazarus đánh cắp trong nhiều cuộc tấn công. Sau vụ hack Bybit, nhà điều tra này đã thâm nhập mạng lưới bằng cách giả làm khách hàng và liên kết các đối tượng vận hành với số tiền bị đánh cắp trị giá hàng triệu USD.

Vì sao Lazarus vẫn là mối đe dọa mang tính hệ thống

Việc chặn một ví hoặc dịch vụ đơn lẻ hiếm khi ngăn được Lazarus. Đằng sau một cụm địa chỉ có thể là những bên trung gian mới, nhân viên hoạt động dưới danh tính giả, mạng lưới rửa tiền và một hệ thống phụ thuộc vào dòng tiền ổn định. Giới chức Mỹ trực tiếp liên kết doanh thu từ các chiến dịch này với những chương trình của Triều Tiên, bao gồm phát triển tên lửa đạn đạo và vũ khí hạt nhân. Đối với một chế độ đang chịu các lệnh trừng phạt nghiêm khắc, ngành cryptocurrency đã trở thành một cách để có được ngoại tệ mà không cần tiếp cận hệ thống tài chính quốc tế truyền thống.

Điều này cũng làm thay đổi các yêu cầu về bảo mật. Các sàn giao dịch và dự án DeFi không thể chỉ dựa vào việc audit smart contract. Họ cũng phải giám sát hoạt động tuyển dụng, thiết bị của nhân viên, quyền truy cập, hệ thống ký giao dịch và các nhà thầu bên thứ ba.

Đồng thời, mỗi vụ trộm lớn lại gia tăng áp lực lên những dịch vụ vốn cũng có thể phục vụ các mục đích hợp pháp. Mixer, bridge và sàn giao dịch phi tập trung phải đối mặt với các lệnh trừng phạt và sự giám sát pháp lý khi hàng trăm triệu USD liên quan đến Triều Tiên đi qua chúng.

Trong vài năm qua, Lazarus đã phát triển từ một trong nhiều nhóm hacker thành mối đe dọa mang tính hệ thống đối với ngành cryptocurrency. Lợi thế của nhóm không nằm ở một lỗ hổng tinh vi đơn lẻ, mà ở khả năng kết hợp kỹ nghệ xã hội, quyền truy cập nội bộ, các cuộc tấn công kỹ thuật và hoạt động rửa tiền quốc tế thành một chiến dịch phối hợp.

Do đó, quy mô vấn đề không còn chỉ được đo bằng số tỷ USD bị đánh cắp. Chừng nào các công ty crypto vẫn là mục tiêu thuận tiện để tiếp cận tài sản số thanh khoản, và vẫn tồn tại các mạng lưới vận chuyển, rửa tiền đánh cắp, các cuộc tấn công của Lazarus sẽ tiếp tục là mối đe dọa dai dẳng đối với toàn ngành, thay vì những sự cố riêng lẻ.