Północnokoreańscy hakerzy ukradli 1,46 mld USD z Bybit

21 lutego 2025 podczas rutynowej operacji transferu z zimnego portfela Ethereum pracownicy giełdy Bybit zatwierdzili transakcję wymagającą wielu podpisów. Kilka chwil po wykonaniu procedur kontrolę nad portfelem przejęli napastnicy. Z konta wyprowadzono około 1,46 mld USD w ETH i powiązanych aktywach, w tym ponad 401 tys. ETH. FBI oficjalnie przypisało atak operatorom powiązanym z grupą określaną jako Lazarus.

Chainalysis podał, że w samym 2025 roku podmioty powiązane z Koreą Północną ukradły co najmniej 2,02 mld USD w kryptowalutach. Według tej samej analizy łączna wartość kradzieży przypisywanych tym podmiotom do końca roku przekroczyła co najmniej 6,75 mld USD. W 2025 roku odnotowano mniejszą liczbę głośnych ataków, ale wyraźny wzrost średniej wartości pojedynczych kradzieży.

Lazarus to nazwa używana przez specjalistów od cyberbezpieczeństwa wobec części północnokoreańskiego aparatu cybernetycznego. Amerykański Departament Skarbu w 2019 roku objął sankcjami Lazarus oraz powiązane zespoły Bluenoroff i Andariel, opisując je jako kontrolowane przez Reconnaissance General Bureau. Według amerykańskich źródeł działalność operacji tego typu sięga około 2007 roku. W przeszłości działania obejmowały kradzieże danych, niszczenie systemów oraz ataki wymierzone w instytucje finansowe.

Wybrane wcześniejsze operacje powiązane z tymi podmiotami obejmują kradzież danych z firmy Sony Pictures w 2014 roku, próbę wyprowadzenia środków z banku centralnego Bangladeszu w 2016 roku oraz rozprzestrzenienie ransomware’u WannaCry w 2017 roku. W ataku na Bangladesh Bank napastnicy wysłali zlecenia płatnicze imitujące komunikaty systemu SWIFT; złożono wtedy zlecenia na około 851 mln USD, z których ostatecznie udało się wypłacić około 81 mln USD.

Analitycy wskazują, że kryptowaluty są atrakcyjnym celem ze względu na szybkie i często nieodwracalne transfery środków. Jeśli napastnik zdobędzie prywatny klucz lub przekona uprawnioną osobę do podpisania spreparowanej transakcji, aktywa mogą zostać przesłane w ciągu minut, bez udziału pośredników, którzy mogliby zablokować przelew.

Raporty z dochodzeń i analiza incydentów podkreślają, że najsłabszym ogniwem pozostaje człowiek. Operatorzy powiązani z Koreą Północną coraz częściej stosują techniki socjotechniczne: podszywają się pod rekruterów, inwestorów lub partnerów biznesowych i prowadzą fikcyjne procesy rekrutacyjne, by uzyskać dane logowania, dostęp do kodu źródłowego lub uprawnienia do podpisywania transakcji. Nawet systemy z wieloma podpisami i wyłączona z internetu infrastruktura mogą nie powstrzymać kradzieży, jeśli uprawniona osoba wykona polecenie napastnika.

Organy ścigania oraz specjaliści od śledzenia przepływów kryptowalut kontynuują działania mające na celu śledzenie i blokowanie skradzionych środków. Odzyskanie aktywów w przypadku dużych i szybkich transferów pozostaje trudne.