Ομάδα Lazarus: Πώς οι βορειοκορεάτες κυβερνο-ηθοποιοί κλέβουν κρυπτονομίσματα

Μια ομάδα χάκερ έχει κλέψει περισσότερα κρυπτονομίσματα από οποιονδήποτε άλλον στην ιστορία. Τυχαίνει επίσης να εργάζεται για μια κυβέρνηση. Η Ομάδα Λαζάρου είναι η κρατική επιχείρηση χάκερ της Βόρειας Κορέας και για αυτήν, η κλοπή κρυπτονομισμάτων δεν είναι παράλληλη δουλειά. Είναι η καθημερινή δουλειά, μια εθνική γραμμή εσόδων με μισθοδοσία πίσω από αυτήν. Σε μια καλή χρονιά, με βάση τα δικά τους πρότυπα, η ομάδα ξοδεύει πάνω από δύο δισεκατομμύρια δολάρια από ανταλλακτήρια, γέφυρες και συνηθισμένα πορτοφόλια. Τα περισσότερα από αυτά έχουν εξαφανιστεί πριν κάποιος υποβάλει αναφορά.

Αυτός ο οδηγός καλύπτει ποιοι είναι, τις μεγαλύτερες ληστείες που συνδέονται με αυτούς, πώς εκτυλίσσεται στην πραγματικότητα μια επίθεση, πώς ξεπλένονται τα χρήματα και πόσα έχουν εξαφανιστεί. Η εστίαση παραμένει στα κρυπτονομίσματα. Εκεί βρίσκεται τώρα η ιστορία.

Ποια είναι πραγματικά η ομάδα Lazarus

Ξεχάστε την εικόνα ενός μοναχικού χάκερ με φούτερ. Η Ομάδα Λαζάρου είναι πιο κοντά σε μια κυβερνητική υπηρεσία με μισθοδοσία. Οι δυτικές υπηρεσίες τη συνδέουν με το Γενικό Γραφείο Αναγνώρισης της Βόρειας Κορέας, την κύρια υπηρεσία πληροφοριών εξωτερικού της χώρας, και με τις μονάδες που μερικές φορές ονομάζονται Γραφείο 121. Οι ερευνητές κυβερνοασφάλειας την παρακολουθούν ως μια ενιαία ομάδα απειλών, αν και στην πράξη είναι ένα σύμπλεγμα ομάδων που διευθύνουν τις επιθετικές κυβερνοεπιχειρήσεις της κυβέρνησης της Βόρειας Κορέας. Οι άνθρωποι πίσω από τα πληκτρολόγια είναι εκπαιδευμένοι, μισθωτοί και έχουν αναλάβει καθήκοντα, και η λίστα στόχων τους ορίζεται από το κράτος.

Η ομάδα έχει πολλά ονόματα ανάλογα με το ποιος γράφει την έκθεση: APT38, Hidden Cobra, Guardians of Peace, Labyrinth Chollima. Οι αναλυτές την χωρίζουν σε υποομάδες με διαφορετικές εργασίες. Η BlueNoroff κυνηγά τράπεζες και εταιρείες κρυπτονομισμάτων για χρήματα, η Andariel τείνει προς την κατασκοπεία και την αναστάτωση, και η ευρύτερη ομπρέλα Lazarus χειρίζεται τις κύριες επιθέσεις. Είναι ενεργή με κάποια μορφή από περίπου το 2009, γεγονός που την καθιστά έναν από τους μακροβιότερους και πιο οικονομικά κίνητρα απειλητικούς παράγοντες στον κόσμο.

Αυτό που διαφοροποιεί την Lazarus από τους περισσότερους κρατικούς χάκερ είναι το κίνητρο. Η Ρωσία και η Κίνα ασχολούνται κυρίως με την κατασκοπεία. Η Βόρεια Κορέα κλέβει για να χρηματοδοτηθεί. Τον Σεπτέμβριο του 2019, το Υπουργείο Οικονομικών των ΗΠΑ επέβαλε επίσημα κυρώσεις στην Lazarus και σε δύο σχετικές ομάδες, την BlueNoroff και την Andariel, ονομάζοντάς τες ως βραχίονες του βορειοκορεατικού κράτους. Μια εταιρεία ασφαλείας συνόψισε την ομάδα με σαφήνεια: ένα εγκληματικό συνδικάτο με σημαία.

Από τη Sony στο WannaCry: Τα πρώτα χρόνια

Πριν από τα κρυπτονομίσματα, η Lazarus έχτισε το όνομά της στο χάος. Η επιτυχία του 2014 στην Sony Pictures Entertainment, υπέγραψε με την Guardians of Peace, διέγραψε συστήματα, διέρρευσε ακυκλοφόρητες ταινίες και διέρρευσε εσωτερικά email ετών. Το προφανές κίνητρο; Μια κωμωδία που χλεύαζε τον ηγέτη της Βόρειας Κορέας. Δυνατό, πολιτικό, καταστροφικό. Δεν ήταν ακόμη κερδοφόρο.

Στη συνέχεια, ακολούθησαν τα χρήματα. Το 2016, η ομάδα παραλίγο να φέρει εις πέρας μια από τις μεγαλύτερες ληστείες τραπεζών που έχουν επιχειρηθεί ποτέ, στέλνοντας δόλια μηνύματα SWIFT για να αποσπάσουν 951 εκατομμύρια δολάρια από τον λογαριασμό της Τράπεζας της Μπαγκλαντές στην Ομοσπονδιακή Τράπεζα της Νέας Υόρκης. Ένα τυπογραφικό λάθος και μια μικρή τύχη κατέστρεψαν το μεγαλύτερο μέρος της υπόθεσης. Περίπου 81 εκατομμύρια δολάρια παρόλα αυτά διαφύγαν. Αυτή η μία κυβερνοεπίθεση απέδειξε ότι η Lazarus μπορούσε να ληστέψει χρηματοπιστωτικά ιδρύματα από ένα πληκτρολόγιο και μετέτρεψε το κρατικό κυβερνοέγκλημα σε ένα πραγματικό κέντρο κέρδους.

Στη συνέχεια, το 2017, ήρθε το WannaCry, ένα worm ransomware που πάγωσε εκατοντάδες χιλιάδες μηχανήματα σε περίπου 150 χώρες και κατέστρεψε νοσοκομεία του Ηνωμένου Βασιλείου στην πορεία. Ήταν πρόχειρο και μετά βίας κέρδιζε τίποτα. Αλλά έδειξε απήχηση. Έτσι, όταν τα κρυπτονομίσματα μεγάλωσαν, ο Lazarus είχε ήδη μια δεκαετία εμπειρίας στη μετακίνηση χρημάτων που δεν είχε δικαίωμα να αγγίξει.

Γιατί οι Βορειοκορεάτες χάκερ στοχεύουν τα κρυπτονομίσματα

Για ένα καθεστώς αποκομμένο από το παγκόσμιο τραπεζικό σύστημα, τα κρυπτονομίσματα είναι σχεδόν υπερβολικά βολικά. Οι κυρώσεις μπορούν να παγώσουν έναν τραπεζικό λογαριασμό και να μπλοκάρουν μια μεταφορά SWIFT, αλλά κανείς δεν μπορεί να εμποδίσει ένα πορτοφόλι από το να λαμβάνει κεφάλαια. Τα κρυπτονομίσματα διασχίζουν τα σύνορα μέσα σε λίγα λεπτά, διακανονίζονται μη αναστρέψιμα και μπορούν να ανακατευτούν μέσω εργαλείων που έχουν σχεδιαστεί για να ανοίγουν το δρόμο.

Έτσι, η Βόρεια Κορέα άλλαξε γνώμη. Γιατί να ρισκάρει κανείς μια ληστεία τράπεζας που ένα μόνο τηλεφώνημα μπορεί να αντιστρέψει, όταν μια εκμετάλλευση γέφυρας αποδίδει δεκαπλάσια χρήματα και δεν μπορεί να ανακτηθεί; Τα οικονομικά στοιχεία είναι μονόπλευρα υπέρ του εισβολέα. Μια αποτυχημένη μεταφορά SWIFT παγώνει και επιστρέφεται. Μια επιτυχημένη εκροή γέφυρας είναι οριστική τη στιγμή που το μπλοκ επιβεβαιώσει. Δεν υπάρχει αντισυμβαλλόμενο μέρος για να καλέσει κανείς, καμία αντιστροφή χρέωσης, κανένα δικαστήριο με δικαιοδοσία επί ενός πορτοφολιού. Οι ερευνητές και ο ΟΗΕ εκτιμούν τώρα ότι τα κλεμμένα κρυπτονομίσματα χρηματοδοτούν ένα μεγάλο μερίδιο του ξένου εισοδήματος της χώρας και ένα σημαντικό μέρος του προγράμματος όπλων της, αν και αυτά τα ακριβή ποσοστά προέρχονται από αξιολογήσεις των μυστικών υπηρεσιών και όχι από ανοιχτά βιβλία.

Οι μεγαλύτερες ληστείες κρυπτονομισμάτων της ομάδας Lazarus

Οι αριθμοί σταμάτησαν να ακούγονται σαν έγκλημα πριν από λίγο καιρό. Διαβάζονται σαν εθνικός προϋπολογισμός. Η μεγαλύτερη κλοπή, η πειρατεία Bybit, είναι μεγαλύτερη από τις επόμενες μαζί και μεγαλύτερη από οποιαδήποτε ληστεία τράπεζας που δεν σχετίζεται με κρυπτονομίσματα στην ιστορία.

Κοιτάξτε προσεκτικά και τα ίδια αδύνατα σημεία επανεμφανίζονται. Η κλοπή του Ronin λειτούργησε επειδή οι εισβολείς απέκτησαν τον έλεγχο πέντε από τα εννέα κλειδιά επικύρωσης που ασφαλίζουν τη γέφυρα, αρκετά για να εγκρίνουν τις δικές τους αναλήψεις, αφού έθεσε σε κίνδυνο έναν ανώτερο μηχανικό. Το Bybit ήταν πιο διακριτικό: αντί να σπάσουν το κρύο πορτοφόλι , οι εισβολείς κατέστρεψαν τη διεπαφή που έβλεπαν οι υπογράφοντες, έτσι η ομάδα ενέκρινε μια μεταφορά που φαινόταν ρουτίνα και ήταν οτιδήποτε άλλο εκτός από αυτό. Και στις δύο περιπτώσεις η κρυπτογραφία άντεξε. Οι άνθρωποι και το λογισμικό γύρω από αυτήν όχι.

Τα ποσά ποικίλλουν ανάλογα με την πηγή, επειδή συνήθως συνδέονται με την τιμή του token την ημέρα, και ο Lazarus τείνει να κλέβει ασταθή περιουσιακά στοιχεία όπως το ether. Ο αριθμός του Ronin κυμαίνεται από περίπου 540 εκατομμύρια δολάρια έως 625 εκατομμύρια δολάρια, ανάλογα με το ποιος μετράει, και ο Bybit αναφέρεται από 1,4 έως 1,5 δισεκατομμύρια δολάρια. Το μοτίβο που ακολουθεί είναι συνεπές: κυνηγήστε γέφυρες , ανταλλακτήρια κρυπτονομισμάτων και λογισμικό πορτοφολιών, τα σημεία στραγγαλισμού όπου μια μεμονωμένη αποτυχία απελευθερώνει μια περιουσία.

Πώς ξεδιπλώνεται ένα hack της ομάδας Lazarus

Αυτό είναι το κομμάτι που εκπλήσσει τους ανθρώπους. Αυτές οι κλοπές που σπάνε τα ρεκόρ σπάνια ξεκινούν με κάποιο εξωτικό, ασταμάτητο εγχείρημα. Ξεκινούν με ένα άτομο που ξεγελιέται. Το έξυπνο, μη αναστρέψιμο κομμάτι έρχεται αργότερα, όταν τα χρήματα πρέπει να εξαφανιστούν.

Ο τρόπος εισόδου: ψεύτικες θέσεις εργασίας και ηλεκτρονικό ψάρεμα (phishing)

Ο Lazarus είναι υπομονετικός και κοινωνικός. Το μακροχρόνιο εγχειρίδιό του, που συχνά ονομάζεται Operation Dream Job, είναι να παριστάνει τον recruiter στο LinkedIn ή σε μια κοινότητα προγραμματιστών και να προσφέρει έναν ονειρεμένο ρόλο σε μια εταιρεία που ακούγεται πραγματική. Κάπου στη συνέντευξη φτάνει ένα "τεστ κωδικοποίησης" ή PDF και το άνοιγμα του εγκαθιστά κακόβουλο λογισμικό. Η κλοπή Bitcoin του DMM πιστεύεται ότι ξεκίνησε ακριβώς με αυτόν τον τρόπο, με έναν ψεύτικο recruiter να θέτει σε κίνδυνο έναν υπάλληλο σε μια συνδεδεμένη εταιρεία. Η ίδια προσέγγιση έχει στοχεύσει προγραμματιστές σε ολόκληρο τον κλάδο μέσω παγιδευμένων πακέτων npm και αποθετηρίων GitHub που μεταμφιέζονται σε νόμιμα δείγματα εργασίας. Κανένα τείχος προστασίας δεν σταματά έναν μηχανικό στον οποίο ειπώθηκε ότι το αρχείο είναι μια ανάθεση εργασίας, γι' αυτό ακριβώς η κοινωνική μηχανική, όχι κάποιο άθραυστο exploit, ανοίγει τις περισσότερες από αυτές τις πόρτες.

Ψεύτικοι εργαζόμενοι πληροφορικής μέσα στο κτίριο

Το νεότερο κόλπο είναι ακόμη πιο τολμηρό: αντί να εισβάλει, η Βόρεια Κορέα υποβάλλει αίτηση για τη θέση. Χιλιάδες εργαζόμενοι πληροφορικής της έχουν προσποιηθεί ότι είναι απομακρυσμένοι προγραμματιστές, χρησιμοποιώντας κλεμμένες αμερικανικές ταυτότητες και φορητούς υπολογιστές που διαχειρίζονται τοπικοί μεσολαβητές, έτσι ώστε ο εργαζόμενος να μοιάζει σαν να συνδέεται από το Τέξας και όχι από την Πιονγιάνγκ. Μόλις προσληφθούν σε δυτικές εταιρείες τεχνολογίας και κρυπτονομισμάτων, διοχετεύουν τους μισθούς τους στο σπίτι και μερικές φορές τοποθετούν πρόσβαση για μια μεταγενέστερη κλοπή. Το Υπουργείο Δικαιοσύνης των ΗΠΑ έχει καταδιώξει και τα δύο άκρα αυτού του σχεδίου, συμπεριλαμβανομένης μιας υπόθεσης τον Δεκέμβριο του 2024 που απήγγειλε κατηγορίες σε δεκατέσσερις Βορειοκορεάτες και αγωγών το 2025 εναντίον των μεσολαβητών με έδρα τις ΗΠΑ που φιλοξένησαν τους φορητούς υπολογιστές. Πρόκειται για κατασκοπεία μεταμφιεσμένη σε καταχώριση μισθοδοσίας.

Εξαργύρωση: μίξερ και γέφυρες

Η κλοπή κρυπτονομισμάτων είναι η μισή δουλειά. Το πιο δύσκολο μισό είναι η σπατάλη τους. Η Lazarus διαχειρίζεται τα κλεμμένα κεφάλαια μέσω εταιρειών όπως το Tornado Cash, το οποίο επιβλήθηκε από τις ΗΠΑ το 2022, και το Sinbad, το οποίο επιβλήθηκε κυρώσεις στα τέλη του 2023, και στη συνέχεια μεταφέρει τα χρήματα σε blockchains μέσω γεφυρών και ανταλλαγών μεταξύ περιουσιακών στοιχείων για να θολώσει την πορεία τους πριν τα εξαργυρώσει μέσω ανταλλακτηρίων με αδύναμες επιταγές. Η διαδικασία είναι γρήγορη και αυτοματοποιημένη. Μετά το Bybit, οι ερευνητές παρακολούθησαν τα κεφάλαια να διασκορπίζονται σε εκατοντάδες πορτοφόλια μέσα σε λίγες ώρες. Πρόκειται για ξέπλυμα χρήματος σε βιομηχανική κλίμακα και λειτουργεί αρκετά συχνά ώστε το καθεστώς να συνεχίζει να το κάνει.

Πόσα έχει κλέψει η ομάδα Lazarus;

Ένα βήμα πίσω θα δεις ότι τα σύνολα είναι δύσκολο να επεξεργαστούν. Σύμφωνα με την Chainalysis , χάκερ που συνδέονται με τη Βόρεια Κορέα έκλεψαν περίπου 2,02 δισεκατομμύρια δολάρια σε κρυπτονομίσματα κατά τη διάρκεια του 2025, μια αύξηση 51% σε σχέση με το προηγούμενο έτος, ανεβάζοντας το συνολικό ποσό όλων των εποχών πάνω από 6,75 δισεκατομμύρια δολάρια. Το 2025, η χώρα αντιπροσώπευε περίπου το 76% της συνολικής αξίας που κλάπηκε από υπηρεσίες κρυπτονομισμάτων παγκοσμίως. Ένα κράτος, τα τρία τέταρτα της ζημιάς.

Τα στοιχεία του 2024 διαφωνούν επειδή μετρούν διαφορετικά πράγματα: οι κυβερνήσεις επιβεβαίωσαν μια χούφτα συγκεκριμένων ληστειών, ενώ οι εταιρείες ανάλυσης απέδωσαν περισσότερα μέσω της ιχνηλάτησης της αλυσίδας. Σε κάθε περίπτωση, η τάση είναι ανοδική. Μια ανασκόπηση μιας Επιτροπής Εμπειρογνωμόνων του ΟΗΕ κατέγραψε περίπου 58 ύποπτες βορειοκορεατικές επιθέσεις κρυπτονομισμάτων αξίας περίπου 3 δισεκατομμυρίων δολαρίων μεταξύ 2017 και 2023, πριν καν καταγραφούν τα ρεκόρ του 2024 και του 2025. Ο ίδιος φορέας ανέφερε ότι αυτά τα χρήματα βοηθούν στη χρηματοδότηση του προγράμματος όπλων της Βόρειας Κορέας, ένας ισχυρισμός που αντλείται από τις πληροφορίες των κρατών μελών και όχι από ελεγμένους λογαριασμούς, αλλά που αναδιατυπώνει κάθε παραβίαση συναλλάγματος ως κάτι πιο κοντά σε ένα γεωπολιτικό γεγονός.

Κυρώσεις, Κατηγορίες και η Αντίδραση

Τι μπορεί λοιπόν να κάνει κάποιος γι' αυτό; Να τους κατονομάσει, να τους επιβάλει κυρώσεις, να τους απαγγείλει κατηγορίες. Να τους συλλάβει, σχεδόν ποτέ, επειδή βρίσκονται στην Πιονγιάνγκ.

Τα χαρτιά έχουν πλέον φύγει από τη λίστα. Το Υπουργείο Οικονομικών έβαλε τον Lazarus στη μαύρη λίστα το 2019 και στη συνέχεια κυνήγησε τους συνεργάτες του, τους Tornado Cash και Sinbad. Οι εισαγγελείς συνέχισαν, κατηγορώντας επώνυμους χάκερ ήδη από το 2021 και, πρόσφατα, τους ανθρώπους που διαχειρίζονταν την ψεύτικη διαδικασία πρόσληψης εργαζομένων πληροφορικής. Καλή τύχη στην εκτέλεση των ενταλμάτων.

Η επιστροφή των χρημάτων είναι ακόμη πιο σπάνια. Μετά την κλοπή του Ronin, οι ερευνητές ανέκτησαν ένα μέρος των χρημάτων με τη βοήθεια του FBI και της Chainalysis. Ένα μέρος. Τα υπόλοιπα είχαν εξαφανιστεί. Και οι κυρώσεις έχουν τη συνήθεια να ανακατεύουν το πρόβλημα: βάζουν στη μαύρη λίστα το Tornado Cash και τα χρήματα πηγαίνουν στον Sinbad. χτυπούν τον Sinbad και η ομάδα βρίσκει τον επόμενο αναμεμειγμένο. Κάθε κίνηση κάνει την ανάληψη χρημάτων πιο δαπανηρή και πιο άσχημη. Τίποτα από αυτά δεν σταματά την κλοπή στην πηγή. Δεν μπορείς να εκδώσεις μια κυβέρνηση.

Μπορεί να σταματήσει η ομάδα Lazarus;

Ειλικρινά, όχι μόνο με κυρώσεις. Η άμυνα που έχει σημασία συμβαίνει πριν από την παραβίαση και βαρύνει τα χρηματιστήρια και τους χρήστες και όχι τους εισαγγελείς. Αυτό σημαίνει εγκρίσεις που επιβάλλονται από το υλικό σε μεγάλες μεταφορές, αντιμετώπιση ενός ανεπιθύμητου στρατολόγου ως απειλή και όχι ως ευκαιρία και άρνηση να αφήσετε ένα μόνο παραβιασμένο φορητό υπολογιστή να υπογράψει ένα ταμείο. Σημαίνει επίσης επαλήθευση αυτού που πραγματικά υπογράφετε αντί να εμπιστεύεστε μια οθόνη, το ακριβές κενό που κόστισε στην Bybit πάνω από ένα δισεκατομμύριο δολάρια. Η ασυμμετρία είναι βάναυση: οι υπερασπιστές πρέπει να έχουν δίκιο κάθε φορά, ενώ ο Lazarus χρειάζεται έναν μηχανικό για να ανοίξει ένα αρχείο. Ο ρεαλιστικός στόχος δεν είναι να εξαλειφθεί η ομάδα, αλλά να γίνει κάθε κλοπή πιο αργή, μικρότερη και πιο δύσκολο να ξεπλυθεί, έτσι ώστε το επόμενο άνοιγμα δισεκατομμυρίων δολαρίων απλά να μην είναι εκεί για να βρεθεί.

Γιατί ο Όμιλος Lazarus έχει σημασία για τα κρυπτονομίσματα

Ο Λάζαρος πήρε τα χαρακτηριστικά για τα οποία είναι περισσότερο περήφανος ο κρυπτονομισματικός κλάδος, ότι είναι χωρίς σύνορα και μη αναστρέψιμος, και τα μετέτρεψε σε ένα εργαλείο κρατικής χρηματοδότησης. Αυτό είναι το άβολο μάθημα εδώ: ο ίδιος σχεδιασμός που απελευθερώνει χρήματα από τις τράπεζες τα απελευθερώνει επίσης από την ανάκαμψη. Η ασφάλεια των κρυπτονομισμάτων δεν είναι πλέον απλώς μια προσωπική ανησυχία για τα δικά σας κλειδιά. Έχει γίνει ζήτημα εθνικής ασφάλειας για πολλές χώρες ταυτόχρονα. Κάθε μη ελεγμένη γέφυρα και κάθε ανταλλαγή με χαλαρούς ελέγχους είναι ένα πιθανό στοιχείο σε έναν προϋπολογισμό πυραύλων. Το ερώτημα που αξίζει να συζητηθεί είναι πώς ένα ανοιχτό, χωρίς άδειες χρηματοπιστωτικό σύστημα αμύνεται ενάντια σε έναν υπομονετικό, καλά χρηματοδοτούμενο αντίπαλο που αντιμετωπίζει την κλοπή μεγάλης κλίμακας ως ζήτημα εξωτερικής πολιτικής.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.