Jika tujuan peretas biasa adalah mencuri data, sasaran serangan Lazarus Group (Organisasi Lazarus) sejak lama telah melampaui ranah kejahatan siber tradisional.
Selama lebih dari sepuluh tahun terakhir, kelompok peretas yang oleh pemerintah Amerika Serikat dinilai memiliki hubungan dengan Korea Utara ini terus menyerang bank, lembaga keuangan, perusahaan teknologi, dan proyek mata uang kripto di seluruh dunia. Dari serangan terhadap Sony Pictures, pencurian 81 juta dolar AS dari Bank Sentral Bangladesh, hingga pencurian aset hampir 1,5 miliar dolar AS dari jembatan lintas rantai Ronin, jaringan Harmony, dan Bybit pada 2025, operasi terkait Lazarus terus mengubah pemahaman industri keuangan global tentang risiko keamanan siber.
Yang diserang bukan hanya celah sistem, tetapi juga kepercayaan antarmanusia, hak akses internal perusahaan, dan batas keamanan seluruh infrastruktur keuangan.
I. Apa sebenarnya Lazarus itu?
Lazarus Group, juga dikenal sebagai Organisasi Lazarus, adalah sebutan yang digunakan industri keamanan siber untuk serangkaian aktivitas serangan siber berlatar belakang Korea Utara.
Pada 2019, Departemen Keuangan Amerika Serikat secara resmi menjatuhkan sanksi kepada Lazarus Group dan menyatakan bahwa kelompok itu memiliki hubungan dengan Biro Umum Pengintaian Korea Utara.
Aktivitas serangan terkait mencakup pembobolan lembaga keuangan, pencurian rahasia dagang, ransomware, pencurian mata uang kripto, serta perusakan infrastruktur jaringan. Dalam riset keamanan siber, nama-nama seperti APT38, TraderTraitor, dan Bluenoroff juga kerap muncul untuk menggambarkan aktivitas serangan terkait atau kelompok ancaman yang terhubung, tetapi nama-nama ini tidak berarti bahwa semua operasi dilakukan oleh tim yang sama.
Pemerintah Amerika Serikat menilai bahwa kejahatan siber terkait Korea Utara merupakan saluran penting untuk memperoleh dana ilegal, dan sebagian dana mungkin digunakan untuk mendukung rezim Korea Utara serta program persenjataannya.
II. Sejarah serangan selama lebih dari sepuluh tahun: insiden-insiden besar yang mengguncang dunia
2014: Sony Pictures diserang
Pada November 2014, Sony Pictures mengalami serangan siber berskala besar. Penyerang menyusup ke jaringan internal perusahaan, mencuri banyak informasi sensitif, lalu menggunakan malware destruktif untuk menghapus data sehingga operasional perusahaan terdampak parah.
Informasi yang bocor mencakup email internal eksekutif, informasi pribadi karyawan, materi film yang belum dirilis, informasi keuangan perusahaan, dan rahasia dagang.
Insiden ini menyadarkan perusahaan di seluruh dunia bahwa serangan siber bukan hanya dapat mencuri informasi, tetapi juga mengganggu operasional normal perusahaan secara langsung. Pemerintah Amerika Serikat kemudian mengaitkan serangan ini dengan operasi siber terkait Korea Utara.
2016: 81 juta dolar AS dicuri dari Bank Sentral Bangladesh
Ini adalah salah satu insiden paling terkenal dalam sejarah serangan keuangan yang terkait dengan Lazarus.
Penyerang terlebih dahulu menyusup ke sistem internal Bank Sentral Bangladesh dan mendapatkan kredensial komunikasi perbankan terkait, lalu menggunakan sistem komunikasi keuangan antarbank internasional SWIFT untuk mengirim instruksi transfer palsu.
Penyerang berusaha memindahkan dana sekitar 951 juta dolar AS. Sebagian transaksi berhasil dicegah tepat waktu, tetapi sekitar 81 juta dolar AS pada akhirnya berhasil dipindahkan.
Insiden ini mengungkap risiko besar dalam sistem keuangan tradisional: sekalipun bank memiliki sistem pembayaran internasional yang matang, pembobolan perangkat internal, kredensial identitas, dan prosedur operasional tetap dapat menyebabkan kerugian besar.
2017: Ransomware WannaCry melanda dunia
Pada Mei 2017, ransomware WannaCry dengan cepat menyebar ke setidaknya 150 negara di seluruh dunia dan menginfeksi sekitar 300.000 komputer.
Virus ini menyebar dengan memanfaatkan celah pada sistem Windows. Setelah menginfeksi perangkat, virus mengenkripsi berkas dan meminta korban membayar tebusan dalam Bitcoin.
Layanan Kesehatan Nasional Inggris (NHS) terdampak parah. Janji temu rumah sakit, layanan medis, dan operasional sistem internal terganggu, sementara lebih dari 19.000 janji temu dibatalkan.
Amerika Serikat, Inggris, dan negara-negara lain kemudian secara terbuka mengatribusikan serangan WannaCry kepada aktivitas siber terkait Korea Utara. Insiden ini membuktikan bahwa dampak destruktif serangan siber tidak lagi terbatas pada kerugian finansial, bahkan dapat memengaruhi layanan medis dan infrastruktur publik.
2022: Sekitar 625 juta dolar AS dicuri dari Ronin Bridge
Pada Maret 2022, jaringan Ronin di balik gim blockchain Axie Infinity diserang.
Melalui serangan rekayasa sosial yang menyasar pihak-pihak terkait Sky Mavis, penyerang memperoleh hak akses yang diperlukan untuk mengendalikan node validator dan akhirnya menguasai jumlah node validator yang memadai.
Setelah itu, penyerang memindahkan sekitar 173.600 ETH dan 25,5 juta USDC dari Ronin Bridge. Berdasarkan harga pasar saat itu, kerugiannya mencapai sekitar 625 juta dolar AS.
Baru beberapa hari kemudian pihak proyek menyadari adanya aktivitas mencurigakan. Pada April 2022, FBI Amerika Serikat secara resmi mengatribusikan serangan ini kepada Lazarus Group dan aktivitas siber Korea Utara terkait.
Insiden ini mengungkap risiko inti jembatan lintas rantai: blockchain itu sendiri dapat berfungsi normal, tetapi jika mekanisme validasi yang mengendalikan pemindahan aset lintas rantai gagal, seluruh sistem jembatan dapat menjadi sasaran serangan.
2022: 100 juta dolar AS dicuri dari Harmony Horizon Bridge
Pada Juni 2022, jembatan lintas rantai Horizon milik proyek Harmony diserang dan aset kripto senilai sekitar 100 juta dolar AS dicuri.
Pada Januari 2023, FBI Amerika Serikat secara resmi mengonfirmasi bahwa Lazarus Group bertanggung jawab atas pencurian ini. Setelah itu, para penyerang memindahkan dana melalui berbagai alamat dan protokol privasi.
FBI juga mengungkapkan bahwa pihak terkait menggunakan protokol privasi seperti RAILGUN untuk memproses sebagian ETH curian.
Ini menunjukkan bahwa pencurian aset hanyalah salah satu bagian dari operasi serangan. Memindahkan, memecah, dan memproses dana curian juga merupakan bagian penting dari keseluruhan rantai kejahatan.
2023: Industri mata uang kripto berturut-turut diserang
Pada 2023, serangan siber yang terkait dengan Lazarus terus menyasar industri mata uang kripto.
Atomic Wallet kehilangan sekitar 100 juta dolar AS, Alphapo sekitar 60 juta dolar AS, CoinsPaid sekitar 37 juta dolar AS, dan Stake.com sekitar 41 juta dolar AS.
FBI Amerika Serikat secara bertahap merilis informasi atribusi terkait dan mengaitkan insiden-insiden ini dengan aktivitas serangan siber yang terkait dengan Korea Utara.
Sasaran serangan tidak lagi terbatas pada bursa besar, tetapi secara bertahap meluas ke penyedia layanan dompet, platform pembayaran, dan seluruh ekosistem mata uang kripto.
2025: Bybit mengalami pencurian aset senilai sekitar 1,5 miliar dolar AS
Ini adalah salah satu peristiwa pencurian aset terbesar dalam sejarah industri mata uang kripto.
Pada 21 Februari 2025, Bybit diserang dan ETH serta aset terkait senilai sekitar 1,46 miliar dolar AS dipindahkan.
Hal yang paling layak dipelajari dari serangan ini adalah bahwa penyerang tidak sekadar membobol kata sandi bursa, tetapi memanfaatkan hubungan kepercayaan dalam rantai pasok dan proses penandatanganan transaksi untuk melancarkan serangan.
Menurut informasi investigasi yang dirilis Bybit, penyerang membobol kredensial dan infrastruktur pengembang terkait Safe, lalu memanipulasi antarmuka penandatanganan transaksi sehingga isi transaksi yang dilihat penanda tangan berbeda dari transaksi berbahaya yang benar-benar dijalankan.
Pada akhirnya, penyerang mengambil alih satu dompet dingin ETH milik Bybit dan memindahkan aset senilai sekitar 1,46 miliar dolar AS.
Pada 26 Februari 2025, FBI Amerika Serikat secara resmi mengatribusikan serangan ini kepada pelaku serangan siber yang terkait dengan Korea Utara dan menggolongkannya sebagai bagian dari aktivitas TraderTraitor.
FBI juga mengungkapkan bahwa penyerang dengan cepat menukar sebagian aset curian menjadi Bitcoin dan aset kripto lainnya, lalu menyebarkannya ke banyak alamat blockchain.
Serangan ini menjadi peringatan bagi seluruh industri: dompet dingin bukan berarti sepenuhnya aman, mekanisme multisig bukan berarti sepenuhnya aman, dan dompet perangkat keras pun tidak dapat mencegah semua penandatanganan berbahaya.
Masalah sebenarnya bukan hanya apakah kunci privat telah bocor, tetapi juga transaksi seperti apa yang sebenarnya Anda tanda tangani.
III. Bagaimana Lazarus melancarkan serangan?
Dengan mempelajari berbagai insiden bersejarah ini, kita dapat melihat beberapa pola serangan yang berulang.
Pertama, serangan rekayasa sosial.
Pelaku serangan dapat menyamar sebagai lembaga investasi, perekrut, pengembang teknologi, pihak proyek, atau mitra bisnis, lalu menghubungi sasaran melalui X, LinkedIn, Telegram, dan email. Setelah membangun kepercayaan, mereka mengirimkan apa yang disebut sebagai dokumen pekerjaan, materi investasi, tes kode, atau undangan rapat.
Begitu sasaran mengunduh dan menjalankan berkas berbahaya, penyerang dapat mencuri kredensial akun, memperoleh akses ke perangkat, bahkan menyusup ke jaringan internal perusahaan.
Kedua, serangan rantai pasok.
Bursa besar dan proyek blockchain biasanya memiliki perlindungan keamanan berlapis, sehingga sistem inti sulit diserang secara langsung. Karena itu, penyerang dapat mengalihkan sasaran ke pengembang, penyedia layanan pihak ketiga, pemasok perangkat lunak, serta mitra lain yang memiliki akses ke sistem.
Insiden Bybit adalah contoh yang khas. Penyerang memanfaatkan pembobolan lingkungan pengembangan dan antarmuka transaksi pihak ketiga untuk memengaruhi penilaian penanda tangan terhadap isi transaksi.
Ketiga, pemindahan dana on-chain.
Setelah aset dicuri, penyerang dapat memecah dana ke berbagai alamat serta menggunakan pertukaran lintas rantai, berbagai platform perdagangan, dan protokol privasi untuk mempersulit pelacakan.
Namun, blockchain tidak sepenuhnya anonim. Setiap transaksi meninggalkan catatan. Sekalipun penyerang terus mengganti alamat, aliran dana, waktu transaksi, sumber dana yang sama, dan hubungan antaralamat tetap dapat menjadi petunjuk investigasi.
Itulah sebabnya FBI, perusahaan analisis blockchain, dan platform perdagangan dapat mengidentifikasi sebagian dana curian melalui pelacakan on-chain.
IV. Apa dampak serangan ini terhadap industri mata uang kripto global?
Pertama, kepercayaan terhadap keamanan lembaga keuangan terguncang. Insiden Bank Sentral Bangladesh membuktikan bahwa sistem pembayaran internasional bank tradisional juga dapat menjadi sasaran serangan siber.
Kedua, risiko keamanan infrastruktur mata uang kripto dinilai ulang. Insiden Ronin, Harmony, dan lainnya membuat seluruh industri mulai meninjau kembali desain keamanan jembatan lintas rantai, dompet multisig, node validator, dan kontrak pintar.
Ketiga, biaya operasional bursa terus meningkat. Pengelolaan dompet dingin, verifikasi tanda tangan, audit pihak ketiga, pemantauan on-chain, tanggap darurat, dan perlindungan asuransi semuanya membutuhkan lebih banyak sumber daya.
Keempat, aset curian dapat masuk ke dalam jaringan peredaran dana ilegal yang lebih luas. Setelah dipindahkan lintas rantai, ditukar, dan dicuci, aset curian dapat berdampak pada platform perdagangan, protokol DeFi, serta pengguna biasa lainnya.
Yang lebih patut diperhatikan adalah bertemunya masalah keamanan siber tingkat negara dengan industri mata uang kripto. Ini bukan lagi sekadar peretasan biasa oleh individu, melainkan masalah kompleks yang menyangkut infrastruktur keuangan, keamanan internasional, dan regulasi aset digital.
V. Bagaimana pengguna mata uang kripto biasa dapat melindungi diri?
$BNB Investor biasa tidak perlu menguasai keahlian keamanan siber profesional, tetapi harus membangun kebiasaan keamanan dasar.
Simpan aset dalam jumlah besar di dompet dingin terpisah sebisa mungkin.
Jangan pernah mengunggah frasa pemulihan dan kunci privat ke penyimpanan cloud atau aplikasi obrolan.
Jangan berikan frasa pemulihan, kunci privat, atau otorisasi tanda tangan kepada siapa pun.
Jangan sembarangan memasang ekstensi dompet yang diberikan oleh orang tak dikenal.
Jangan gunakan perangkat lunak dompet yang sumbernya tidak jelas.
Periksa otorisasi dompet secara berkala dan cabut otorisasi yang tidak lagi diperlukan.
Jangan menandatangani transaksi yang tidak Anda pahami.
Periksa alamat penerima, alamat kontrak, dan isi transaksi sebelum menandatangani.
Waspadai otorisasi token tanpa batas.
Untuk transaksi bernilai besar, lakukan uji coba dengan jumlah kecil terlebih dahulu.
Untuk akun bursa, aktifkan juga autentikasi dua faktor yang terpisah. Utamakan metode verifikasi antipengelabuan seperti kunci keamanan perangkat keras, buat daftar putih alamat penarikan, serta aktifkan pemberitahuan masuk dan penarikan.
Perlu ditekankan secara khusus bahwa dompet perangkat keras dapat melindungi kunci privat, tetapi tidak menjamin transaksi yang Anda setujui pasti aman. Jika yang ditandatangani adalah transaksi berbahaya, dompet perangkat keras juga dapat menjadi celah yang menyebabkan kehilangan dana.
Bursa, proyek DeFi, dan tim pengembang juga perlu menerapkan pemisahan kunci privat dari sistem bisnis, pemisahan kewenangan multisig, audit perangkat lunak pihak ketiga, pengelolaan hak akses minimum, pemantauan transaksi abnormal, serta mekanisme penghentian darurat.
VI. Hal yang benar-benar perlu diwaspadai: sasaran serangan siber sedang berubah
Menilik sejarah serangan lebih dari sepuluh tahun terakhir, terlihat pola perkembangan yang jelas.
2014–2017: sasaran utamanya adalah sistem perusahaan, dengan serangan pencurian data dan ransomware.
2016–2020: cakupan serangan meluas ke sistem perbankan, sistem pembayaran internasional, dan lembaga keuangan.
2018–2021: bursa mata uang kripto, dompet, dan perangkat lunak terkait secara bertahap menjadi sasaran utama.
2022–2023: serangan meluas lebih jauh ke jembatan lintas rantai, DeFi, dan infrastruktur blockchain.
2025: rantai pasok, lingkungan pengembangan pihak ketiga, dan proses transaksi multisig menjadi titik masuk serangan yang perlu diwaspadai.
Ini bukan berarti semua serangan dilakukan oleh orang yang sama atau dengan teknologi yang sama, tetapi menunjukkan bahwa aktivitas ancaman siber yang terkait dengan Lazarus telah mencakup semakin banyak infrastruktur keuangan.
Bagi industri mata uang kripto, batas keamanan sedang berubah.
Dulu, perhatian tertuju pada apakah kunci privat bocor atau kontrak pintar memiliki celah. Sekarang, kita juga harus mempertimbangkan apakah komputer pengembang aman, apakah perangkat lunak pihak ketiga tepercaya, apakah antarmuka penandatanganan telah dimanipulasi, dan apakah hak akses internal disalahgunakan.
Sejarah serangan Lazarus selama lebih dari sepuluh tahun pada dasarnya mengungkap kenyataan pahit: di era keuangan digital, risiko terbesar mungkin bukan sistem yang diretas, melainkan kepercayaan yang dimanfaatkan.
Ketika aset digital senilai puluhan miliar dolar dapat dipindahkan dalam waktu singkat, seluruh industri harus memikirkan kembali satu pertanyaan:
Apakah kita benar-benar sedang membangun sistem keuangan digital yang aman, atau hanya memindahkan risiko dunia keuangan tradisional ke blockchain?$BTC