Если обычные хакеры стремятся похитить данные, то цели атак Lazarus Group («Группы Лазаря») давно вышли за рамки традиционной киберпреступности.
На протяжении более десяти лет эта хакерская группа, которую правительство США считает связанной с Северной Кореей, непрерывно атакует банки, финансовые учреждения, технологические компании и криптовалютные проекты по всему миру. От атаки на Sony Pictures и кражи 81 миллиона долларов у Центрального банка Бангладеш до межсетевого моста Ronin, сети Harmony и хищения у Bybit в 2025 году активов почти на 1,5 миллиарда долларов — связанные с Lazarus операции постоянно меняют представления мировой финансовой отрасли о рисках кибербезопасности.
Их атаки направлены не только на уязвимости систем, но и на доверие между людьми, права доступа внутри компаний и границы безопасности всей финансовой инфраструктуры.
I. Что представляет собой Lazarus?
Lazarus Group, также известная как «Группа Лазаря», — это общее название ряда кибератак, связанных с Северной Кореей, в терминологии специалистов по кибербезопасности.
В 2019 году Министерство финансов США официально ввело санкции против Lazarus Group и указало на её связь с Главным разведывательным управлением Северной Кореи.
Связанные с Lazarus атаки включают взлом финансовых учреждений, кражу коммерческих тайн, атаки с использованием программ-вымогателей, кражу криптовалют и разрушение сетевой инфраструктуры. В исследованиях по кибербезопасности также часто встречаются названия APT38, TraderTraitor и Bluenoroff, которыми обозначают связанные атаки или группы угроз. Однако это не означает, что все операции проводит одна и та же команда.
Правительство США считает, что связанная с Северной Кореей киберпреступность — важный источник незаконных доходов для страны, а часть этих средств может использоваться для поддержки северокорейского режима и его оружейных программ.
II. История атак за десять с лишним лет: события, потрясшие мир
2014 год: атака на Sony Pictures
В ноябре 2014 года Sony Pictures подверглась масштабной кибератаке. Злоумышленники проникли во внутреннюю сеть компании, похитили большое количество конфиденциальных материалов и удалили данные с помощью разрушительного вредоносного ПО, что серьёзно нарушило работу компании.
Среди утёкших материалов были внутренняя переписка руководства, личные данные сотрудников, неопубликованные материалы фильмов, финансовая информация компании и коммерческие тайны.
Этот инцидент показал компаниям по всему миру, что кибератаки могут не только похищать информацию, но и напрямую нарушать нормальную работу предприятий. Позже правительство США связало эту атаку с кибероперацией, связанной с Северной Кореей.
2016 год: кража 81 миллиона долларов у Центрального банка Бангладеш
Это один из самых известных эпизодов в истории финансовых атак, связанных с Lazarus.
Сначала злоумышленники проникли во внутренние системы Центрального банка Бангладеш и получили учётные данные для банковской переписки, а затем использовали международную межбанковскую систему финансовых сообщений SWIFT, чтобы отправить поддельные распоряжения о переводе средств.
Злоумышленники пытались перевести около 951 миллиона долларов. Часть транзакций удалось вовремя заблокировать, но около 81 миллиона долларов всё же было переведено.
Этот инцидент выявил серьёзные риски традиционной финансовой системы: даже при наличии отлаженной международной платёжной инфраструктуры взлом внутренних устройств, учётных данных и операционных процессов может привести к огромным убыткам.
2017 год: вирус-вымогатель WannaCry охватил весь мир
В мае 2017 года вирус-вымогатель WannaCry быстро распространился как минимум в 150 странах и заразил около 300 тысяч компьютеров.
Вирус распространялся, используя уязвимость Windows. Заразив устройство, он шифровал файлы и требовал от жертв выкуп в биткоинах.
Национальная служба здравоохранения Великобритании (NHS) серьёзно пострадала: были нарушены запись пациентов на приём, оказание медицинской помощи и работа внутренних систем, а более 19 тысяч приёмов пришлось отменить.
Позже США, Великобритания и другие страны публично возложили ответственность за атаку WannaCry на связанные с Северной Кореей кибероперации. Этот инцидент доказал, что последствия кибератак больше не ограничиваются финансовыми потерями и могут затрагивать даже медицинские услуги и общественную инфраструктуру.
2022 год: кража около 625 миллионов долларов у Ronin Bridge
В марте 2022 года атаке подверглась сеть Ronin, лежащая в основе блокчейн-игры Axie Infinity.
С помощью социальной инженерии, направленной против связанных с Sky Mavis сотрудников, злоумышленники получили права, необходимые для управления узлами-валидаторами, и в итоге установили контроль над достаточным количеством таких узлов.
Затем злоумышленники вывели из Ronin Bridge около 173 600 ETH и 25,5 миллиона USDC. По рыночным ценам на тот момент ущерб составил около 625 миллионов долларов.
Аномалию обнаружили лишь несколько дней спустя. В апреле 2022 года ФБР США официально возложило ответственность за атаку на Lazarus Group и связанные с Северной Кореей кибероперации.
Этот инцидент выявил ключевой риск межсетевых мостов: сам блокчейн может работать нормально, но если механизм проверки, контролирующий перемещение активов между сетями, скомпрометирован, целью атаки может стать вся система моста.
2022 год: кража 100 миллионов долларов у Harmony Horizon Bridge
В июне 2022 года межсетевой мост Horizon проекта Harmony подвергся атаке, в результате которой было похищено криптоактивов примерно на 100 миллионов долларов.
В январе 2023 года ФБР США официально возложило ответственность за это хищение на Lazarus Group. После этого злоумышленники переводили средства, используя разные адреса и протоколы конфиденциальности.
ФБР также сообщило, что связанные с атакой лица использовали протоколы конфиденциальности, такие как RAILGUN, для обработки части похищенных ETH.
Это показывает, что кража активов — лишь одна часть атаки. Перевод, дробление и обработка похищенных средств — столь же важные этапы всей преступной цепочки.
2023 год: серия атак на криптовалютную отрасль
В 2023 году связанные с Lazarus кибератаки по-прежнему были направлены на криптовалютную отрасль.
Atomic Wallet потерял около 100 миллионов долларов, Alphapo — около 60 миллионов, CoinsPaid — около 37 миллионов, Stake.com — около 41 миллиона долларов.
ФБР США постепенно публиковало информацию об атрибуции атак, связывая эти инциденты с киберактивностью, связанной с Северной Кореей.
Целями атак стали не только крупные биржи: они постепенно распространились на поставщиков кошельков, платёжные платформы и всю криптовалютную экосистему.
2025 год: кража активов на сумму около 1,5 миллиарда долларов у Bybit
Это один из крупнейших случаев кражи активов в истории криптовалютной отрасли.
21 февраля 2025 года Bybit подверглась атаке, в результате которой были переведены ETH и связанные с ним активы на сумму около 1,46 миллиарда долларов.
Самое важное в этой атаке — то, что злоумышленники не просто взломали пароль биржи, а использовали доверительные отношения в цепочке поставок и процессе подписания транзакций.
Согласно опубликованным Bybit результатам расследования, злоумышленники взломали учётные данные и инфраструктуру разработчиков, связанных с Safe, а затем манипулировали интерфейсом подписания транзакций, из-за чего подписывающие видели не то содержимое транзакции, которая фактически выполнялась.
В итоге злоумышленники получили контроль над одним из холодных ETH-кошельков Bybit и перевели активы на сумму около 1,46 миллиарда долларов.
26 февраля 2025 года ФБР США официально отнесло эту атаку к действиям киберпреступников, связанных с Северной Кореей, и включило её в кампанию TraderTraitor.
ФБР также сообщило, что злоумышленники быстро обменяли часть похищенных активов на биткоин и другие криптоактивы, а затем распределили их по множеству адресов в блокчейне.
Эта атака стала предупреждением для всей отрасли: холодный кошелёк не гарантирует абсолютную безопасность, мультиподпись тоже не даёт абсолютной защиты, а аппаратный кошелёк не может предотвратить все случаи вредоносного подписания.
Главный вопрос не только в том, утёк ли закрытый ключ, но и в том, какую именно транзакцию вы подписываете.
III. Как именно Lazarus проводит атаки?
Изучение этих исторических инцидентов позволяет выявить несколько повторяющихся схем атак.
Первая из них — атаки с использованием социальной инженерии.
Злоумышленники могут выдавать себя за инвестиционные компании, рекрутеров, технических специалистов, представителей проектов или деловых партнёров и связываться с целями через X, LinkedIn, Telegram и электронную почту. Завоевав доверие, они отправляют так называемые рабочие документы, инвестиционные материалы, задания по тестированию кода или приглашения на встречи.
Если цель скачает и запустит вредоносный файл, злоумышленники могут похитить учётные данные, получить доступ к устройству и даже проникнуть во внутреннюю сеть компании.
Вторая — атаки на цепочку поставок.
Крупные биржи и блокчейн-проекты обычно используют многоуровневую защиту, поэтому напрямую атаковать их основные системы сложно. В связи с этим злоумышленники могут переключить внимание на разработчиков, сторонних поставщиков услуг, производителей программного обеспечения и других партнёров с доступом к системам.
Инцидент с Bybit — типичный пример. Злоумышленники воспользовались взломом сторонней среды разработки и интерфейса транзакций, чтобы повлиять на то, как подписывающие оценивали содержимое транзакций.
Третья схема — перемещение средств в блокчейне.
После кражи активов злоумышленники могут разделить средства между множеством адресов, использовать межсетевые обмены, разные торговые платформы и протоколы конфиденциальности, чтобы затруднить отслеживание.
Однако блокчейн не является полностью анонимным. Каждая транзакция оставляет запись. Даже если злоумышленники постоянно меняют адреса, потоки средств, время транзакций, общие источники средств и связи между адресами всё ещё могут стать зацепками для расследования.
Именно поэтому ФБР, компании по анализу блокчейна и торговые платформы могут отслеживать транзакции в блокчейне и выявлять часть похищенных средств.
IV. Как эти атаки повлияли на мировую криптовалютную отрасль?
Во-первых, пострадало доверие к безопасности финансовых учреждений. Инцидент с Центральным банком Бангладеш показал, что кибератакам может подвергаться и международная платёжная система традиционных банков.
Во-вторых, была пересмотрена оценка рисков безопасности криптовалютной инфраструктуры. Инциденты с Ronin и Harmony заставили всю отрасль заново оценить безопасность межсетевых мостов, кошельков с мультиподписью, узлов-валидаторов и смарт-контрактов.
В-третьих, эксплуатационные расходы бирж продолжают расти. Управление холодными кошельками, проверка подписей, сторонний аудит, мониторинг блокчейна, реагирование на инциденты и страховое покрытие требуют всё больше ресурсов.
В-четвёртых, похищенные активы могут попасть в более широкую систему незаконного оборота средств. После перемещения между сетями, обмена и отмывания похищенные активы могут затронуть торговые платформы, протоколы DeFi и других обычных пользователей.
Особенно важно, что проблемы кибербезопасности государственного уровня пересеклись с криптовалютной отраслью. Речь уже не об обычных атаках отдельных хакеров, а о сложной проблеме, затрагивающей финансовую инфраструктуру, международную безопасность и регулирование цифровых активов.
V. Как обычным пользователям криптовалют защитить себя?
$BNB Обычным инвесторам не нужно владеть профессиональными навыками кибербезопасности, но необходимо выработать базовые привычки для защиты средств.
По возможности храните крупные суммы в отдельном холодном кошельке.
Никогда не загружайте мнемоническую фразу и закрытые ключи в облачное хранилище или мессенджеры.
Никому не сообщайте мнемоническую фразу и закрытые ключи и не предоставляйте разрешение на подпись.
Не устанавливайте плагины для кошельков, полученные от незнакомых людей.
Не используйте приложения для кошельков неизвестного происхождения.
Регулярно проверяйте разрешения кошелька и отзывайте те, которые больше не нужны.
Не подписывайте транзакции, смысла которых не понимаете.
Перед подписанием проверяйте адрес получателя, адрес контракта и содержимое транзакции.
Остерегайтесь разрешений на неограниченное расходование токенов.
Перед крупной операцией сначала проведите тест на небольшую сумму.
Для аккаунтов на биржах также следует включить отдельную двухфакторную аутентификацию, по возможности использовать устойчивые к фишингу методы подтверждения, например аппаратные ключи безопасности, настроить белый список адресов для вывода и включить уведомления о входе и выводе средств.
Важно особо подчеркнуть: аппаратный кошелёк может защитить закрытые ключи, но не гарантирует безопасность одобряемой вами транзакции. Если вы подпишете вредоносную транзакцию, аппаратный кошелёк тоже может стать причиной потери средств.
Биржам, проектам DeFi и командам разработчиков также необходимо разделять закрытые ключи и бизнес-системы, распределять права мультиподписи, проводить аудит стороннего программного обеспечения, соблюдать принцип минимальных привилегий, отслеживать подозрительные транзакции и предусматривать механизм экстренной приостановки.
VI. Главный повод для беспокойства: цели кибератак меняются
Если оглянуться на историю атак за последние десять с лишним лет, можно увидеть чёткую тенденцию развития.
В 2014–2017 годах основными целями были корпоративные системы: злоумышленники похищали данные и проводили атаки с использованием программ-вымогателей.
В 2016–2020 годах атаки распространились на банковские системы, международные платёжные сети и финансовые учреждения.
В 2018–2021 годах важными целями стали криптовалютные биржи, кошельки и связанное с ними программное обеспечение.
В 2022–2023 годах атаки охватили межсетевые мосты, DeFi и блокчейн-инфраструктуру.
В 2025 году цепочки поставок, сторонние среды разработки и процессы мультиподписания транзакций стали потенциальными точками входа, требующими особого внимания.
Это не означает, что все атаки проводились одними и теми же людьми или с использованием одних и тех же методов. Это показывает, что связанная с Lazarus киберугроза охватывает всё больше элементов финансовой инфраструктуры.
Для криптовалютной отрасли границы безопасности меняются.
Раньше всех интересовало, не утёк ли закрытый ключ и нет ли уязвимостей в смарт-контрактах. Теперь необходимо также учитывать, защищены ли компьютеры разработчиков, надёжно ли стороннее программное обеспечение, не подменён ли интерфейс подписания и не злоупотребляют ли внутренними правами доступа.
История атак Lazarus за десять с лишним лет раскрывает суровую правду: в эпоху цифровых финансов самый большой риск может заключаться не во взломе системы, а в злоупотреблении доверием.
Когда цифровые активы на миллиарды долларов можно перевести за короткое время, всей отрасли необходимо заново задать себе вопрос:
Строим ли мы безопасную систему цифровых финансов — или просто переносим риски традиционного финансового мира в блокчейн?$BTC