Nếu hacker thông thường nhắm đến việc đánh cắp dữ liệu, thì mục tiêu tấn công của Lazarus Group (Tổ chức Lazarus) từ lâu đã vượt ra ngoài phạm vi của tội phạm mạng truyền thống.
Trong hơn mười năm qua, tổ chức hacker này, vốn bị chính phủ Mỹ xác định có liên quan đến Triều Tiên, đã liên tục tấn công các ngân hàng toàn cầu, tổ chức tài chính, doanh nghiệp công nghệ và dự án tiền mã hóa. Từ vụ Sony Pictures bị tấn công, đến 81 triệu USD bị đánh cắp từ ngân hàng trung ương Bangladesh, rồi đến cầu nối chuỗi chéo Ronin, mạng Harmony và vụ mất trộm gần 1,5 tỷ USD tài sản của Bybit vào năm 2025, các hoạt động liên quan đến Lazarus không ngừng định hình lại nhận thức của ngành tài chính toàn cầu về rủi ro an ninh mạng.
Chúng không chỉ tấn công các lỗ hổng hệ thống, mà còn tấn công niềm tin giữa con người với nhau, quyền hạn trong nội bộ doanh nghiệp, và ranh giới an ninh của toàn bộ hạ tầng tài chính.
Một, Lazarus rốt cuộc là tổ chức như thế nào?
Lazarus Group, còn gọi là Tổ chức Lazarus, là tên gọi chung trong ngành an ninh mạng dành cho một loạt hoạt động tấn công mạng có bối cảnh liên quan đến Triều Tiên.
Bộ Tài chính Mỹ đã chính thức áp đặt trừng phạt đối với Lazarus Group vào năm 2019 và chỉ ra rằng tổ chức này có liên quan đến Tổng cục Trinh sát của Triều Tiên.
Các hoạt động tấn công liên quan của tổ chức này bao gồm xâm nhập tổ chức tài chính, đánh cắp bí mật kinh doanh, ransomware, trộm cắp tiền mã hóa và phá hoại hạ tầng mạng. Trong nghiên cứu an ninh mạng, các tên như APT38, TraderTraitor, Bluenoroff cũng thường xuyên xuất hiện để mô tả các hoạt động tấn công liên quan hoặc cụm mối đe dọa gắn kết, nhưng những tên này không có nghĩa là mọi hành động đều do cùng một nhóm thực hiện.
Chính phủ Mỹ cho rằng, hoạt động tội phạm mạng có liên quan đến Triều Tiên là một kênh quan trọng để họ thu được nguồn tiền bất hợp pháp, và một phần số tiền có thể được dùng để hỗ trợ chế độ Triều Tiên cùng các chương trình vũ khí của nước này.
Hai, lịch sử tấn công hơn mười năm: Những sự kiện lớn gây chấn động toàn cầu
Năm 2014: Sony Pictures bị tấn công
Vào tháng 11 năm 2014, Sony Pictures đã hứng chịu một cuộc tấn công mạng quy mô lớn. Kẻ tấn công xâm nhập mạng nội bộ của công ty, đánh cắp lượng lớn tài liệu nhạy cảm, và sử dụng phần mềm độc hại mang tính phá hoại để xóa dữ liệu, khiến hoạt động kinh doanh của doanh nghiệp bị ảnh hưởng nghiêm trọng.
Tài liệu bị rò rỉ bao gồm email nội bộ của lãnh đạo, thông tin cá nhân của nhân viên, tài liệu phim chưa công bố, thông tin tài chính doanh nghiệp và bí mật thương mại.
Sự cố này khiến các doanh nghiệp trên toàn cầu nhận ra rằng tấn công mạng không chỉ có thể đánh cắp thông tin, mà còn có thể trực tiếp phá hoại hoạt động bình thường của doanh nghiệp. Sau đó, chính phủ Mỹ đã liên hệ vụ tấn công này với các hoạt động mạng có liên quan đến Triều Tiên.
Năm 2016: 81 triệu USD bị đánh cắp từ ngân hàng trung ương Bangladesh
Đây là một trong những sự kiện nổi tiếng nhất trong lịch sử các cuộc tấn công tài chính liên quan đến Lazarus.
Kẻ tấn công trước tiên xâm nhập vào hệ thống nội bộ của ngân hàng trung ương Bangladesh, lấy được thông tin xác thực liên lạc ngân hàng liên quan, rồi lợi dụng hệ thống nhắn tin tài chính liên ngân hàng quốc tế SWIFT để gửi lệnh chuyển tiền giả mạo.
Kẻ tấn công đã cố chuyển khoảng 951 triệu USD, trong đó một phần giao dịch bị ngăn chặn kịp thời, và cuối cùng khoảng 81 triệu USD đã được chuyển thành công.
Sự cố này phơi bày rủi ro nghiêm trọng của hệ thống tài chính truyền thống: ngay cả khi ngân hàng sở hữu một hệ thống thanh toán quốc tế trưởng thành, chỉ cần đầu cuối nội bộ, thông tin xác thực và quy trình vận hành bị xâm nhập, thiệt hại khổng lồ vẫn có thể xảy ra.
Năm 2017: WannaCry càn quét thế giới
Vào tháng 5 năm 2017, ransomware WannaCry nhanh chóng lan ra ít nhất 150 quốc gia trên toàn cầu, lây nhiễm khoảng 300.000 máy tính.
Virus khai thác lỗ hổng của hệ thống Windows để lây lan, sau khi lây nhiễm sẽ mã hóa tệp và yêu cầu nạn nhân trả tiền chuộc bằng Bitcoin.
Hệ thống Dịch vụ Y tế Quốc gia Anh (NHS) bị ảnh hưởng nghiêm trọng, việc đặt lịch bệnh viện, dịch vụ y tế và vận hành hệ thống nội bộ đều bị gián đoạn, hơn 19.000 cuộc hẹn bị hủy.
Sau đó, Mỹ, Anh và các quốc gia khác đã công khai quy kết vụ tấn công WannaCry cho các hoạt động mạng liên quan đến Triều Tiên. Sự cố này chứng minh rằng sức tàn phá của tấn công mạng không còn chỉ giới hạn ở thiệt hại tài chính, mà thậm chí còn có thể ảnh hưởng đến dịch vụ y tế và hạ tầng công cộng.
Năm 2022: Ronin Bridge bị đánh cắp khoảng 625 triệu USD
Vào tháng 3 năm 2022, mạng Ronin đứng sau trò chơi blockchain Axie Infinity đã bị tấn công.
Kẻ tấn công thông qua các cuộc tấn công phi kỹ thuật xã hội nhằm vào những người liên quan đến Sky Mavis, đã giành được quyền cần thiết để kiểm soát các nút xác thực, cuối cùng nắm quyền kiểm soát đủ số lượng nút xác thực.
Sau đó, kẻ tấn công chuyển đi khoảng 173.600 ETH và 25,5 triệu USDC từ Ronin Bridge; theo giá thị trường lúc đó, thiệt hại khoảng 625 triệu USD.
Mãi vài ngày sau, dự án mới phát hiện dấu hiệu bất thường. FBI của Mỹ đã chính thức quy kết vụ tấn công này cho Lazarus Group và các hoạt động mạng liên quan đến Triều Tiên vào tháng 4 năm 2022.
Sự cố này bộc lộ rủi ro cốt lõi của cầu nối chuỗi chéo: bản thân blockchain có thể vẫn hoạt động bình thường, nhưng nếu cơ chế xác thực kiểm soát việc chuyển tài sản qua chuỗi bị thất thủ, toàn bộ hệ thống cầu nối có thể trở thành mục tiêu tấn công.
Năm 2022: Harmony Horizon Bridge bị đánh cắp 100 triệu USD
Vào tháng 6 năm 2022, cầu nối chuỗi chéo Horizon của dự án Harmony đã bị tấn công, khoảng 100 triệu USD tài sản tiền mã hóa bị đánh cắp.
FBI của Mỹ đã chính thức xác nhận vào tháng 1 năm 2023 rằng Lazarus Group chịu trách nhiệm cho vụ trộm này. Sau đó, kẻ tấn công đã dùng các địa chỉ khác nhau và giao thức riêng tư để chuyển tiền.
FBI cũng tiết lộ rằng những người liên quan từng sử dụng các giao thức riêng tư như RAILGUN để xử lý một phần ETH bị đánh cắp.
Điều này cho thấy, việc đánh cắp tài sản chỉ là một phần của cuộc tấn công; cách chuyển, chia nhỏ và xử lý số tiền bị đánh cắp cũng là mắt xích quan trọng trong toàn bộ chuỗi tội phạm.
Năm 2023: Ngành tiền mã hóa liên tiếp bị tấn công
Năm 2023, các cuộc tấn công mạng liên quan đến Lazarus tiếp tục nhắm vào ngành tiền mã hóa.
Atomic Wallet thiệt hại khoảng 100 triệu USD, Alphapo khoảng 60 triệu USD, CoinsPaid khoảng 37 triệu USD, Stake.com khoảng 41 triệu USD.
FBI của Mỹ lần lượt công bố các thông tin quy kết liên quan, liên hệ những sự cố này với các hoạt động tấn công mạng có liên quan đến Triều Tiên.
Mục tiêu tấn công không còn chỉ giới hạn ở các sàn giao dịch lớn, mà dần mở rộng sang nhà cung cấp ví, nền tảng thanh toán cũng như toàn bộ hệ sinh thái tiền mã hóa.
Năm 2025: Bybit遭 đánh cắp khoảng 1,5 tỷ USD tài sản
Đây là một trong những vụ đánh cắp tài sản lớn nhất trong lịch sử ngành tiền mã hóa.
Ngày 21 tháng 2 năm 2025, Bybit bị tấn công, khoảng 1,46 tỷ USD ETH và các tài sản liên quan đã bị chuyển đi.
Điểm đáng nghiên cứu nhất trong vụ tấn công này là kẻ tấn công không đơn giản bẻ khóa mật khẩu sàn giao dịch, mà lợi dụng các mối quan hệ tin cậy trong chuỗi cung ứng và quy trình ký giao dịch để thực hiện tấn công.
Theo thông tin điều tra do Bybit công bố, kẻ tấn công đã xâm nhập vào chứng thực và hạ tầng của các nhà phát triển liên quan đến Safe, thao túng giao diện ký giao dịch, khiến nội dung giao dịch mà người ký nhìn thấy không khớp với giao dịch độc hại được thực thi thực tế.
Cuối cùng, kẻ tấn công đã kiểm soát một ví lạnh ETH của Bybit và chuyển đi khoảng 1,46 tỷ USD tài sản.
Ngày 26 tháng 2 năm 2025, FBI của Mỹ chính thức quy kết vụ tấn công này cho các đối tượng tấn công mạng liên quan đến Triều Tiên và xếp nó vào hoạt động TraderTraitor.
FBI cũng tiết lộ rằng kẻ tấn công đã nhanh chóng đổi một phần tài sản bị đánh cắp sang Bitcoin và các tài sản tiền mã hóa khác, rồi phân tán chúng vào rất nhiều địa chỉ blockchain.
Vụ tấn công này đã gióng lên hồi chuông cảnh báo cho toàn ngành: ví lạnh không có nghĩa là an toàn tuyệt đối, cơ chế đa chữ ký cũng không có nghĩa là an toàn tuyệt đối, và ví phần cứng cũng không thể ngăn chặn mọi chữ ký độc hại.
Vấn đề thực sự không chỉ là khóa riêng có bị lộ hay không, mà là giao dịch bạn ký thực chất là gì.
Ba, Lazarus rốt cuộc đã thực hiện tấn công như thế nào?
Nghiên cứu những sự kiện lịch sử này có thể thấy một số mô thức tấn công lặp đi lặp lại.
Trước hết là tấn công phi kỹ thuật xã hội.
Kẻ tấn công có thể giả mạo thành quỹ đầu tư, nhân viên tuyển dụng, nhà phát triển kỹ thuật, dự án hoặc đối tác kinh doanh, liên hệ mục tiêu qua X, LinkedIn, Telegram và email. Sau khi tạo được lòng tin, chúng sẽ gửi cái gọi là tài liệu công việc, thông tin đầu tư, mã thử nghiệm hoặc lời mời họp.
Một khi mục tiêu tải xuống và chạy tệp độc hại, kẻ tấn công có thể tiếp tục đánh cắp thông tin xác thực tài khoản, giành quyền truy cập thiết bị, thậm chí xâm nhập mạng nội bộ của doanh nghiệp.
Thứ hai là tấn công chuỗi cung ứng.
Các sàn giao dịch lớn và dự án blockchain thường có nhiều lớp bảo vệ an ninh, nên việc tấn công trực tiếp vào hệ thống lõi khá khó khăn. Vì vậy, kẻ tấn công có thể chuyển mục tiêu sang nhà phát triển, nhà cung cấp dịch vụ bên thứ ba, nhà cung cấp phần mềm và các đối tác khác có quyền truy cập hệ thống.
Sự cố Bybit là một ví dụ điển hình. Kẻ tấn công lợi dụng cơ hội hạ tầng phát triển của bên thứ ba và giao diện giao dịch bị xâm nhập để tác động đến phán đoán của người ký về nội dung giao dịch.
Thứ ba là chuyển dịch tài sản trên chuỗi.
Sau khi tài sản bị đánh cắp, kẻ tấn công có thể chia nhỏ số tiền qua nhiều địa chỉ, dùng hoán đổi chuỗi chéo, các nền tảng giao dịch khác nhau và giao thức riêng tư để tăng độ khó truy vết.
Nhưng blockchain không hoàn toàn ẩn danh. Mỗi giao dịch đều để lại dấu vết; ngay cả khi kẻ tấn công liên tục đổi địa chỉ, dòng tiền, thời gian giao dịch, nguồn tiền chung và mối quan hệ giữa các địa chỉ vẫn có thể trở thành manh mối điều tra.
Đó cũng là lý do vì sao FBI, các công ty phân tích blockchain và nền tảng giao dịch có thể lần theo chuỗi on-chain để nhận diện một phần số tiền bị đánh cắp.
Bốn, những cuộc tấn công này đã gây ảnh hưởng gì đến ngành tiền mã hóa toàn cầu?
Trước hết, niềm tin an ninh của các tổ chức tài chính bị chấn động. Vụ việc ngân hàng trung ương Bangladesh đã chứng minh rằng hệ thống thanh toán quốc tế của ngân hàng truyền thống cũng có thể bị tấn công mạng.
Tiếp theo, rủi ro an ninh của hạ tầng tiền mã hóa được đánh giá lại. Các sự cố như Ronin, Harmony khiến toàn ngành bắt đầu xem xét lại thiết kế an ninh của cầu nối chuỗi chéo, ví đa chữ ký, nút xác thực và hợp đồng thông minh.
Thứ ba, chi phí vận hành của sàn giao dịch liên tục tăng. Quản lý ví lạnh, xác minh chữ ký, kiểm toán bên thứ ba, giám sát on-chain, phản ứng khẩn cấp và bảo hiểm đều cần đầu tư thêm nguồn lực.
Thứ tư, tài sản bị đánh cắp có thể đi vào hệ thống lưu thông tiền phi pháp rộng lớn hơn. Sau khi được chuyển qua nhiều chuỗi, hoán đổi và rửa tiền, tài sản bị đánh cắp có thể ảnh hưởng đến nền tảng giao dịch, các giao thức DeFi và những người dùng thông thường khác.
Điều đáng chú ý hơn là, vấn đề an ninh mạng cấp quốc gia đã giao thoa với ngành tiền mã hóa. Đây không còn là các vụ hack cá nhân thông thường, mà là vấn đề phức tạp liên quan đến hạ tầng tài chính, an ninh quốc tế và quản lý tài sản số.
Năm, người dùng tiền mã hóa thông thường nên phòng ngừa như thế nào?
$BNB Đối với nhà đầu tư thông thường, không cần nắm vững kỹ thuật an ninh mạng chuyên sâu, nhưng nhất định phải xây dựng các thói quen an toàn cơ bản.
Nên lưu trữ tài sản lớn bằng ví lạnh độc lập.
Cụm từ khôi phục và khóa riêng tuyệt đối không tải lên đám mây hay phần mềm chat.
Không cung cấp cụm từ khôi phục, khóa riêng và quyền ký cho bất kỳ ai.
Không tùy tiện cài đặt plugin ví do người lạ cung cấp.
Không sử dụng phần mềm ví không rõ nguồn gốc.
Kiểm tra định kỳ quyền phê duyệt của ví, thu hồi các quyền không còn cần thiết.
Không ký bừa những giao dịch mà bạn không hiểu.
Trước khi ký, hãy kiểm tra địa chỉ nhận, địa chỉ hợp đồng và nội dung giao dịch.
Cảnh giác với quyền phê duyệt Token ở mức vô hạn.
Với thao tác số tiền lớn, hãy thử trước bằng số tiền nhỏ.
Đối với tài khoản sàn giao dịch, cũng nên bật xác thực hai lớp riêng biệt, ưu tiên dùng các phương thức xác thực chống lừa đảo như khóa bảo mật phần cứng, thiết lập danh sách trắng địa chỉ rút tiền, và bật thông báo đăng nhập cũng như rút tiền.
Cần đặc biệt nhấn mạnh rằng ví phần cứng có thể bảo vệ khóa riêng, nhưng không thể đảm bảo giao dịch bạn phê duyệt chắc chắn an toàn. Nếu bạn ký một giao dịch độc hại, ví phần cứng cũng có thể trở thành cửa ngõ dẫn đến mất tài sản.
Đối với các sàn giao dịch, dự án DeFi và đội ngũ phát triển, còn cần triển khai tách biệt khóa riêng với hệ thống nghiệp vụ, phân tách quyền đa chữ ký, kiểm toán phần mềm bên thứ ba, quản lý quyền tối thiểu, giám sát giao dịch bất thường và cơ chế tạm dừng khẩn cấp.
Sáu, điều thực sự đáng cảnh giác là: Mục tiêu của các cuộc tấn công mạng đang thay đổi
Nhìn lại hơn mười năm lịch sử tấn công, có thể thấy một lộ trình tiến hóa rất rõ ràng.
Giai đoạn 2014—2017, chủ yếu nhắm vào hệ thống doanh nghiệp, thực hiện đánh cắp dữ liệu và tấn công ransomware.
Giai đoạn 2016—2020, phạm vi tấn công mở rộng sang hệ thống ngân hàng, hệ thống thanh toán quốc tế và các tổ chức tài chính.
Giai đoạn 2018—2021, các sàn giao dịch tiền mã hóa, ví và phần mềm liên quan dần trở thành mục tiêu trọng điểm.
Giai đoạn 2022—2023, tấn công tiếp tục lan sang cầu nối chuỗi chéo, DeFi và hạ tầng blockchain.
Năm 2025, chuỗi cung ứng, môi trường phát triển của bên thứ ba và quy trình giao dịch đa chữ ký trở thành những điểm xâm nhập cần cảnh giác.
Điều này không có nghĩa là mọi cuộc tấn công đều do cùng một nhóm người hoặc cùng một bộ kỹ thuật thực hiện, mà là cho thấy các hoạt động đe dọa mạng liên quan đến Lazarus đã bao phủ ngày càng nhiều hạ tầng tài chính.
Đối với ngành tiền mã hóa, ranh giới an ninh đang thay đổi.
Trước đây, mọi người quan tâm đến việc khóa riêng có bị lộ hay hợp đồng thông minh có lỗ hổng hay không. Bây giờ, còn phải xem máy tính của nhà phát triển có an toàn không, phần mềm bên thứ ba có đáng tin không, giao diện ký có bị sửa đổi không, và quyền nội bộ có bị lạm dụng hay không.
Lịch sử tấn công hơn mười năm của Lazarus thực ra đã phơi bày một thực tế tàn khốc: trong kỷ nguyên tài chính số, rủi ro lớn nhất có thể không phải là hệ thống bị bẻ khóa, mà là niềm tin bị lợi dụng.
Khi hàng chục tỷ USD tài sản số có thể được chuyển đi trong thời gian ngắn, toàn ngành buộc phải suy nghĩ lại một câu hỏi:
Rốt cuộc chúng ta đang xây dựng một hệ thống tài chính số an toàn, hay chỉ đơn giản là chuyển rủi ro của thế giới tài chính truyền thống lên blockchain?$BTC