Lazarus Group

Lazarus Group to zbiorcza nazwa północnokoreańskich hakerów pracujących na zlecenie państwa. To nie jest gang przestępców działających na własny rachunek, tylko część aparatu państwowego, której zadaniem jest zdobywanie pieniędzy dla reżimu objętego sankcjami. Od kilku lat najważniejszym źródłem tych pieniędzy są kryptowaluty – i to w skali, której nikt inny nawet nie zbliżył.

Dla mnie jako tradera to nie jest temat z gazety. Lazarus regularnie atakuje dokładnie te miejsca, w których my trzymamy kapitał: giełdy, mosty, protokoły DeFi i portfele. Kiedy w branży pada pytanie „kto stoi za tym hackiem?”, odpowiedź coraz częściej brzmi tak samo.

Kim jest Lazarus Group

Lazarus to parasol nad kilkoma zespołami hakerskimi powiązanymi z Generalnym Biurem Rozpoznania (Reconnaissance General Bureau), głównym wywiadem Korei Północnej. Rząd USA przez lata opisywał tę aktywność kryptonimem HIDDEN COBRA, a część nastawioną na kradzież pieniędzy często określa się jako APT38. Każda firma od cyberbezpieczeństwa nadaje tym samym ludziom inne nazwy, dlatego w raportach panuje spory chaos.

W praktyce w ramach Lazarusa działa kilka wyspecjalizowanych zespołów:

• TraderTraitor – jednostka od największych włamań do firm kryptowalutowych (Bybit, Binance),
• AppleJeus / Citrine Sleet – zespół znany z fałszywych aplikacji do tradingu i ataków na protokoły DeFi,
• fałszywi pracownicy IT – tysiące informatyków, którzy pod cudzą tożsamością zatrudniają się zdalnie w zachodnich firmach, wysyłają pensje do kraju, a czasem otwierają drogę do późniejszej kradzieży.

Dlatego gdy media piszą po prostu „Lazarus”, mają rację tylko w przybliżeniu. Dla analityków ważne jest, który konkretnie zespół stał za atakiem, bo każdy ma trochę inny styl.

Historia – od Sony do kryptowalut

Lazarus zasłynął na długo przed boomem na krypto:

• 2014 – włamanie do Sony Pictures,
• 2016 – próba kradzieży prawie miliarda dolarów z banku centralnego Bangladeszu przez system SWIFT (udało się wyprowadzić ok. 81 mln dolarów),
• 2017 – ransomware WannaCry, który sparaliżował setki tysięcy komputerów na świecie.

Od 2017 roku głównym celem stały się kryptowaluty. Z punktu widzenia Pjongjangu to ma sens: krypto przechodzi przez granice w minuty, transakcji nie da się cofnąć, a łup można rozproszyć po tysiącach adresów. Dla kraju odciętego od światowego systemu finansowego to idealne źródło twardej waluty. Według ONZ i rządów zachodnich te pieniądze finansują m.in. program rakietowy i jądrowy. Rosja czy Chiny głównie szpiegują – Korea Północna po prostu kradnie, żeby się utrzymać.

Najgłośniejsze ataki na krypto

• Ronin Network (marzec 2022) – ok. 620 mln dolarów z mostu gry Axie Infinity. Furtką była fałszywa oferta pracy wysłana inżynierowi.
• Harmony Horizon Bridge (czerwiec 2022) – ok. 100 mln dolarów z mostu między blockchainami.
• Atomic Wallet (czerwiec 2023) – ok. 100 mln dolarów z portfeli zwykłych użytkowników.
• DMM Bitcoin (maj 2024) – 4502,9 BTC, czyli ok. 308 mln dolarów z japońskiej giełdy, która po tym ataku zakończyła działalność.
• WazirX (lipiec 2024) – ok. 235 mln dolarów z portfela multisig indyjskiej giełdy.
• Bybit (luty 2025) – ok. 1,5 mld dolarów, wtedy największa kradzież w historii.
• Drift Protocol (kwiecień 2026) – ok. 285 mln dolarów z największej giełdy kontraktów perpetual na Solanie, po miesiącach budowania zaufania zespołu projektu.
• KelpDAO (kwiecień 2026) – ok. 292 mln dolarów w tokenach rsETH przez źle skonfigurowany most.
• Binance (29 października 2026) – ok. 6,3–6,4 mld dolarów z gorących portfeli na 11 blockchainach. Nowy, absolutny rekord. 31 października FBI przypisało atak jednostce TraderTraitor.

Skala w liczbach

• 2024 – według Chainalysis 1,34 mld dolarów w 47 atakach.
• 2025 – rekordowe 2,02 mld dolarów, czyli ok. 60% wszystkich kradzieży kryptowalut na świecie. Łącznie od początku Korea Północna ukradła wtedy ok. 6,75 mld dolarów.
• 2026 – do końca kwietnia ok. 577 mln dolarów, czyli według TRM Labs 76% wartości wszystkich hacków w tym okresie. Potem przyszedł Binance – jeden atak większy niż wszystkie wcześniejsze lata razem wzięte.

Trend jest wyraźny: ataków jest mniej, ale są coraz większe. To nie są przypadkowi hakerzy, tylko zespoły, które potrafią miesiącami przygotowywać jedno uderzenie i czekać na moment, w którym w portfelu jest najwięcej pieniędzy.

Jak działają

1. Socjotechnika zamiast łamania szyfrów. Fałszywa oferta pracy na LinkedIn, „zadanie rekrutacyjne” do pobrania, spotkanie na Zoomie z prośbą o „aktualizację”, rzekomy inwestor albo partner na konferencji. Celem jest jeden człowiek z dostępem do kluczy lub systemów.
2. Atak na dostawcę, a nie na samą ofiarę. Zamiast włamywać się do giełdy, przejmują firmę, z której narzędzi giełda korzysta.
3. Przejęcie procesu podpisywania. Multisig nie pomaga, jeśli podpisujący widzą na ekranie sfałszowaną treść transakcji i zatwierdzają ją „na ślepo”.
4. Błyskawiczne pranie. Środki w ciągu godzin trafiają na tysiące adresów, są zamieniane na ETH i BTC, przerzucane mostami, przez miksery i pozagiełdowe biura wymiany. Chainalysis opisuje, że pranie po dużej kradzieży trwa zwykle etapami przez ok. 45 dni.

Odzyskać udaje się zwykle niewiele. Wyjątkiem był Binance, gdzie emitenci stablecoinów (Tether, Circle) szybko zamrozili prawie 3 mld dolarów – bo duża część łupu była właśnie w USDT i USDC.

Co z tego wynika dla mnie jako tradera

Ryzyko kontrahenta to nie teoria. Bybit i Binance miały z czego pokryć straty klientów, ale DMM Bitcoin po hacku zniknął z rynku. Na drugi dzień po takim ataku możesz mieć zamrożone wypłaty, a w gorszym scenariuszu nie mieć do czego wracać. Dlatego na giełdzie trzymam to, czym handluję, a nie cały kapitał, i nie trzymam wszystkiego w jednym miejscu.

Duży hack uderza też w cały rynek – po Bybit spadki objęły praktycznie wszystkie główne kryptowaluty. Przy takich wiadomościach nie dokładam pozycji „na ślepo”, tylko najpierw sprawdzam, co się dzieje z płynnością i wypłatami.

A osobiście? Nie instaluję plików ani aplikacji od nieznajomych, nawet jeśli oferta pracy wygląda świetnie. Długoterminowe środki trzymam na portfelu sprzętowym i sprawdzam adres oraz kwotę na ekranie urządzenia, a nie tylko w przeglądarce. Więcej o tym piszę w kategorii Bezpieczeństwo.

Najczęstsze pytania

Czy Lazarus Group to to samo co TraderTraitor?

Nie do końca. Lazarus to szeroka nazwa dla północnokoreańskich hakerów państwowych, a TraderTraitor to jedna z jego jednostek, wyspecjalizowana w największych włamaniach do firm kryptowalutowych. Media często używają obu nazw zamiennie.

Ile kryptowalut ukradła Korea Północna?

Do końca 2025 roku ok. 6,75 mld dolarów według Chainalysis. Sam atak na Binance z października 2026 roku dołożył kolejne ponad 6 mld, choć prawie połowę tej kwoty udało się zamrozić.

Czy zwykły inwestor może być celem?

Tak. Najwięcej pieniędzy grupa wyprowadza z giełd i protokołów, ale atakuje też portfele zwykłych użytkowników i coraz częściej zamożnych inwestorów indywidualnych. Furtką prawie zawsze jest socjotechnika.