Lazarus, η διαβόητη ομάδα χάκερ της Βόρειας Κορέας που έχει συνδεθεί με μερικές από τις μεγαλύτερες κλοπές κρυπτονομισμάτων στον κόσμο, είναι όπως όλα δείχνουν, πίσω μεγαλύτερη κυβερνοκλοπή στην ιστορία των crypto, με λεία που εκτιμάται στα 6,36 δισ. δολάρια από την Binance.
Η εταιρεία ανάλυσης blockchain TRM Labs αποδίδει την επίθεση στην TraderTraitor, επίλεκτη μονάδα χάκερ της Βόρειας Κορέας που συνδέεται με το δίκτυο Lazarus, εκτιμώντας ότι βρίσκεται πίσω από την μεγάλη ληστεία στην Binance, τη μεγαλύτερη πλατφόρμα συναλλαγών κρυπτονομισμάτων στον κόσμο. Η ίδια ομάδα είχε συνδεθεί και με την εντυπωσιακή επίθεση στη Bybit τον Φεβρουάριο του 2025, από την οποία έκαναν φτερά περίπου 1,5 δισ. δολάρια σε κρυπτονομίσματα.
Η νέα υπόθεση θεωρείται ήδη η μεγαλύτερη κλοπή στην ιστορία της αγοράς crypto, ξεπερνώντας κατά πολύ προηγούμενα περιστατικά και προκαλώντας έντονη ανησυχία για την ασφάλεια ακόμη και των μεγαλύτερων διεθνών πλατφορμών. Σημειώνεται ότι τρεις μεγάλες κυβερνοεπιθέσεις από χάκερς με οικονομικές αλλά και άλλες προεκτάσεις και συνέπειες (Binance, Polymarket, Homeland Security) έχουν σημάνει παγκόσμιο συναγερμό.
Ποιο είναι το Lazarus Group
Lazarus Group είναι η ονομασία που χρησιμοποιείται για ένα δίκτυο ομάδων κυβερνοεγκλήματος που αποδίδονται από διεθνείς ερευνητικές και διωκτικές αρχές στη Βόρεια Κορέα.
Στο πλαίσιο αυτό εντάσσεται και η TraderTraitor, την οποία η αμερικανική κυβέρνηση έχει κατονομάσει ως βορειοκορεατική μονάδα κυβερνοεπιθέσεων.
Οι ομάδες αυτές έχουν συνδεθεί με επιθέσεις σε χρηματοπιστωτικούς οργανισμούς, επιχειρήσεις και πλατφόρμες ψηφιακών περιουσιακών στοιχείων. Η δράση τους έχει προκαλέσει ιδιαίτερη ανησυχία στον χώρο των κρυπτονομισμάτων, καθώς οι επιθέσεις δεν περιορίζονται σε μεμονωμένους λογαριασμούς, αλλά μπορούν να στοχεύσουν κρίσιμες υποδομές και συστήματα διαχείρισης κεφαλαίων, σύμφωνα με το BBC.
Η Βόρεια Κορέα, αντιμέτωπη με εκτεταμένες διεθνείς κυρώσεις και περιορισμένες δυνατότητες πρόσβασης στο διεθνές χρηματοπιστωτικό σύστημα, έχει κατηγορηθεί ότι αξιοποιεί κυβερνοεπιθέσεις για την εξασφάλιση εσόδων. Η Πιονγκγιάνγκ αρνείται συστηματικά τις κατηγορίες.
Σύμφωνα με την TRM Labs, η απόδοση της επίθεσης στην TraderTraitor βασίζεται σε στοιχεία από την ανάλυση συναλλαγών στο blockchain, αλλά και σε πληροφορίες από άλλες πηγές. Οι ερευνητές εντόπισαν ομοιότητες με προηγούμενες επιχειρήσεις που αποδίδονται σε βορειοκορεατικές ομάδες, μεταξύ των οποίων και η επίθεση στη Bybit.
Από τη Bybit στην Binance
Η επίθεση στη Bybit τον Φεβρουάριο του 2025 αποτέλεσε ένα από τα μεγαλύτερα πλήγματα που έχει δεχθεί ποτέ η αγορά κρυπτονομισμάτων. Περίπου 1,5 δισ. δολάρια σε ψηφιακά περιουσιακά στοιχεία εκλάπησαν, με τις αμερικανικές αρχές να αποδίδουν την επιχείρηση στην TraderTraitor.
Η συγκεκριμένη υπόθεση αποτέλεσε σημείο αναφοράς για τις έρευνες γύρω από τη δράση των βορειοκορεατικών ομάδων χάκερ. Τώρα, η επίθεση στην Binance επαναφέρει στο προσκήνιο την ίδια μονάδα, με την TRM Labs να εντοπίζει κοινά χαρακτηριστικά στον τρόπο προετοιμασίας και εκτέλεσης των δύο επιχειρήσεων.
Η διαφορά, ωστόσο, είναι η κλίμακα. Σύμφωνα με την TRM Labs, στην περίπτωση της Binance μετακινήθηκαν περίπου 6,36 δισ. δολάρια από πορτοφόλια της πλατφόρμας σε δίκτυα blockchain. Το μεγαλύτερο μέρος των κεφαλαίων μεταφέρθηκε μέσα σε περίπου 20 λεπτά, ενώ η επιχείρηση επεκτάθηκε συνολικά σε δέκα διαφορετικά blockchain.
Προετοιμάζονταν τουλάχιστον 36 ώρες πριν από την επίθεση
Η ανάλυση της TRM Labs δείχνει ότι η επιχείρηση δεν ήταν μια αυθόρμητη ενέργεια, αλλά μια επίθεση που είχε σχεδιαστεί μεθοδικά.
Οι δράστες φέρονται να είχαν ξεκινήσει την προετοιμασία τουλάχιστον 36 ώρες πριν από την αφαίρεση των κεφαλαίων. Αρχικά, χρησιμοποίησαν μικρές μεταφορές μέσω του Tornado Cash, μιας υπηρεσίας που δυσχεραίνει τα ψηφιακά ίχνη της προέλευσης των κρυπτονομισμάτων.
Στη συνέχεια, ανέπτυξαν και δοκίμασαν κακόβουλο κώδικα σε διαφορετικά ψηφιακά πορτοφόλια, πραγματοποιώντας ακόμη και δοκιμαστικές μεταφορές πριν από την τελική επιχείρηση.
Το κρίσιμο σημείο ήταν η παραβίαση της υποδομής που χρησιμοποιείται για την έγκριση και την υπογραφή συναλλαγών. Σύμφωνα με την ανάλυση, οι δράστες αξιοποίησαν προετοιμασμένες εξουσιοδοτήσεις ώστε να ενεργοποιήσουν μηχανισμό μεταφοράς κεφαλαίων από πορτοφόλι της Binance.
Η κινητοποίηση εταιρειών και οργανισμών του οικοσυστήματος των κρυπτονομισμάτων ήταν άμεση. Εκδότες stablecoins, όπως η Tether και η Circle, προχώρησαν σε πάγωμα κεφαλαίων που συνδέονταν με τις διευθύνσεις των δραστών, ενώ αντίστοιχες ενέργειες έγιναν και από άλλους φορείς.
Σύμφωνα με την αποτύπωση της TRM Labs στις πρώτες ώρες της έρευνας, είχαν παγώσει περίπου 2,7 δισ. δολάρια. Την ίδια στιγμή, οι δράστες εξακολουθούσαν να ελέγχουν περιουσιακά στοιχεία αξίας περίπου 2,4 δισ. δολαρίων, κυρίως σε Bitcoin και Ethereum. Η προσπάθεια των δραστών να μετατρέψουν μέρος των κλεμμένων κεφαλαίων σε περιουσιακά στοιχεία που δεν μπορούν να δεσμευτούν από έναν κεντρικό εκδότη αποτελεί πλέον ένα από τα βασικά σημεία της έρευνας.
Η απάντηση της Binance και οι διαβεβαιώσεις για τα κεφάλαια των πελατών
Η Binance επιβεβαίωσε ότι αντιμετώπισε σοβαρό περιστατικό ασφαλείας, εκτιμώντας αρχικά τον συνολικό αντίκτυπο σε περίπου 6,3 δισ. δολάρια. Στην ανακοίνωσή της στις 30 Οκτωβρίου, ανέφερε ότι η αρχική έρευνα δείχνει ότι το περιστατικό ενδέχεται να ξεκίνησε από τον φορητό υπολογιστή ενός μηχανικού που εργαζόταν στην ανάπτυξη και λειτουργία των συστημάτων της.
Η παραβίαση της συσκευής φέρεται να επέτρεψε στους δράστες να αποκτήσουν πρόσβαση σε εσωτερικό περιβάλλον υπηρεσιών και από εκεί να υποβάλουν μη εξουσιοδοτημένες εντολές ανάληψης.
Η Binance τονίζει ότι μέχρι στιγμής δεν έχει εντοπίσει ενδείξεις διαρροής των ιδιωτικών κλειδιών των ψηφιακών πορτοφολιών, αυτό δεν σημαίνει ότι δεν υπήρξε παραβίαση. Σύμφωνα με την προκαταρκτική εξήγηση της εταιρείας, οι επιτιθέμενοι ενδέχεται να απέκτησαν πρόσβαση σε λειτουργίες που τους επέτρεψαν να κινήσουν κεφάλαια με άλλον τρόπο.
Το πώς ακριβώς παραβιάστηκε ο υπολογιστής, πώς αποκτήθηκε η πρόσβαση και ποια επιπλέον δικλίδα ασφαλείας παρακάμφθηκε παραμένουν αντικείμενο της έρευνας. Σε νέα ανακοίνωση, είπε ότι δέχθηκε σύνθετη επίθεση και δεν ήταν μεμονωμένο περιστατικό.
Παράλληλα, ανακοίνωσε ότι θα καλύψει όλες τις απώλειες από το ταμείο SAFU και από εταιρικά κεφάλαια, διαβεβαιώνοντας ότι τα χρήματα των χρηστών παραμένουν ασφαλή.
Για προληπτικούς λόγους, ανέστειλε προσωρινά καταθέσεις και αναλήψεις σε επηρεαζόμενα δίκτυα, ενώ συνεργάζεται με τις αρμόδιες αρχές και εταιρείες ανάλυσης blockchain για τον εντοπισμό των δραστών και την ανάκτηση των κεφαλαίων.
