По материалам публикации на VC.ru, 21 февраля 2025 года группировка Lazarus, связанная с правительством Северной Кореи, провела крупнейшее в истории хищение криптовалюты — $1,5 млрд с биржи Bybit. Атака не потребовала взлома блокчейна: хакеры скомпрометировали интерфейс подписания транзакций.

Как работала атака на Bybit

Во время рутинного перевода средств с холодного кошелька на горячий сотрудники биржи видели на экране корректные данные — правильный адрес получателя и сумму. На практике они подписывали другую транзакцию — перевод на адреса злоумышленников.

Подмена произошла на уровне интерфейса мультиподписного кошелька Safe{Wallet}, а не в самом блокчейне. Криптографические подписи технически оставались действительными — сотрудники подписывали именно ту транзакцию, которую видели хакеры, но не ту, которую показывал интерфейс.

Ключевые факты операции:

  • Дата атаки: 21 февраля 2025 года
  • Сумма хищения: $1,5 млрд
  • Метод: подмена данных в интерфейсе подписания
  • Целевая платформа: Safe{Wallet} (мультиподпись)
  • Официальное подтверждение ФБР: 26 февраля 2025 года (через 5 дней)

Это редкий случай, когда американские власти публично подтверждают государственную причастность к криптоограблению всего через несколько дней после инцидента.

Кто такие Lazarus

Lazarus — не типичная хакерская группировка. Это официальное подразделение Разведывательного главного управления КНДР (Reconnaissance General Bureau), главного органа внешней разведки страны.

Группа начала деятельность не с криптовалюты. В 2014 году она взломала Sony Pictures в ответ на комедию «Интервью», высмеивающую северокорейского лидера. Хакеры выкрали терабайты данных, слили неопубликованные фильмы и стёрли корпоративные системы. Ущерб составил десятки миллионов долларов.

В 2016 году Lazarus едва не украла почти $1 млрд у Центробанка Бангладеш через поддельные SWIFT-переводы. Операцию сорвала случайная опечатка в платёжном поручении — в итоге хакеры получили «только» $81 млн.

В 2017 году группировка выпустила программу-вымогатель WannaCry, которая заразила 300 тысяч компьютеров в 150 странах и парализовала часть больниц британской национальной системы здравоохранения.

Переход на криптовалюту как основной источник дохода

После 2017 года Lazarus обнаружила, что криптовалютный рынок предлагает больше денег при меньшем уровне защиты по сравнению с традиционными банками. С этого момента группировка сместила фокус на биржи.

Общий объём хищений Lazarus с 2017 года: свыше $6 млрд в цифровых активах, по оценке аналитической компании Elliptic.

Эти средства не оседают в карманах хакеров. Украденные активы идут на финансирование ракетной программы КНДР — это подтверждают расследования ООН и американских спецслужб. Для страны под жёсткими международными санкциями криптовалютные хищения стали постоянной статьёй бюджета.

Масштаб операции в контексте

Сумма в $1,5 млрд, похищенная с Bybit, превышает годовой оборонный бюджет некоторых небольших государств. Для сравнения:

  • Годовой оборонный бюджет Армении в 2024 году — около $700 млн
  • Годовой оборонный бюджет Эстонии в 2024 году — около $1,1 млрд
  • Один взлом Lazarus превысил эти показатели

Это не первая крупная операция группировки. В марте 2022 года Lazarus украла $625 млн с Ethereum-сайдчейна Ronin Network, используемого в игре Axie Infinity. В 2023 году группа похитила более $200 млн с биржи Atomic Wallet.

Что это значит для российских инвесторов

Атака на Bybit напрямую затрагивает российских пользователей — Bybit остаётся одной из самых популярных офшорных бирж для трейдеров из РФ после ухода Binance с российского рынка.

Что делать держателям криптовалюты:

  • Не храните крупные суммы на биржевых кошельках — переводите активы на аппаратные кошельки (Ledger, Trezor) или некастодиальные решения
  • Проверяйте адреса получателей перед подтверждением транзакций — копируйте адрес вручную, не полагайтесь только на интерфейс
  • Используйте мультиподпись для крупных сумм, но помните: она не защищает от компрометации интерфейса
  • Следите за новостями о безопасности бирж — крупные взломы часто приводят к временной заморозке вывода средств

Для российских пользователей, работающих с Bybit через P2P или международные карты, важно диверсифицировать биржи. Альтернативы из каталога CoinDaily: OKX, MEXC, Bitget. Для обмена криптовалюты на рубли можно использовать проверенные обменники, работающие с российскими платёжными системами.

Налоговые последствия взлома для российских пользователей неоднозначны. Если ваши средства были похищены в результате атаки на биржу, это не освобождает от уплаты налога на доход, полученный до момента хищения. Рекомендуется сохранять все подтверждения операций для возможного обоснования убытков перед ФНС.