Kelompok Lazarus yang Terkenal Buruk: Kekaisaran Peretas Korea Utara yang Mencuri Hampir 7,8 Miliar Dolar dari Industri Kripto

Pada 24 September 2026, Bitget mengalami insiden peretasan, di mana beberapa dompet panas dan dompet hangat mengalami transfer yang tidak normal. Platform awalnya mengungkapkan kerugian sekitar 351,6 juta dolar AS, kemudian mengonfirmasi bahwa skala aset yang dipindahkan telah disesuaikan menjadi 387,5 juta dolar AS.

Penyelidikan oleh lembaga analisis blockchain dan forensik on-chain TRM Labs menemukan bahwa sebagian dari dana yang dicuri dalam insiden peretasan Bitget memiliki jalur pencucian yang tumpang tindih dengan serangan terkait Korea Utara sebelumnya, seperti Bybit dan AFX Bridge. Lembaga analisis lainnya, Elliptic, juga berpendapat bahwa kemungkinan keterkaitan insiden ini dengan peretas terkait Korea Utara telah mencapai "sangat mungkin".

Seiring dengan pelacakan aliran dana on-chain yang lebih lanjut, insiden ini kembali mengarah pada kelompok peretas Korea Utara, Lazarus Group.

Faktanya, sejak munculnya dunia on-chain, dari Ronin Bridge, Harmony, hingga Atomic Wallet, Stake, WazirX, DMM Bitcoin, dan insiden Bybit yang mengguncang seluruh industri pada tahun 2025, peretas terkait Korea Utara telah menjadi salah satu ancaman keamanan utama di pasar kripto global. Jika kita menghitung insiden Bitget yang sangat dicurigai berasal dari Korea Utara, total kerugian telah mendekati 7,8 miliar dolar AS.

Chainalysis: Jumlah pencurian aset kripto oleh peretas Korea Utara mencapai 2 miliar dolar AS pada tahun 2025 (Sumber: www.timesofblockchain.com)

Bidang Crypto tampaknya telah menjadi salah satu arah serangan pendanaan terpenting bagi kelompok peretas Korea Utara.

Selama ini, Lazarus sering dipahami secara sederhana sebagai sebuah kelompok peretas Korea Utara, tetapi sebenarnya, nama ini lebih mirip dengan label umum yang digunakan oleh pihak luar untuk menggambarkan sistem serangan siber tingkat negara Korea Utara.

Dalam sistem ini, ada yang bertanggung jawab atas intelijen pemerintah, militer, dan strategis, ada yang secara terus-menerus menyerang bank dan lembaga keuangan, dan ada juga yang khusus menargetkan bursa, dompet, perusahaan blockchain, dan pelaku industri Crypto.

Seiring dengan pelacakan jangka panjang oleh berbagai lembaga keamanan, muncul banyak nama seperti BlueNoroff, APT38, TraderTraitor, Jade Sleet, Sapphire Sleet, Citrine Sleet, AppleJeus, dan Famous Chollima.

Nama-nama ini berasal dari sistem klasifikasi yang berbeda dari berbagai lembaga, sehingga ada tumpang tindih yang jelas dalam hal personel, alat, dan infrastruktur, sehingga sulit untuk menggambarkan struktur organisasi yang jelas seperti perusahaan tradisional.

Tentu saja, jika kita memecahnya berdasarkan arah tugas, jaringan Lazarus Group sebenarnya masih bisa diringkas dengan jelas.

Sistem Jaringan Korea Utara di Balik Lazarus

Untuk memahami Lazarus, pertama-tama kita perlu menjelaskan posisinya dalam kekuatan siber Korea Utara.

Pada tahun 2019, Departemen Keuangan AS menjatuhkan sanksi terhadap tiga organisasi siber utama Korea Utara dan secara jelas menyebutkan Lazarus Group, BlueNoroff, dan Andariel. Departemen Keuangan AS percaya bahwa ketiga kekuatan ini berada di bawah kendali Biro Intelijen Umum Korea Utara (RGB). RGB adalah salah satu lembaga intelijen utama Korea Utara dan merupakan pusat penting untuk intelijen luar negeri dan operasi siber.

Ini juga membentuk struktur dasar untuk memahami sistem peretas Korea Utara: RGB bertanggung jawab atas intelijen dan operasi siber tingkat negara, di bawahnya terdapat beberapa kekuatan siber yang memiliki tugas berbeda. Lazarus adalah salah satu label tertua dan paling dikenal di dunia.

Sedangkan untuk nama-nama seperti Lazarus, BlueNoroff, dan Andariel, pada dasarnya berasal dari pelacakan jangka panjang industri keamanan global terhadap kelompok serangan yang berbeda. Seiring dengan evolusi berkelanjutan dari serangan, lembaga seperti Microsoft, Mandiant, dan CrowdStrike telah melakukan pemisahan lebih lanjut berdasarkan perangkat lunak berbahaya, infrastruktur server, industri target, dan metode serangan.

Dengan kata lain, setiap lembaga keamanan memiliki sistem klasifikasinya sendiri, sehingga satu garis serangan sering kali memiliki beberapa nama yang berbeda.

Misalnya, Microsoft mengaitkan Diamond Sleet dengan Lazarus, ZINC, LABYRINTH CHOLLIMA, dan sebagainya; mengaitkan Sapphire Sleet dengan BlueNoroff, CryptoCore, UNC1069, STARDUST CHOLLIMA, dan aktivitas lainnya.

Sementara itu, klasifikasi yang digunakan oleh Mandiant juga berbeda. Dalam pelacakan jangka panjangnya, sebagian besar aktivitas Lazarus tradisional dimasukkan ke dalam TEMP.Hermit; kekuatan serangan keuangan terutama melibatkan APT38; dan aktivitas yang secara khusus menyerang industri kripto muncul lebih lanjut sebagai CryptoCore (UNC1069), TraderTraitor (UNC4899), serta UNC4736 yang terkait dengan AppleJeus.

Alasan munculnya situasi yang kacau ini terutama karena ada berbagi personel, alat, dan infrastruktur yang lama antara berbagai kekuatan siber Korea Utara. Misalnya, sejak sekitar tahun 2020, beberapa penyerang mungkin menggunakan server, kode, dan perangkat lunak berbahaya yang sama, dan kelompok tugas yang berbeda juga mungkin melakukan reorganisasi. Setelah APT38 lama tidak aktif, beberapa anggotanya dianggap mungkin telah bergabung dengan unit serangan keuangan dan Crypto yang baru.

Oleh karena itu, serangan yang sama mungkin muncul dengan nama organisasi yang berbeda dalam laporan dari lembaga keamanan yang berbeda, dan dua kelompok peretas yang tampaknya independen juga mungkin berasal dari personel dan sistem aksi yang serupa.

Oleh karena itu, jika kita mencantumkan semua nama yang diberikan oleh vendor keamanan, organisasi terkait Lazarus dapat dengan mudah mencakup belasan bahkan lebih, dan saya percaya bahwa cara ini memiliki makna terbatas untuk memahami operasionalnya yang sebenarnya.

Saat ini, kegiatan yang paling dekat dan representatif dengan Lazarus dan sistem jaringan RGB Korea Utara dapat diringkas menjadi beberapa arah utama:

Operasi jaringan komprehensif tradisional, pencurian keuangan, pencurian besar-besaran Crypto, perangkat lunak berbahaya Crypto dan serangan rantai pasokan, intelijen militer, serta infiltrasi IT Worker jarak jauh yang berkembang pesat dalam beberapa tahun terakhir.

Selama ini, kita terbiasa menyebut mereka sebagai Lazarus Group.

Dalam Sistem Lazarus, Siapa Saja yang Terlibat?

Jika kita memecahnya berdasarkan target serangan dan arah kemampuan, aktivitas terkait Lazarus dapat diringkas menjadi beberapa bagian yang relatif jelas:

Diamond Sleet, bertanggung jawab atas operasi jaringan komprehensif;

BlueNoroff, fokus jangka panjang pada lembaga keuangan dan Crypto;

TraderTraitor, terutama menargetkan bursa, penyedia layanan kustodian, dan target Crypto besar;

Citrine Sleet, ahli dalam perangkat lunak berbahaya, rantai pasokan, dan serangan terarah Crypto;

Andariel, terutama bertanggung jawab atas tugas militer, pertahanan, dan intelijen strategis;

Famous Chollima yang berkembang pesat dalam beberapa tahun terakhir, masuk ke perusahaan teknologi dan Crypto dengan identitas palsu, membentuk kemampuan infiltrasi internal.

Di antara ini, yang paling terkait dengan pasar kripto terutama terfokus pada BlueNoroff, TraderTraitor, Citrine Sleet, dan Famous Chollima.

1/ Diamond Sleet

Diamond Sleet paling mendekati makna tradisional dari Lazarus Group.

Diamond Sleet telah aktif setidaknya sejak sekitar tahun 2013, dengan jangkauan serangan yang sangat luas, terlibat dalam pemerintah, pertahanan, militer, telekomunikasi, lembaga keuangan, dan perusahaan teknologi. Tugas inti mereka terutama berfokus pada pencurian intelijen strategis, infiltrasi jaringan, dan tindakan destruktif, serta memiliki kemampuan serangan keuangan yang jelas.

Target Diamond Sleet sebenarnya lebih komprehensif, mereka telah lama ahli dalam phishing, perangkat lunak berbahaya, serangan rantai pasokan, dan rekayasa sosial terhadap personel internal perusahaan. Selain itu, para penyerang juga sering menggunakan perekrut palsu dan akun LinkedIn untuk mendekati target, dengan mengundang korban untuk membuka file atau program berbahaya melalui tawaran pekerjaan yang disebut-sebut.

Oleh karena itu, Diamond Sleet dapat dianggap sebagai garis tindakan komprehensif yang paling lama dan paling luas dalam seluruh sistem.

2/ BlueNoroff

Departemen Keuangan AS dalam dokumen sanksi tahun 2019 mencantumkan BlueNoroff sebagai kekuatan serangan keuangan penting dalam sistem Lazarus (Microsoft juga menyebutnya Sapphire Sleet).

Sejak sekitar tahun 2014, BlueNoroff telah mulai melakukan pencurian jaringan secara besar-besaran terhadap bank, sistem SWIFT, dan lembaga keuangan lainnya. Hingga tahun 2018, skala dana yang dicoba dicuri oleh mereka dari lembaga keuangan global telah melebihi 1,1 miliar dolar AS. Insiden serangan terhadap Bank Sentral Bangladesh adalah salah satu contoh paling representatif dari periode ini.

Seiring dengan semakin meluasnya pasar kripto, target BlueNoroff juga secara bertahap meluas dari sistem keuangan tradisional ke bursa, perusahaan blockchain, VC, dan pelaku industri Crypto. Saat ini, target utama mereka telah terfokus pada Crypto, VC, blockchain, dan lembaga keuangan bernilai tinggi lainnya, dengan tujuan inti untuk mencuri aset kripto dan teknologi terkait, serta sangat ahli dalam serangan rekayasa sosial.

Mereka biasanya menyamar sebagai kepala pencari bakat, investor, rekan, atau mitra, mendekati target melalui LinkedIn, Telegram, dan saluran lainnya, kemudian mengarahkan korban untuk menjalankan program berbahaya dengan alasan wawancara, kolaborasi proyek, pertemuan Zoom, atau pembaruan perangkat lunak.

Dalam salah satu serangan UNC1069 yang diungkapkan oleh Mandiant tahun ini, penyerang terlebih dahulu mengendalikan akun Telegram teman korban, kemudian mengundang target untuk bergabung dalam pertemuan Zoom palsu, dan diduga menggunakan video yang dihasilkan AI untuk menyamar sebagai CEO perusahaan Crypto lain. Kemudian, mereka mengarahkan korban untuk menjalankan perintah perbaikan dengan alasan "gangguan audio", dan akhirnya menanamkan program berbahaya ke perangkat.

Pada tahun 2026, Microsoft mengaitkan serangan rantai pasokan npm dari Axios dan Mastra kepada BlueNoroff. Insiden Mastra berdampak pada lebih dari 140 paket npm, di mana jika pengembang atau sistem CI/CD menginstal versi yang terkontaminasi, kode jahat dapat dieksekusi secara otomatis, sehingga mencuri kredensial, token, dan izin lingkungan pengembangan.

Oleh karena itu, BlueNoroff awalnya menyerang bank dan SWIFT, kemudian secara bertahap memasukkan Crypto sebagai target utama, dengan metode serangan yang berkembang dari phishing tradisional dan penyusupan latar belakang, menjadi rekrutmen palsu, pertemuan fiktif, rekayasa sosial AI, dan pencemaran rantai pasokan.

3/ TraderTraitor

TraderTraitor adalah salah satu kekuatan serangan Crypto utama dalam sistem siber Korea Utara saat ini.

FBI, Mandiant, dan lembaga lainnya biasanya mengaitkannya dengan nama UNC4899, Jade Sleet, Slow Pisces, dan lain-lain. Mandiant berpendapat bahwa UNC4899 sangat fokus pada industri kripto, dengan target utama adalah perusahaan blockchain dan infrastruktur keuangan terkait, dan mengaitkannya dengan sistem RGB dari Dinas Intelijen Umum Korea Utara.

Ciri khas organisasi semacam ini adalah mencari orang-orang yang dapat mengakses sistem perdagangan, sistem dompet, dan izin internal.

Target serangan biasanya mencakup: pengembang, DevOps, administrator sistem, kepala dompet, serta karyawan kunci yang dapat mengakses sistem tanda tangan dan manajemen dana.

Metode yang paling umum adalah menyamar sebagai perekrut atau staf HR melalui saluran seperti LinkedIn, dengan cara mengundang target untuk menjalankan kode jahat melalui wawancara teknis, tes pemrograman, proyek GitHub, dan seterusnya, kemudian mencuri akun, cookie sesi, dan izin sistem internal, sebelum secara bertahap memasuki dompet atau sistem perdagangan.

Insiden pencurian DMM Bitcoin pada tahun 2024 adalah contoh klasik. Saat itu, TraderTraitor menyamar sebagai perekrut di LinkedIn, menghubungi seorang karyawan dari perusahaan dompet Ginco di Jepang, dan mengirimkan skrip Python jahat yang menyamar sebagai tes rekrutmen. Penyerang kemudian memanfaatkan cookie sesi yang dicuri untuk menyamar sebagai karyawan tersebut, masuk ke sistem komunikasi internal Ginco, dan akhirnya memanipulasi permintaan transaksi normal DMM Bitcoin.

Serangan ini berhasil mencuri 4.502,9 BTC, yang pada saat itu bernilai sekitar 308 juta USD. FBI dan Kepolisian Jepang kemudian secara resmi mengaitkan insiden ini dengan TraderTraitor.

Pada 21 Februari 2025, Bybit mengalami pencurian aset kripto sekitar 1,5 miliar USD, menjadi salah satu pencurian terbesar dalam sejarah industri kripto. Lima hari kemudian, FBI secara resmi mengkonfirmasi bahwa Korea Utara bertanggung jawab atas serangan ini dan secara jelas menyebut aktivitas serangan terkait sebagai TraderTraitor.

Di sisi lain, TraderTraitor sebelumnya juga dihubungkan oleh FBI dengan beberapa insiden besar Crypto lainnya.

Pada tahun 2023, FBI mengkonfirmasi bahwa sistem serangan ini terkait dengan pencurian sekitar 100 juta USD dari Atomic Wallet, sekitar 60 juta USD dari Alphapo, dan sekitar 37 juta USD dari CoinsPaid, serta terlibat dalam insiden besar seperti Ronin Bridge dan Harmony Horizon Bridge.

Ciri lain dari TraderTraitor adalah fokus serangan yang sangat terpusat, terus-menerus memperhatikan eksekutif perusahaan Crypto, tim keamanan internal, dan infrastruktur kunci, serta pernah memasuki jaringan perusahaan hulu melalui rantai pasokan perangkat lunak seperti JumpCloud.

Sebagai kekuatan eksekusi pencurian besar yang paling khas dalam sistem serangan Crypto Korea Utara, mereka biasanya tidak membuang energi untuk dompet ritel biasa, lebih banyak berfokus pada bursa, kustodian, sistem dompet, dan infrastruktur blockchain yang memiliki aset senilai puluhan juta, ratusan juta, atau bahkan miliaran USD dalam satu kontak.

4/ Citrine Sleet

Citrine Sleet adalah garis serangan Korea Utara lainnya yang fokus pada Crypto dalam jangka panjang, dengan nama lain termasuk AppleJeus, UNC4736, Labyrinth Chollima, Hidden Cobra. Citrine Sleet diyakini memiliki target utama berupa lembaga keuangan, perusahaan kripto, dan individu yang mengelola aset kripto.

Kemampuan paling representatif mereka adalah mengembangkan dan menyebarkan perangkat lunak jahat di sekitar skenario Crypto.

Sejak tahun 2018, lembaga keamanan telah menemukan bahwa penyerang Korea Utara membuat perangkat lunak perdagangan kripto yang telah dimodifikasi, yang didistribusikan kepada target melalui situs yang tampak normal. Setelah korban mengunduh dan menginstal, program jahat dapat mengontrol perangkat lebih lanjut, mencuri kredensial, dan akhirnya menciptakan kondisi untuk mencuri Crypto.

FBI, CISA, dan Departemen Keuangan AS kemudian menyebut serangkaian perangkat lunak jahat ini sebagai AppleJeus. Pemerintah AS mencatat bahwa dalam waktu satu tahun, serangan terkait telah mencakup lebih dari 30 negara yang memiliki perusahaan dan individu di bidang kripto.

Metode serangan mereka biasanya sangat sesuai dengan skenario kerja sehari-hari para profesional Crypto, di mana penyerang akan membangun situs platform perdagangan yang tampak lengkap, membuat dompet, perangkat lunak perdagangan, atau alat investasi yang menyamar sebagai produk normal, dan kemudian mengarahkan target ke halaman-halaman ini melalui rekayasa sosial. Beberapa perangkat lunak bahkan memiliki fungsi normal, sementara kode jahat tersembunyi dalam program pembaruan atau komponen latar belakang.

Selanjutnya, serangan semacam ini secara bertahap diperluas ke rantai pasokan perangkat lunak yang lebih kompleks. Pada tahun 2023, Mandiant melacak sebagian aktivitas dalam serangan rantai pasokan perangkat lunak 3CX sebagai UNC4736 dan percaya bahwa itu sangat terkait dengan AppleJeus. Rantai serangan pertama-tama memanfaatkan perangkat lunak Trading Technologies X_TRADER yang telah ditanamkan kode jahat untuk memasuki lingkungan 3CX, kemudian mempengaruhi lebih banyak perusahaan hulu melalui pembaruan perangkat lunak 3CX, membentuk serangan "rantai pasokan menyerang rantai pasokan" yang khas.

Selain itu, Citrine Sleet juga memiliki kemampuan eksploitasi kerentanan yang kuat. Pada tahun 2024, Microsoft menemukan bahwa mereka memanfaatkan kerentanan zero-day CVE-2024-7971 pada browser Chromium untuk menyerang industri Crypto.

Setelah target mengakses situs yang dikendalikan penyerang, kerentanan dapat digunakan untuk mengeksekusi kode jarak jauh, kemudian lebih lanjut melanggar sandbox browser, dan menyebarkan FudModule Rootkit.

FudModule sendiri adalah Rootkit yang kompleks secara teknis, mampu langsung mengintervensi kernel Windows dan menghindari deteksi keamanan. Baik Diamond Sleet maupun Citrine Sleet telah menggunakan alat ini, yang menunjukkan adanya berbagi alat antara kelompok serangan Korea Utara yang berbeda.

Oleh karena itu, mengembangkan perangkat lunak jahat di sekitar skenario Crypto, memasuki perangkat target melalui platform perdagangan palsu, dompet palsu, rantai pasokan perangkat lunak, dan kerentanan browser, serta lebih lanjut mendapatkan kontrol atas akun, kredensial, dan aset adalah ciri khas Citrine Sleet.

5/ Andariel: Garis Militer dan Intelijen Strategis

Andariel adalah kekuatan penting lainnya yang aktif dalam sistem siber Korea Utara, juga dikenal sebagai Onyx Sleet, APT45.

Departemen Keuangan AS telah memasukkan Andariel dalam daftar sanksi bersama dengan Lazarus dan BlueNoroff sejak tahun 2019, dan menganggapnya berada di bawah kendali Dinas Intelijen Umum Korea Utara RGB.

Tugas inti Andariel terutama terfokus pada militer, pertahanan, energi, industri nuklir, lembaga pemerintah, dan infrastruktur kunci.

Kasus Mandiant menunjukkan bahwa Andariel telah aktif setidaknya sejak tahun 2009, melakukan operasi spionase siber yang berfokus pada kebutuhan strategis Korea Utara. Target awal mereka terutama adalah lembaga pemerintah dan pertahanan, kemudian secara bertahap meluas ke industri nuklir, kesehatan, keuangan, dan sektor kunci lainnya.

Dibandingkan dengan beberapa garis serangan Crypto sebelumnya, tindakan Andariel lebih cenderung untuk mendapatkan intelijen jangka panjang.

Pada tahun 2023, dalam sebuah serangan yang diungkapkan oleh lembaga terkait Korea, Andariel mencuri lebih dari 1,2 TB data dari kontraktor pertahanan Korea Selatan. Microsoft mengaitkan beberapa perangkat lunak jahat yang digunakan dalam serangan tersebut, seperti TigerRAT, SmallTiger, LightHand, ValidAlpha, dengan alat Andariel.

Andariel kemudian secara bertahap memperluas serangan untuk tujuan keuntungan, dan mungkin terlibat dalam pengembangan dan penyebaran ransomware, serta memiliki hubungan dalam hal infrastruktur, alat, dan personel dengan organisasi ransomware Korea Utara lainnya, Storm-0530.

Oleh karena itu, bagi Andariel, mereka lebih mirip kekuatan strategis dalam sistem siber Korea Utara, yang terutama melayani penetrasi teknologi militer, intelijen pertahanan, dan infrastruktur kunci, sambil mendapatkan dana melalui pemerasan, kejahatan keuangan, dan cara lainnya.

6/ Famous Chollima

Famous Chollima adalah nama pelacakan CrowdStrike untuk aktivitas Pekerja TI jarak jauh Korea Utara.

Orang-orang ini biasanya menggunakan identitas palsu, riwayat pekerjaan yang dipalsukan, VPN, alat kontrol jarak jauh, dan Laptop Farm, menyamar sebagai pencari kerja lokal di Eropa dan Amerika, melamar pekerjaan teknis jarak jauh seperti pengembangan perangkat lunak dan pengembangan blockchain.

Setelah masuk ke perusahaan, mereka dapat menulis kode, menghadiri rapat, dan menerima gaji seperti karyawan biasa, beberapa orang bahkan bekerja untuk beberapa perusahaan sekaligus. Beberapa kasus yang diungkapkan oleh Departemen Kehakiman AS menunjukkan bahwa gaji terkait sering dibayarkan melalui aset kripto seperti USDC, USDT, dan akhirnya mengalir ke Korea Utara.

Model Famous Chollima telah berkembang pesat dalam beberapa tahun terakhir, menurut data CrowdStrike pada tahun 2025, mereka telah berhasil menyusup lebih dari 320 perusahaan dalam 12 bulan sebelumnya, meningkat sekitar 220% dari tahun ke tahun. Orang-orang terkait juga mulai menggunakan AI generatif untuk membuat resume, menyempurnakan identitas palsu, dan bahkan mencoba menggunakan teknologi penggantian wajah secara real-time untuk menghadapi wawancara video.

Salah satu target penting dari sistem Famous Chollima adalah industri Crypto, di mana seorang pengembang yang masuk ke perusahaan Crypto mungkin secara sah mengakses GitHub, server cloud, CI/CD, sistem komunikasi internal, dan beberapa infrastruktur dompet. Selain itu, orang-orang ini tidak hanya menghasilkan pendapatan melalui gaji, tetapi juga dapat mempertahankan akses internal perusahaan, yang dapat memberikan kondisi untuk kejahatan keuangan di masa depan.

Sejarah Kasus Besar Crypto oleh Lazarus: Berapa Banyak yang Mereka Curi?

Insiden keamanan dana Crypto yang disebabkan oleh peretas Korea Utara sebenarnya dapat ditelusuri setidaknya sejak tahun 2017.

Menurut pengungkapan Departemen Kehakiman AS, peretas terkait Dinas Intelijen Umum Korea Utara telah terus menyerang perusahaan kripto dan penyedia layanan aset virtual di seluruh dunia sejak tahun 2017. Sejak itu, skala serangan telah berkembang dari puluhan juta USD di awal menjadi ratusan juta USD, dan akhirnya mencapai 1,5 miliar USD dalam insiden Bybit pada tahun 2025.

Tentu saja, untuk menghindari mencampurkan atribusi yang meragukan dari perusahaan keamanan dengan kasus yang sudah dikonfirmasi, saya akan mencantumkan terutama insiden pencurian Crypto yang telah secara terbuka diatribusikan kepada hacker Korea Utara, Lazarus, dan kelompok serangan terkait oleh Departemen Kehakiman AS, FBI, serta kepolisian Jepang dan Korea Selatan.

• 2017: Perusahaan Crypto Slovenia ------ 75 juta USD

Departemen Kehakiman AS mengungkapkan dalam tuntutan terhadap tiga hacker dari Badan Intelijen Nasional Korea Utara bahwa pada bulan Desember 2017, hacker Korea Utara mencuri sekitar 75 juta USD aset crypto dari sebuah perusahaan crypto di Slovenia.

• 2018: Perusahaan Crypto Indonesia ------ 24,9 juta USD

Dokumen hukum yang sama menunjukkan bahwa pada bulan September 2018, hacker Korea Utara mencuri sekitar 24,9 juta USD dari sebuah perusahaan crypto di Indonesia.

• 2018: Bursa Crypto Korea ------ sekitar 250 juta USD

Departemen Kehakiman AS kemudian mengungkapkan bahwa hacker Korea Utara meretas sebuah bursa crypto di Korea Selatan pada tahun 2018, mencuri hampir 250 juta USD aset virtual. Setelah itu, banyak aset dicuci melalui ratusan transaksi dan jaringan OTC di China. Nama bursa yang terkena dampak tidak diungkapkan dalam dokumen hukum AS terkait.

• 2019: Upbit ------ sekitar 41,5 juta USD

Pada bulan November 2019, 342.000 ETH di dompet panas bursa Korea Upbit dicuri, yang pada saat itu bernilai sekitar 41,5 juta USD.

Kasus ini mengalami penyelidikan yang berlangsung selama bertahun-tahun. Pada tahun 2024, Badan Kepolisian Nasional Korea Selatan secara resmi mengonfirmasi bahwa serangan tersebut dilakukan oleh Lazarus dan Andariel, yang juga merupakan konfirmasi resmi pertama oleh lembaga penyelidikan Korea Selatan mengenai keterlibatan Korea Utara dalam pencurian aset crypto terhadap bursa Korea.

• 2020: Perusahaan Layanan Keuangan New York ------ 11,8 juta USD

Pada bulan Agustus 2020, hacker Korea Utara menggunakan malware CryptoNeuro Trader yang menyamar sebagai alat perdagangan crypto untuk masuk ke sebuah perusahaan layanan keuangan di New York dan mencuri sekitar 11,8 juta USD aset crypto. Kasus ini kemudian dimasukkan oleh Departemen Kehakiman AS ke dalam tuntutan resmi terhadap tiga hacker dari Badan Intelijen Nasional Korea Utara.

• 2022: Ronin Bridge ------ 620 juta USD

Pada bulan Maret 2022, Ronin Bridge yang mendukung Axie Infinity diserang, dengan sekitar 620 juta USD ETH dan USDC dicuri.

Pada bulan April tahun yang sama, FBI secara resmi mengonfirmasi bahwa Lazarus Group dan APT38 bertanggung jawab atas serangan ini. Ini juga menjadi salah satu insiden peretasan Crypto terbesar pada saat itu.

• 2022: Harmony Horizon Bridge ------ 100 juta USD

Beberapa bulan kemudian, Harmony Horizon Bridge kembali diserang, dengan sekitar 100 juta USD aset crypto dicuri.

Pada bulan Januari 2023, FBI secara resmi mengonfirmasi bahwa serangan ini juga dilakukan oleh Lazarus Group. Setelah itu, hacker Korea Utara juga menggunakan protokol privasi seperti RAILGUN untuk mencuci lebih dari 60 juta USD ETH, dan mengonversi sebagian aset menjadi BTC.

• 2023: Atomic Wallet ------ sekitar 100 juta USD

Pada bulan Juni 2023, Atomic Wallet mengalami serangan besar-besaran, dengan sekitar 100 juta USD aset crypto dicuri.

FBI kemudian mengonfirmasi bahwa dana terkait berasal dari sistem serangan TraderTraitor Korea Utara, dan mengaitkannya dengan Lazarus Group dan APT38.

• 2023: Alphapo ------ sekitar 60 juta USD

Pada tahun yang sama, penyedia layanan pembayaran Alphapo mengalami serangan. FBI mengaitkan pencurian sekitar 60 juta USD aset crypto tersebut kepada TraderTraitor.

• 2023: CoinsPaid ------ sekitar 37 juta USD

CoinsPaid juga mengalami kerugian sekitar 37 juta USD dalam serangan ini. FBI mencatat insiden ini bersama dengan Atomic Wallet dan Alphapo sebagai kasus pencurian Crypto yang bertanggung jawab oleh TraderTraitor.

• 2023: Stake ------ sekitar 41 juta USD

Pada bulan September 2023, Stake diserang, dengan sekitar 41 juta USD aset yang ditransfer dari jaringan Ethereum, BNB Chain, dan Polygon.

FBI kemudian secara langsung mengumumkan bahwa penyelidikan mengonfirmasi bahwa pencurian ini dilakukan oleh Lazarus Group.

• 2024: DMM Bitcoin ------ sekitar 308 juta USD

Pada bulan Mei 2024, DMM Bitcoin di Jepang dicuri 4.502,9 BTC, yang dihitung sekitar 308 juta USD berdasarkan harga saat itu.

Setelah penyelidikan bersama oleh Kepolisian Jepang, FBI, dan Pusat Kejahatan Siber Departemen Pertahanan AS, insiden ini akhirnya secara resmi diatribusikan kepada TraderTraitor Korea Utara.

• 2025: Bybit ------ sekitar 1,5 miliar USD

Pada bulan Februari 2025, Bybit dicuri sekitar 1,5 miliar USD aset crypto, mencatat salah satu insiden pencurian terbesar dalam sejarah Crypto.

Lima hari setelah serangan, FBI secara resmi mengumumkan bahwa Korea Utara bertanggung jawab atas insiden tersebut, dan mengaitkan aktivitas serangan tersebut dengan TraderTraitor.

Jadi, berapa banyak yang dicuri oleh Lazarus dari Crypto?

Jika hanya menghitung kasus utama yang telah secara terbuka diatribusikan oleh pemerintah, peradilan, atau lembaga penegak hukum, dan dapat dipastikan jumlah kerugian, total kerugian Crypto yang disebabkan oleh Lazarus dan organisasi serangan terkait Korea Utara telah melebihi 3,1 miliar USD.

Namun, Chainalysis berdasarkan pelacakan on-chain jangka panjang dan statistik atribusi sejarah, hingga akhir 2025, total aset crypto yang dicuri oleh hacker terkait Korea Utara telah mencapai batas bawah 6,75 miliar USD, di mana hanya pada tahun 2025 mencapai sekitar 2,02 miliar USD.

Hingga pertengahan September 2026, TRM Labs telah dengan tingkat kepercayaan menengah hingga tinggi mengaitkan sekitar 690 juta USD pencurian Crypto kepada hacker terkait Korea Utara, yang terutama mencakup insiden besar seperti Drift Protocol, KelpDAO, dan lainnya.

Insiden Bitget yang terjadi kemudian, saat ini dipastikan sekitar 387,5 juta USD aset telah dipindahkan. Elliptic menilai keterkaitan dengan hacker terkait Korea Utara sebagai "sangat mungkin", dan TRM Labs juga menemukan bahwa jalur pencucian dana terkait memiliki kesamaan yang jelas dengan insiden TraderTraitor sebelumnya seperti Bybit, tetapi atribusi akhir masih belum selesai.

Secara keseluruhan, berdasarkan data publik yang ada, hingga September 2026, total aset yang dicuri oleh hacker terkait Korea Utara dari pasar Crypto telah mendekati 7,8 miliar USD.

Saya merasa angka ini masih lebih mendekati batas bawah yang konservatif, dan dengan semakin banyak kasus yang menyelesaikan atribusi on-chain dan penyelidikan, skala aktual pasti akan terus meningkat.

Mengapa Crypto menjadi "mesin pencetak uang" bagi Lazarus?

Crypto telah lama menjadi sumber pendanaan penting bagi hacker Korea Utara, yang sebenarnya berkaitan langsung dengan struktur aset dan cara pergerakannya di bidang ini.

Bursa besar, penyimpan, dan protokol sering kali mengelola aset senilai ratusan juta bahkan miliaran USD, dan sekali serangan yang berhasil dapat menghasilkan keuntungan yang sangat tinggi; pada saat yang sama, aset crypto dapat bergerak secara global 24/7, dan melalui DEX, protokol lintas rantai, dan layanan Swap dapat dengan cepat menyelesaikan konversi aset, menyediakan banyak saluran untuk pencucian dana selanjutnya.

Bagaimana biasanya dana yang dicuri dipindahkan?

Setelah dana dicuri, pemikirannya biasanya adalah segera melakukan pemecahan, pertukaran, dan lintas rantai.

Pertama, aset besar dibagi ke beberapa alamat baru, kemudian memprioritaskan penanganan stablecoin seperti USDT, USDC yang mungkin dibekukan serta aset non-asli lainnya, menukarnya menjadi aset asli seperti ETH, BNB, BTC, dan kemudian melalui protokol lintas rantai masuk ke jaringan lain. Setelah beberapa kali pemindahan alamat dan konversi aset, sebagian dana juga akan masuk ke Mixer, OTC, dan jaringan keuangan bawah tanah, semakin melemahkan hubungan langsung antara aset yang dicuri dan aset akhir yang dipegang.

Insiden Bitget yang baru-baru ini terjadi memberikan contoh yang cukup tipikal.

Berdasarkan pelacakan TRM Labs, setelah mendapatkan dana, penyerang dengan cepat membagi ETH dan XRP ke sejumlah dompet yang baru dibuat, di mana beberapa alamat masing-masing memegang sekitar 10.000 ETH atau 20 juta XRP.

Sementara itu, beberapa aset di BNB Chain dan Ethereum mulai ditukar menjadi BTC melalui THORChain, kemudian terus dibagi ke beberapa alamat Bitcoin; sebagian TRX di TRON terlebih dahulu ditukar menjadi USDT melalui SunSwap, kemudian lintas ke Ethereum, dan kemudian masuk ke jalur THORChain yang sama. Sebagian kecil dana juga melalui layanan lintas rantai dan pertukaran seperti Across, Chainflip, FixedFloat.

Selain itu, stablecoin dan aset non-asli dalam dana yang dicuri dari Bitget dengan cepat ditukar menjadi aset asli di berbagai rantai, dan aset di Arbitrum juga segera dipindahkan lintas rantai ke Ethereum.

Lebih awal, insiden Ronin Bridge dan Bybit juga menunjukkan logika pencucian dana yang serupa.

Setelah pencurian Ronin Bridge pada tahun 2022, Lazarus pertama-tama memindahkan ETH yang dicuri ke banyak alamat perantara, kemudian secara bertahap masuk ke Mixer seperti Tornado Cash, dan kemudian terus menukar sebagian ETH menjadi BTC, serta menyelesaikan proses lebih lanjut melalui lebih banyak pencampuran dan saluran Crypto-to-Fiat.

Statistik Chainalysis menunjukkan bahwa hanya dalam proses pencucian terkait Ronin, lebih dari 12.000 alamat digunakan; setelah Tornado Cash dikenakan sanksi, Lazarus mulai lebih banyak memanfaatkan jembatan lintas rantai dan layanan DeFi untuk melakukan Chain Hopping, guna meningkatkan kesulitan pelacakan dana.

Setelah pencurian Bybit sekitar 1,5 miliar USD pada tahun 2025, kecepatan pemindahan dana bahkan lebih cepat. TRM Labs menemukan bahwa setelah serangan, dalam waktu 48 jam sudah ada setidaknya 160 juta USD yang masuk ke tahap pencucian selanjutnya, hingga 26 Februari, total pemindahan telah melebihi 400 juta USD; hingga 3 Maret, ETH yang awalnya dicuri hampir seluruhnya telah dipindahkan ke alamat baru, di mana sebagian besar ditukar menjadi BTC melalui layanan lintas rantai seperti THORChain, dan terus dibagi ke alamat Bitcoin baru. Sebagian dana juga masuk ke layanan pertukaran anonim seperti eXch, membentuk jalur konversi antara ETH dan BTC melalui beberapa putaran.

Kasus pencurian Bybit: Melacak serangan kripto terbesar oleh hacker Korea Utara Sumber gambar: TRM Labs

Metode pengelolaan dana yang "menghindari risiko pembekuan terlebih dahulu, kemudian menyebarkan alamat, menukar koin antar rantai, dan secara bertahap beralih ke BTC" sangat mirip dengan pola pencucian uang yang muncul dalam beberapa serangan Crypto terkait Korea Utara sebelumnya, sehingga industri juga menganggap bahwa kejadian Bitget kali ini adalah ulah dari organisasi Lazarus Korea Utara.

Kesimpulan

Sejak 2017 hingga sekarang, serangan terkait Lazarus telah berlangsung hampir sepuluh tahun, dari serangan langsung awal yang menargetkan bank, bursa, dan jembatan antar rantai, hingga kini memanfaatkan perekrutan palsu, rantai pasokan, pekerja TI jarak jauh, sosial engineering AI, serta hak akses internal perusahaan untuk menyelesaikan infiltrasi. Target serangan telah semakin dalam ke dalam personel, lingkungan pengembangan, dan sistem manajemen dana perusahaan Crypto.

Dengan semakin banyak aset yang masuk ke dalam rantai, skala dana yang dikelola oleh bursa, kustodian, dompet, dan berbagai protokol terus berkembang. Setiap langkah yang dapat mengakses sistem inti dan hak akses dana dapat menjadi pintu masuk serangan potensial. Bagi industri kripto, risiko yang dibawa oleh Lazarus akan tetap ada dalam jangka panjang.

Hampir 7,8 miliar dolar AS, mungkin masih hanya sebagian dari statistik yang tidak lengkap selama hampir sepuluh tahun terakhir. Dengan sistem serangan siber tingkat negara yang sudah sangat profesional dan berkelanjutan ini terus beradaptasi, kita perlu tetap waspada setiap saat.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.