Кризис безопасности холодных кошельков: как многомесячные подготовительные атаки Lazarus Group преодолевают сильнейшую защиту криптовалют

Ваш холодный кошелек не так безопасен, как вы думаете. В 2025 году атаки на инфраструктуру — направленные на закрытые ключи, системы кошельков и людей, которые ими управляют — составили 76 % всех украденных криптовалют, на общую сумму 2,2 млрд долларов всего в 45 инцидентах. Lazarus Group, северокорейское государственное хакерское подразделение, довела до совершенства сценарий, который делает традиционную безопасность холодного хранения почти бессмысленной: многомесячные кампании по проникновению, нацеленные на людей, а не на код.

Сдвиг, который никто не заметил: от эксплуатации кода к эксплуатации человека

В течение многих лет криптоиндустрия вкладывала миллиарды в аудиты смарт-контрактов, формальную верификацию и баг-баунти. Предположение было простым: защитите код, и вы защитите средства. Но пока разработчики укрепляли ончейн-логику, злоумышленники переключились на гораздо более легкую мишень — людей, управляющих инфраструктурой.

Согласно отчету TRM Labs о криптопреступности за 2026 год, в 2025 году векторы атак претерпели структурный сдвиг. Атаки на инфраструктуру — компрометация закрытых ключей, сид-фраз, систем управления кошельками, привилегированного доступа и интерфейсов фронтенда — привели к убыткам в размере 2,2 млрд долларов в 45 инцидентах, что в среднем составляет около 48,5 млн долларов за инцидент. Эксплуатация смарт-контрактов, когда-то доминирующая угроза, отошла на второй план.

Северокорейские хакеры возглавили эту трансформацию. Lazarus Group (также известная как TraderTraitor) похитила 2,02 млрд долларов в криптовалюте в 2025 году, что на 51 % больше, чем в предыдущем году, несмотря на проведение на 74 % меньше известных атак. Математика пугающая: меньше операций, значительно большие выплаты и стратегический акцент на инфраструктуре холодных кошельков на централизованных биржах.

Анатомия многомесячной атаки: кейс Bybit

Кража 1,5 млрд долларов в ETH у Bybit в феврале 2025 года, совершенная за одну операцию, является показательным примером того, как Lazarus Group компрометирует холодные кошельки. Атака не была взломом в традиционном понимании. Это было тщательно организованное внедрение в цепочку поставок, которое разворачивалось в течение нескольких недель.

Этап 1: Социальная инженерия в цепочке поставок

Lazarus не атаковали Bybit напрямую. Вместо этого они выявили разработчика в Safe{Wallet} (ранее Gnosis Safe) — сторонней мультисиг-платформе, которую Bybit использовала для управления холодными кошельками. Используя социальную инженерию — вероятно, комбинацию поддельных предложений о работе, инвестиционных предложений и длительных профессиональных бесед — злоумышленники скомпрометировали рабочую станцию разработчика.

Этап 2: Сбор учетных данных и горизонтальное перемещение

Оказавшись внутри компьютера разработчика, злоумышленники извлекли токены сессий AWS, полностью обойдя многофакторную аутентификацию. Они переместились горизонтально в инфраструктуру AWS Safe{Wallet}, получив доступ к конвейеру развертывания, который обслуживал пользовательский интерфейс кошелька для таких клиентов, как Bybit.

Этап 3: Манипуляции с UI и перехват транзакций

Имея доступ к системе развертывания, Lazarus внедрили вредоносный JavaScript в интерфейс Safe{Wallet}. Когда генеральный директор Bybit Бен Чжоу инициировал то, что казалось обычной операцией по переводу средств с холодного кошелька на горячий, манипулируемый интерфейс отобразил легитимную транзакцию. За кулисами код перенаправил более 400 000 ETH на кошельки, контролируемые Lazarus. Все подписанты мультисига одобрили транзакцию — у них не было возможности обнаружить подмену через скомпрометированный интерфейс.

Этап 4: Быстрое отмывание

В течение 48 часов как минимум 160 млн долларов из украденных средств были отмыты через THORChain и сети OTC-брокеров («китайские прачечные») — профессиональных подпольных посредников, которые поглощают украденные активы и проводят расчеты вне блокчейна.

Сценарий подготовки: недели невидимой разведки

Что делает Lazarus Group уникально опасной, так это терпение и глубина их подготовки. Центр приема жалоб на интернет-преступления ФБР (IC3) детально задокументировал их методологию.

Поддельные рекрутеры и длительная социальная инженерия

Оперативники Lazarus создают качественные профили в LinkedIn, выдавая себя за рекрутеров, венчурных капиталистов или потенциальных деловых партнеров. Они вовлекают цели в разговоры, длящиеся неделями, проводя фиктивные встречи по презентации проектов и звонки по комплексной проверке. Во время этих взаимодействий они задают подробные вопросы о внутренних системах, методах безопасности и рабочих процессах инфраструктуры, незаметно выявляя самые слабые места в доступе.

Проникновение через трудоустройство

В 2024 году более десяти криптокомпаний подверглись внедрению северокорейских хакеров, которые выдавали себя за легитимных ИТ-специалистов, чтобы получить доступ к внутренним системам. Эти оперативники использовали вымышленные личности, чтобы получить удаленную работу в технологических и криптофирмах, зарабатывая зарплату для финансирования режима и одновременно собирая разведывательные данные для будущих атак.

Дезинформация с помощью ИИ

По крайней мере с октября 2024 года Lazarus интегрирует в свои операции методы на базе ИИ. Контент и изображения, созданные ИИ, повышают доверие к поддельным веб-сайтам и профилям в социальных сетях. Технология дипфейков позволяет имитировать личности во время видеозвонков. Фишинговые сообщения, составленные ИИ, высоко персонализированы и содержат ссылки на конкретные проекты и внутреннюю терминологию, которую мог бы использовать только человек с инсайдерскими знаниями.

Компрометация среды разработки

Lazarus часто распространяет вредоносное ПО через поддельные «тесты по кодированию» или скомпрометированные пакеты npm. Как только рабочая станция разработчика скомпрометирована, злоумышленники извлекают ключи SSH, файлы cookie браузера, токены облачных сервисов и учетные данные сессий для горизонтального перемещения по инфраструктурным системам. В ходе одной из кампаний уязвимость нулевого дня в Chrome была использована через легитимно выглядящий игровой сайт для внедрения вредоносного ПО, нацеленного на крипторазработчиков.

Почему холодных кошельков недостаточно

Атака на Bybit обнажила фундаментальное заблуждение: холодное хранение — это технология, но безопасность — это операционная задача. Холодный кошелек с ключами, хранящимися в офлайне, защищен ровно настолько, насколько защищены процесс подписания, интерфейсы, используемые для создания транзакций, люди, которые их одобряют, и цепочка поставок программного обеспечения, от которой они зависят.

Иллюзия мультиподписи (Multisig)

Традиционные кошельки с мультиподписью, такие как Safe{Wallet}, требуют участия нескольких подписантов для авторизации транзакции — создавая видимость надежной защиты. Но если все подписанты взаимодействуют с одним и тем же скомпрометированным интерфейсом, мультиподпись не дает никакой дополнительной защиты. Хакерам Bybit не нужно было красть закрытые ключи. Им достаточно было заставить легитимных подписантов одобрить вредоносную транзакцию.

Зависимости в цепочке поставок

Централизованные биржи полагаются на сторонних поставщиков кошельков, облачную инфраструктуру, сервисы подписания и конвейеры развертывания. Каждая зависимость — это поверхность атаки. Группировка Lazarus нацелена именно на этих вышестоящих провайдеров, так как компрометация одного разработчика у поставщика кошелька может открыть доступ к миллиардам долларов на нескольких биржах.

Уязвимость новых сотрудников

Исследования Keepnet Labs показывают, что новые сотрудники на 44 % чаще становятся жертвами фишинга в течение первых 90 дней работы. В быстро меняющейся криптоиндустрии, где найм идет агрессивно, а адаптация часто проходит в спешке, это создает постоянную уязвимость, которую активно эксплуатирует Lazarus.

Реакция индустрии: от мультиподписи к MPC

Кража на Bybit заставила отрасль пересмотреть свои подходы. Большинство бирж высшего уровня уже перешли или активно переходят с традиционных кошельков с мультиподписью на технологию многосторонних вычислений (Multi-Party Computation, MPC).

Как MPC меняет правила игры

MPC разделяет закрытые ключи на несколько зашифрованных фрагментов (шардов), распределенных между различными сторонами и средами. В отличие от мультиподписи, полный ключ никогда не существует в одном месте — даже в процессе подписания. Такая архитектура делает практически невозможным выполнение техник «подмены интерфейса» и «ледяного фишинга» (ice phishing), используемых Lazarus.

Ключевые преимущества MPC для безопасности холодных кошельков включают:

• Отсутствие единой точки компрометации: Фрагменты ключа генерируются и хранятся независимо, поэтому взлом одной стороны не раскрывает весь ключ.
• Восстановление без сид-фразы: Устраняет уязвимость сид-фразы, на которую часто нацелены злоумышленники.
• Ротация ключей без изменения адреса: Позволяет регулярно обновлять ключи без изменения блокчейн-адресов.
• Аппаратная защита: При сочетании с HSM (аппаратными модулями безопасности) операции подписания происходят внутри защищенного от несанкционированного доступа оборудования, которое стирает секреты при попытке физического взлома.

Уровень HSM

Решения корпоративного уровня сочетают MPC с модулями HSM, сертифицированными по стандартам FIPS 140-2 и -3. Эти устройства никогда не передают закрытые ключи во внешнюю память, устанавливают лимиты на скорость подписания (например, ограничивая вывод средств до 1 000 BTC в час) и ведут готовые к аудиту логи каждой операции с ключами. Решение IBM Offline Signing Orchestrator (OSO) является примером такого подхода, сохраняя закрытые ключи и процессы подписания полностью в офлайне, поддерживая при этом «горячие», «теплые» и «холодные» уровни операций.

Гибридное будущее

Формирующийся консенсус указывает на гибридные архитектуры: MPC для институционального хранения и распределения ключей, TEE (доверенные среды исполнения) для пользовательских операций и HSM для наиболее критичных с точки зрения безопасности процессов подписания. Абстракция аккаунта (Account Abstraction) еще больше отделяет подписантов от учетных записей, позволяя внедрять многоуровневые рабочие процессы одобрения, аналогичные традиционному корпоративному управлению.

Стратегии защиты на 2026 год

ФБР, Chainalysis и ведущие охранные фирмы сошлись на ряде рекомендаций по защите:

Операционная безопасность

• Внедрите строгий контроль доступа и сегментацию инфраструктуры, чтобы компрометация одной системы не давала доступа к инфраструктуре подписания.
• Требуйте одобрения транзакций от нескольких сторон, находящихся в физически разделенных, не связанных между собой сетях.
• Используйте аппаратную аутентификацию (YubiKey или аналоги) — никогда не используйте SMS или приложения для 2FA при выполнении привилегированных операций.
• Проводите ежеквартальные проверки безопасности и немедленно устанавливайте патчи после их выпуска.

Защита человеческого фактора

• Примите политику «радикального скептицизма»: считайте любое незапрошенное сообщение потенциальной попыткой социальной инженерии.
• Расширьте обучение по безопасности при приеме на работу, особенно в первые 90 дней, когда сотрудники наиболее уязвимы.
• Проверяйте все сообщения через установленные внутренние каналы — никогда не действуйте по запросам, полученным через внешние мессенджеры.
• Не храните сид-фразы, закрытые ключи или учетные данные кошельков на устройствах, подключенных к Интернету.

Укрепление цепочки поставок

• Проводите аудит и мониторинг всех сторонних поставщиков кошельков, сервисов подписания и конвейеров развертывания.
• Внедрите подписание кода и проверку целостности для всего программного обеспечения в рабочем процессе транзакций.
• Ограничьте доступ к конфиденциальным репозиториям кода, документации по сети и конфигурациям инфраструктуры.
• Используйте выделенные компьютеры с «воздушным зазором» (air-gapped) для подписания транзакций — устройства, которые никогда не подключались к Интернету.

Страхование и планирование восстановления

• Оформите специализированную криптостраховку для цифровых активов (крупные кастодианы теперь предлагают покрытие от 100 млн до 1 млрд долларов).
• Поддерживайте планы реагирования на инциденты, учитывающие компрометацию цепочки поставок, а не только прямые взломы.
• Отслеживайте блокчейн-аналитику на предмет аномальных паттернов транзакций, которые могут указывать на скомпрометированные процессы подписания.

Предстоящая гонка вооружений

Глядя в 2026 год, эксперты по безопасности предупреждают, что ландшафт угроз станет более интенсивным. Социальная инженерия с использованием ИИ становится все более автоматизированной и убедительной. Инструменты «фишинга как услуги» (Phishing-as-a-service) привели к 1400-процентному росту числа мошенничеств с подделкой личности по сравнению с прошлым годом. Северокорейские оперативники выходят за пределы централизованных бирж в сферу децентрализованных финансов и конфиденциальных монет.

Неудобная правда заключается в том, что модель безопасности криптоиндустрии была устаревшей. Годами укреплялся код, в то время как люди — реальная поверхность атаки — оставались относительно незащищенными. Многомесячные атаки Lazarus Group по подготовке доказывают, что безопасность — это не продукт, который можно купить. Это непрерывная операционная дисциплина, которая должна охватывать каждого человека, процесс и зависимость в цепочке между закрытым ключом и подписанной транзакцией.

Биржи, которые выживут после следующей атаки масштаба Bybit, будут теми, кто относится к своей инфраструктуре подписания как к операции военного уровня: разделенный доступ, верификация с нулевым доверием, аппаратные ограничения и предположение, что каждый человек в цепочке является потенциальной точкой компрометации — не потому, что им нельзя доверять, а потому, что они люди.

---

Создание безопасной блокчейн-инфраструктуры требует надежности корпоративного уровня на каждом слое. BlockEden.xyz предоставляет высокодоступные RPC-эндпоинты и API-сервисы в более чем 20 блокчейн-сетях с операционной безопасностью и мониторингом, которых требуют институциональные приложения. Изучите наш маркетплейс API, чтобы строить на инфраструктуре, созданной для отказоустойчивости.