V této lekci
- zjistíš, jak severokorejští hackeři ukradli z mostu Ronin asi 625 milionů dolarů
- pochopíš, jak rekordní hack Bybitu za 1,5 miliardy dolarů oklamal lidi, kteří podepisovali
- naučíš se, jak se ukradené krypto pere – a které triky míří i na běžné uživatele
Co se stalo s Bybitem a Roninem? V březnu 2022 odnesli hackeři asi 625 milionů dolarů z mostu Ronin, na kterém stála hra Axie Infinity – ukradli 5 z jeho 9 klíčů validátorů a jednou z cest dovnitř byla falešná nabídka práce. 21. února 2025 přišla burza Bybit asi o 1,5 miliardy dolarů v etheru – jde o největší zaznamenanou krádež kryptoměn vůbec – protože software peněženky ukázal jejím zaměstnancům falešnou transakci. FBI a americké ministerstvo financí připisují oba útoky severokorejské skupině Lazarus.
Většina bankovních lupičů potřebuje auto na útěk. Ti nejlepší ze Severní Koreje potřebují profil na LinkedInu, přesvědčivé PDF a hodně trpělivosti.
Kdo je skupina Lazarus?#
Lazarus Group je jméno, které bezpečnostní výzkumníci používají pro státní hackerské týmy Severní Koreje. Část, která loví kryptofirmy, nazývá FBI TraderTraitor. Podle zprávy panelu expertů Rady bezpečnosti OSN z roku 2024 panel vyšetřoval 58 podezřelých severokorejských kyberútoků na kryptofirmy z let 2017 až 2023 v hodnotě asi 3 miliard dolarů – a ukradené peníze pomáhají financovat programy zbraní hromadného ničení. Žádný puberťák v mikině, ale státní úřad s plánem plnění.
Co se stalo s Roninem? (březen 2022)#
Ronin je blockchain postavený pro Axie Infinity, hru typu „play-to-earn“, která byla v roce 2021 obrovsky populární. Peníze mezi Ethereem a Roninem hráči přesouvali přes most Ronin. Výběry z mostu potřebovaly podpisy 5 z 9 validátorů.
- Návnada. Podle pozdějších zpráv oslovili seniorního inženýra ze Sky Mavis, firmy za hrou, s dobře placenou prací. Po několika kolech „pohovorů“ dostal nabídku jako PDF – a soubor mu nakazil počítač.
- Čtyři klíče. Zevnitř firemní sítě se útočníci dostali ke čtyřem klíčům validátorů, které provozovala Sky Mavis.
- Pátý klíč. Koncem roku 2021 smělo Sky Mavis podepisovat i za pátého validátora, kterého provozovala Axie DAO. To oprávnění mělo být dočasné, jenže ho nikdo nevypnul. Pět z devíti.
- Výběr. 23. března 2022 si útočníci podepsali dva výběry: 173 600 ETH a 25,5 milionu USDC, tehdy asi 625 milionů dolarů.
- Ticho. Šest dní si toho nikdo nevšiml. Krádež vyšla najevo až 29. března, když si uživatel nemohl z prázdného mostu vybrat 5 000 ETH.
Sky Mavis získala 150 milionů dolarů v investičním kole vedeném Binance, z vlastních rezerv pokryla uživatele a 28. června 2022 most znovu otevřela s více validátory a přísnějšími limity.
Co se stalo s Bybitem? (únor 2025)#
Bybit, jedna z největších kryptoburz, držela většinu etheru ve studené multisig peněžence: k přesunu peněz musel transakci schválit víc zaměstnanců, a to přes populární rozhraní Safe{Wallet}. Na papíře učebnicové nastavení.
- Notebook vývojáře. Podle vyšetřování firmy Sygnia a vlastní zprávy Safe nakazili útočníci 4. února 2025 Mac jednoho vývojáře Safe{Wallet} a dostali se do cloudového účtu firmy.
- Otrávený web. 19. února potichu změnili JavaScript webového rozhraní Safe{Wallet}. Škodlivý kód se zapnul jen při práci s peněženkou Bybitu – všichni ostatní viděli normální stránku.
- Rutinní převod. 21. února schválili podepisující z Bybitu něco, co vypadalo jako běžný převod ze studené do horké peněženky. Obrazovky ukazovaly správnou adresu. Hardwarové peněženky ukazovaly data, která se nedala pořádně přečíst – podepisování naslepo.
- Skutečná transakce. Ve skutečnosti podepsali změnu logiky peněženky, která předala kontrolu útočníkům. Ti z ní vymetli asi 401 000 ETH a další tokeny navázané na ether – zhruba 1,5 miliardy dolarů.
- Úklid. Asi o dvě minuty později útočníci škodlivý kód z webu odstranili.
Co následovalo, mnohé překvapilo: Bybit zůstal otevřený. Šéf firmy Ben Zhou hack během pár hodin sám oznámil a prohlásil, že aktiva klientů jsou dál plně krytá. Během několika dní burza díru zaplnila půjčkami od jiných firem a velkými nákupy ETH a vypsala odměnu až 10 % za pomoc se zmrazením ukradených mincí. 26. února 2025 FBI veřejně označila za viníka severokorejský TraderTraitor.
Jak se kořist pere?#
Ukrást krypto je ta snazší půlka. Proměnit ho v použitelné peníze je těžší, protože každý pohyb na veřejném blockchainu je vidět. Lazarus má zaběhnutý postup:
- Rozdělit mince na tisíce adres, aby sledování trvalo déle.
- Měnit a skákat mezi blockchainy – u Bybitu se většina ETH zhruba do deseti dnů převedla na bitcoin přes cross-chain protokol THORChain.
- Míchat mince přes mixéry a služby, které se na nic neptají. Americké ministerstvo financí v roce 2022 sankcionovalo mixér Blender.io za praní části peněz z Roninu.
- Vybírat pomalu přes zprostředkovatele a účty v zemích se slabým dohledem.
Část peněz se cestou podaří zmrazit – ale už v březnu 2025 šéf Bybitu uvedl, že asi 20 % „zmizelo ve tmě“.
Časová osa#
| Datum | Co se stalo |
|---|---|
| konec roku 2021 | Sky Mavis dostane dočasné právo podepisovat za validátora Axie DAO; nikdo ho nezruší |
| 23. března 2022 | Útočníci vyberou z mostu Ronin 173 600 ETH a 25,5 milionu USDC |
| 29. března 2022 | Krádež je odhalena – po šesti dnech |
| duben 2022 | Americké ministerstvo financí spojí krádež z Roninu se skupinou Lazarus |
| 28. června 2022 | Most Ronin se znovu otevírá; uživatelé jsou odškodnění |
| 4. února 2025 | Počítač vývojáře Safe{Wallet} je napadený |
| 21. února 2025 | Bybit přichází o ETH za asi 1,5 miliardy USD ze studené peněženky |
| 26. února 2025 | FBI připisuje krádež z Bybitu Severní Koreji („TraderTraitor“) |
| začátek března 2025 | Většina ukradených ETH je převedená na bitcoin |
Tím Lazarus neskončil. Vyšetřovatelé mu připisují i most Harmony (asi 100 milionů dolarů, 2022), japonskou burzu DMM Bitcoin (asi 300 milionů dolarů, 2024) a most Kelp DAO (asi 292 milionů dolarů, duben 2026) – víc v lekci Mosty a jejich hacky.
Varovné signály, které šly vidět#
- Práce snů z čista jasna. Personalisté, kteří spěchají, platí až moc dobře a posílají soubory nebo „testovací úkoly“ ke spuštění, jsou klasický začátek útoku Lazarus. Stejný trik míří i na běžné uživatele kryptoměn a freelancery.
- Pár klíčů hlídá obří peníze. 600 milionů dolarů chránilo pět klíčů z devíti, většina v rukou jedné firmy. Spočítej si, kdo klíče doopravdy drží.
- Oprávnění, na která se zapomnělo. Díra v Roninu byl dočasný přístup, který zůstal zapnutý.
- Podepisování toho, co nejde přečíst. Podepisující z Bybitu věřili obrazovce. Když ti hardwarová peněženka neukáže jasně, co schvaluješ, zastav se.
- Ticho. Když si díry za 600 milionů dolarů šest dní nikdo nevšimne, nikdo nehlídá.
Stejné triky fungují i na tebe
Lazarus cílí i na jednotlivce: falešní personalisté, falešné pracovní testy, falešné aplikace na schůzky a škodlivé soubory. Na počítači, kde máš krypto, nikdy neotvírej nečekané přílohy ani nespouštěj kód od cizích lidí a nikdy neschvaluj transakci, kterou ti hardwarová peněženka neukáže čitelně. Když hacknou burzu, jsou tvoje mince na ní v bezpečí jen tak, jak je burza schopná ztrátu pokrýt.
Shrnutí
- Podle FBI a amerického ministerstva financí stojí za největšími kryptoloupežemi severokorejská skupina Lazarus (TraderTraitor).
- Ronin, březen 2022: asi 625 milionů USD, 5 z 9 klíčů validátorů, cestou dovnitř falešná nabídka práce.
- Bybit, únor 2025: asi 1,5 miliardy USD v ETH, hacknuté rozhraní peněženky a podepisování naslepo.
- Bybit zůstal solventní a klienty pokryl; většina kořisti se vyprala během dní.
- Na krypto počítači nikdy neotvírej soubory od cizích a nepodepisuj, co nepřečteš – viz Bezpečné posílání a přijímání.
Zdroje#
- FBI: Za hackem Bybitu za 1,5 miliardy USD stojí Severní Korea (2025) (otevře se v nové záložce)
- Sygnia: Vyšetřování hacku Bybitu (otevře se v nové záložce)
- Americké ministerstvo financí: Sankce na mixér Blender.io, krádež z Roninu (2022) (otevře se v nové záložce)
- Chainalysis: Kryptokriminalita v polovině roku 2025 (otevře se v nové záložce)
- ABC News: Zpráva OSN o krádežích kryptoměn Severní Koreou a financování zbraní (2024) (otevře se v nové záložce)