Lazarus là tên gọi chung cho các nhóm tin tặc mà chính phủ Mỹ, Hàn Quốc, Nhật Bản và nhiều công ty an ninh mạng quy cho Triều Tiên, và trong những năm gần đây mục tiêu chính của họ là tiền mã hóa. Hai vụ tiêu biểu là Ronin Network năm 2022, thiệt hại khoảng 620 triệu USD, và sàn Bybit tháng 2 năm 2025, thiệt hại khoảng 1,5 tỷ USD, vụ trộm tiền mã hóa lớn nhất từng được ghi nhận. Điểm chung của các vụ này là kẻ tấn công hiếm khi phá mã hóa, mà nhắm vào con người: nhân viên, quy trình ký duyệt và nhà cung cấp phần mềm.
Bài viết tập trung vào khía cạnh tài chính của nhóm, khác với các chiến dịch tấn công hạ tầng giữa các quốc gia được kể trong bài hồ sơ chiến tranh mạng. Thông tin dựa trên công bố của FBI, Bộ Tài chính Mỹ và báo cáo sau sự cố của các công ty bị hại.
Một nhóm tin tặc hoạt động như doanh nghiệp nhà nước
Phần lớn các nhóm tội phạm mạng hoạt động vì lợi nhuận cá nhân. Lazarus khác ở chỗ, theo đánh giá của Mỹ và Liên Hợp Quốc, tiền thu được phục vụ một quốc gia đang chịu cấm vận nặng nề, trong đó có các chương trình vũ khí. Các cơ quan khác nhau dùng nhiều tên cho các nhóm con, như APT38 hay TraderTraitor, nhưng báo chí thường gọi chung là Lazarus.
Nhóm được biết đến rộng rãi từ vụ tấn công Sony Pictures năm 2014 và vụ chuyển tiền trái phép từ ngân hàng trung ương Bangladesh năm 2016. Khi hệ thống ngân hàng siết chặt kiểm soát, tiền mã hóa trở thành mục tiêu hấp dẫn hơn: tài sản tập trung trong vài ví lớn, giao dịch không thể đảo ngược, và có thể chuyển qua biên giới trong vài phút mà không cần ngân hàng trung gian.
Ronin Network 2022: một lời mời làm việc
Ronin là chuỗi khối phụ phục vụ trò chơi Axie Infinity của công ty Sky Mavis, có một cầu nối (bridge) giữ tài sản người chơi chuyển từ Ethereum sang. Mọi giao dịch rút tiền khỏi cầu nối cần chữ ký của ít nhất năm trong chín nút xác thực.
Theo báo cáo sau sự cố và các tường thuật báo chí, kẻ tấn công tiếp cận một kỹ sư của Sky Mavis bằng một lời mời làm việc giả, qua nhiều vòng "phỏng vấn", rồi gửi một tài liệu chứa mã độc. Từ máy tính bị nhiễm, nhóm xâm nhập hệ thống công ty và chiếm được khóa ký của bốn nút do Sky Mavis vận hành. Nút thứ năm đến từ một quyền ký tạm thời từng được cấp và chưa bị thu hồi. Đủ năm chữ ký, họ rút khoảng 620 triệu USD bằng ETH và USDC vào tháng 3 năm 2022.
Đáng chú ý, vụ trộm chỉ bị phát hiện vài ngày sau, khi một người dùng không rút được tiền. Tháng 4 năm 2022, FBI công khai quy trách nhiệm cho Lazarus, và Bộ Tài chính Mỹ đưa địa chỉ ví liên quan vào danh sách trừng phạt. Một phần số tiền sau đó được đưa qua dịch vụ trộn Tornado Cash, một trong những lý do dẫn tới lệnh trừng phạt dịch vụ này.
Bybit 2025: khi giao diện ký duyệt bị đánh tráo
Ngày 21 tháng 2 năm 2025, sàn Bybit mất khoảng 1,5 tỷ USD, chủ yếu là ETH, từ một ví lạnh. Vài ngày sau, FBI tuyên bố Triều Tiên đứng sau vụ tấn công và gắn nó với nhóm mà cơ quan này gọi là TraderTraitor.
Ví lạnh của Bybit dùng cơ chế đa chữ ký thông qua Safe{Wallet}, một nền tảng ví phổ biến. Theo kết quả điều tra được Safe{Wallet} và Bybit công bố, kẻ tấn công đã xâm nhập máy tính của một nhà phát triển Safe{Wallet} và chèn mã độc vào giao diện web mà Bybit dùng để ký duyệt. Khi các thành viên ký duyệt một giao dịch chuyển tiền thông thường, giao diện hiển thị thông tin đúng như mong đợi, nhưng nội dung thực sự được ký lại trao quyền kiểm soát ví cho kẻ tấn công.
Vụ Bybit cho thấy một nghịch lý: ví lạnh và đa chữ ký là chuẩn mực an toàn, nhưng nếu tất cả người ký cùng nhìn vào một màn hình đã bị đánh tráo, nhiều chữ ký cũng chỉ như một. Bybit tuyên bố vẫn đảm bảo khả năng chi trả cho khách hàng nhờ nguồn vốn riêng và khoản vay từ đối tác.
Bộ kỹ thuật quen thuộc của nhóm
Lừa tuyển dụng
Đây là đặc trưng nổi bật nhất. Tin tặc đóng vai nhà tuyển dụng trên mạng xã hội nghề nghiệp, mời kỹ sư hoặc nhân viên công ty tiền mã hóa phỏng vấn, rồi yêu cầu làm "bài kiểm tra kỹ thuật" hoặc mở tài liệu mô tả công việc có chứa mã độc. Các nhà nghiên cứu an ninh đã đặt tên cho nhiều chiến dịch kiểu này. Ở chiều ngược lại, Mỹ và các nước đồng minh nhiều lần cảnh báo về nhân viên IT Triều Tiên dùng danh tính giả để được tuyển làm việc từ xa cho các công ty nước ngoài.
Chiếm khóa ký
Trong tiền mã hóa, ai giữ khóa riêng là người sở hữu tiền. Thay vì tấn công giao thức, nhóm tìm cách đến gần những người và máy tính giữ khóa ký: kỹ sư vận hành, máy chủ ký giao dịch, hệ thống quản lý nút xác thực của cầu nối. Chỉ cần đủ số khóa theo ngưỡng yêu cầu là tiền có thể bị rút hợp lệ về mặt kỹ thuật.
Tấn công chuỗi cung ứng
Khi mục tiêu phòng thủ tốt, nhóm tấn công nhà cung cấp của mục tiêu: thư viện phần mềm, ví, công cụ ký duyệt hay dịch vụ lưu ký. Vụ Bybit là ví dụ điển hình. Theo cảnh báo của FBI và cơ quan chức năng Nhật Bản, vụ mất khoảng 300 triệu USD tại sàn DMM Bitcoin năm 2024 cũng bắt đầu từ một nhân viên của công ty cung cấp phần mềm ví bị lừa qua bài kiểm tra tuyển dụng.
Các vụ việc được cơ quan chức năng quy cho Triều Tiên
| Vụ việc | Thời điểm | Thiệt hại ước tính | Điểm xâm nhập chính |
|---|---|---|---|
| Ronin Network | Tháng 3/2022 | Khoảng 620 triệu USD | Lời mời làm việc giả, chiếm khóa nút xác thực |
| Cầu nối Harmony Horizon | Tháng 6/2022 | Khoảng 100 triệu USD | Chiếm khóa ký của cầu nối |
| DMM Bitcoin | Tháng 5/2024 | Khoảng 300 triệu USD | Nhân viên nhà cung cấp ví bị lừa tuyển dụng |
| Bybit | Tháng 2/2025 | Khoảng 1,5 tỷ USD | Giao diện ký duyệt của nhà cung cấp ví bị chèn mã độc |
Bảng chỉ liệt kê một số vụ đã được FBI hoặc cơ quan chức năng công khai quy trách nhiệm. Các công ty phân tích chuỗi khối còn gắn nhóm với nhiều vụ khác nhỏ hơn, và tổng số tiền bị đánh cắp qua nhiều năm được ước tính ở mức hàng tỷ USD.
Tiền bị đánh cắp được rửa như thế nào
Lấy được tiền mới là nửa đầu. Với hàng trăm triệu USD bị gắn cờ công khai chỉ vài giờ sau vụ trộm, nhóm phải hành động nhanh trước khi các sàn kịp phong tỏa. Mô hình được các công ty phân tích ghi nhận khá nhất quán:
- Đổi token có thể bị đóng băng: các stablecoin mà bên phát hành có quyền khóa thường được đổi ngay sang tài sản khó đóng băng hơn như ETH.
- Chia nhỏ và rải ra hàng nghìn địa chỉ để làm quá tải việc theo dõi.
- Nhảy chuỗi: chuyển qua cầu nối và dịch vụ hoán đổi phi tập trung sang chuỗi khác, thường là Bitcoin, để cắt đứt dấu vết giữa các sổ cái.
- Dùng mixer khi còn hoạt động, xen kẽ với các dịch vụ hoán đổi không yêu cầu xác minh danh tính.
- Rút ra qua môi giới phi tập trung (OTC) sẵn sàng đổi tiền mã hóa lấy tiền pháp định mà không hỏi nguồn gốc.
Ở mỗi bước, các sàn, bên phát hành stablecoin và công ty phân tích đều có cơ hội can thiệp. Sau vụ Bybit, một phần tài sản đã bị đóng băng nhờ cộng đồng và các bên liên quan phối hợp gắn cờ địa chỉ, nhưng phần lớn vẫn được chuyển đi. Cách các nhóm tống tiền dùng mạng lưới rửa tiền tương tự được bàn trong bài ransomware dạng dịch vụ.
Bài học cho doanh nghiệp và người dùng
Với doanh nghiệp giữ tài sản số, các vụ Lazarus chỉ ra những điểm yếu cụ thể:
- Coi quy trình tuyển dụng và nhân viên kỹ thuật là bề mặt tấn công: không chạy mã hay mở tệp từ "nhà tuyển dụng" trên máy làm việc, kiểm tra kỹ danh tính ứng viên làm từ xa.
- Tách biệt thiết bị ký duyệt, xác minh nội dung giao dịch trên một kênh độc lập thay vì chỉ tin vào một giao diện web.
- Rà soát và thu hồi quyền tạm thời, giám sát bất thường liên tục để phát hiện vụ trộm trong vài phút chứ không phải vài ngày.
- Đánh giá rủi ro của mọi nhà cung cấp phần mềm nằm trên đường đi của tiền.
Với người dùng cá nhân, bài học gần gũi hơn: lời mời làm việc lương cao kèm yêu cầu tải phần mềm lạ là dấu hiệu cảnh báo; tài sản để trên sàn phụ thuộc vào an ninh của sàn; và ngay cả nền tảng lớn cũng có thể bị tấn công. Không có lựa chọn nào an toàn tuyệt đối, nên đừng đặt vào tiền mã hóa số tiền bạn không chịu được nếu mất.
Câu hỏi thường gặp
Vì sao các chính phủ khẳng định Lazarus thuộc Triều Tiên?
FBI và các cơ quan đồng minh dựa vào nhiều loại bằng chứng: mã độc và hạ tầng dùng lại giữa các vụ, dấu vết dòng tiền trên chuỗi khối, cùng nguồn tình báo không công bố. Triều Tiên luôn phủ nhận. Vì một phần bằng chứng không công khai, báo chí thường dùng cách nói "được quy cho".
Tiền bị Lazarus đánh cắp có lấy lại được không?
Thường chỉ một phần nhỏ. Khi được gắn cờ sớm, một số tài sản có thể bị bên phát hành stablecoin hoặc sàn đóng băng, và cơ quan chức năng Mỹ đã thu hồi một phần tiền trong vài vụ. Phần lớn còn lại thường được rửa qua nhiều chuỗi trước khi bị chặn.
Người dùng sàn Bybit có bị mất tiền không?
Theo thông báo của Bybit, sàn vẫn xử lý rút tiền và cam kết bù đắp thiệt hại bằng nguồn vốn riêng cùng khoản vay từ đối tác, nên khách hàng không phải gánh khoản mất mát trực tiếp. Tuy vậy, vụ việc cho thấy rủi ro của việc để tài sản trên sàn.
Làm sao nhận ra một lời mời tuyển dụng giả từ nhóm tin tặc?
Cảnh giác khi nhà tuyển dụng chủ động liên hệ với mức lương bất thường, thúc giục, và yêu cầu bạn tải về rồi chạy một dự án mã nguồn, một ứng dụng họp trực tuyến lạ hay một tài liệu cần bật macro. Hãy xác minh qua kênh chính thức của công ty và làm bài kiểm tra trong môi trường tách biệt.
Lưu ý: Bài viết mang tính giáo dục, giúp bạn hiểu rủi ro và tự bảo vệ. Thế Giới Ngầm không hướng dẫn truy cập trái phép, mua bán hàng cấm hay bất kỳ hành vi vi phạm pháp luật nào.
