ABAB Pedia
词条广场

Lazarus Group

概述

美国财政部将 Lazarus Group 描述为受朝鲜侦察总局控制的网络组织，其活动包括窃取信息、破坏系统和获取资金。MITRE 提醒，公开报道也会把 Lazarus 当作多个朝鲜网络行动者的统称，相关单位可能共享人员、基础设施和恶意软件。⁠[1][2]

本页目录18 节
词条资料

2007—2009年早期活动追溯

美国财政部2019年公告称，该组织最早可追溯至2007年由朝鲜政府建立；MITRE 的活动记录则使用“至少自2009年起活跃”的表述。这些是对秘密网络活动的追溯，未给出可核实的公开注册日。⁠[1][2]

2014年11月索尼影业遭破坏性攻击

索尼影业在11月下旬确认系统被破坏，并有大量个人与商业资料被盗。12月19日，FBI 将事件归因于朝鲜政府，说明其依据包括恶意软件和基础设施的关联；后来美国司法部对 Lazarus 相关人员的起诉把这起事件列入指控。⁠[3][4]

2016年孟加拉国央行盗窃案

美国司法部2018年公布的刑事控告将孟加拉国央行8100万美元失窃列为该共谋团伙实施的行动。美国财政部随后描述了利用被盗 SWIFT 凭证提出欺诈转账请求的方式，区分实际失窃资金和未能完成的转账企图。⁠[5][1]

2017年5月WannaCry 勒索软件事件

美国司法部2021年起诉公告把2017年5月 WannaCry 2.0 的制作列入指控。美国财政部指出，多国在2017年12月公开将该事件归因于朝鲜；攻击波及英国国家医疗服务体系等机构。5月是攻击时间，12月是后续公开归因时间。⁠[4][1]

2018年9月6日美国公布针对朴镇赫的刑事控告

美国司法部公布针对朴镇赫（Park Jin Hyok）的刑事控告，指其参与受朝鲜支持的网络攻击共谋，并为朝鲜政府关联公司 Chosun Expo 工作。该公告把索尼、孟加拉国央行和 WannaCry 等案件联系起来；公布控告不等于法院认定有罪。⁠[5]

2019年9月13日美国财政部实施制裁

OFAC 宣布制裁 Lazarus Group、Bluenoroff 和 Andariel，并在该公告的分类中将后两者称为 Lazarus 的分支。公告分别强调 Bluenoroff 的金融盗窃和 Andariel 针对政府、企业及国防目标的活动。相关美国境内或由美国人控制的财产依公告受到冻结。⁠[1]

2020年3月2日涉嫌协助洗钱者受到制裁

美国财政部制裁田寅寅和李家东，称两人协助处理与 Lazarus 相关的交易所失窃资产。公告称他们收到来自一次2018年攻击的约9100万美元，以及另一次交易所攻击的950万美元；这与前一次攻击所涉约2.5亿美元总失窃额是不同口径。⁠[6]

2021年2月17日起诉范围扩大至三名被告

美国司法部公布针对 Jon Chang Hyok、Kim Il 和 Park Jin Hyok 的起诉书，指控其属于朝鲜侦察总局相关单位，并参与破坏性攻击、银行盗窃及恶意加密应用等共谋。起诉书于2020年12月8日提交、2021年2月17日解封；公告明确说明指控仍须证明。⁠[4]

2022年4月14日FBI 公布大额加密资产盗窃归因

FBI 表示，调查确认 Lazarus Group 和 APT38 相关行动者应对3月29日报告的一起约6.2亿美元以太坊Ethereum（以太坊）Ethereum 是2015年上线的开放式通用智能合约区块链，原生资产为 ether（ETH）。项目由 Vitalik Buterin 提出并由八位联合创始人共同推进；网络现采用权益证明，以 EVM、账户模型、rollup 扩容路线和开放 EIP 流程为核心。点击查看完整词条盗窃负责。该公告使用的是案件报告时间与当时美元估值，没有将其表述为追回金额。⁠[7]

2022年4月18日TraderTraitor 联合安全通报

FBI、CISA 与美国财政部发布联合通报，介绍针对区块链和加密行业的社会工程攻击。通报描述伪装招聘与交易工具诱使受害者安装含恶意程序的软件，继而窃取私钥或发起欺诈交易；其中 TraderTraitor 用于描述一系列恶意应用。⁠[8]

2023年1月23日Harmony Horizon 事件归因

FBI 将2022年6月24日报告的 Harmony Horizon 跨链桥约1亿美元盗窃归因于 Lazarus，并在公告中使用 APT38 这一名称。公告还称2023年1月有逾6000万美元相关以太坊经隐私协议转移，部分资金在服务商协助下冻结；没有称全部损失已追回。⁠[9]

2024年5月21日Arkham 提供地址追踪视图

ArkhamArkhamArkham是一家由Miguel Morel于2020年创办的区块链数据分析公司。其产品包括将链上地址与现实实体联系起来的分析平台、情报交易市场，以及加密资产交易服务。点击查看完整词条 宣布提供 ZachXBTZachXBTZachXBT 是以化名活动的区块链调查员，研究加密资产诈骗、盗窃和资金流向，并担任 Paradigm 事件响应顾问。他通过公开调查、链上分析以及与安全研究者和执法部门的合作参与资产追踪。点击查看完整词条 调查涉及的 Lazarus 相关地址追踪视图，并称其另识别七个地址，合计891.13枚比特币比特币比特币（Bitcoin，常用符号 BTC）是一套开放的点对点电子现金协议、网络及其原生数字资产。完整节点按共识规则独立验证交易和区块；交易以 UTXO 记录，区块通过工作量证明组织为公开账本。比特币不由单一机构发行或管理，但使用、托管和交易仍涉及密钥、隐私、市场与法律风险。点击查看完整词条，按公告时估值约6323万美元。地址归类及可追踪余额不等于这些资产已经被扣押或返还。⁠[10]

2025年2月21日Bybit 盗窃与链上归因

Arkham 称 ZachXBT 在当天19:09 UTC 提交了将 BybitBybitBybit是2018年成立的数字资产交易平台，由Ben Zhou联合创办并担任首席执行官，提供现货、衍生品、收益、支付及Web3服务，并通过多个地区法人开展合规运营。点击查看完整词条 攻击联系到 Lazarus 的证据，包括测试交易、关联钱包、图谱与时间分析。2月26日，FBI 将2月21日约15亿美元 Bybit 盗窃归因于朝鲜，并称其追踪的这类特定活动为 TraderTraitor。⁠[11][12]

2026年10月5日ZachXBT 披露涉嫌洗钱网络调查

ZachXBT 发帖称，他假扮客户接触一个涉嫌为 Lazarus 处理多起攻击赃款的中国有组织犯罪网络，并认为其涉及金额超过10亿美元。他称2025年3月6日前置投入349700 USDC，通过沟通与链上交易对应识别了与 Bybit 相关的资金。上述归因和网络规模属于他的调查主张。⁠[13]

他还称识别出逾1200万美元相关资金，其中442000 USDT 后被 TetherTether USDt（USD₮）Tether USDt（USD₮，常写作 USDT）是2014年起发行的美元锚定稳定币，前身名为 Realcoin，由 Brock Pierce、Reeve Collins 与 Craig Sellars 联合创办。代币由发行公司在多条区块链上铸造和赎回，锚定依赖储备、发行赎回机制和市场套利，不是去中心化算法稳定币。点击查看完整词条 冻结，并向可信的私人调查方与执法人员及时共享情报。其另述自2022年以来协助冻结逾7500万美元朝鲜相关资金，是更广泛的累计口径，不是本次行动的单项成果。⁠[13]

命名与研究范围

Lazarus、APT38、Bluenoroff、Andariel、HIDDEN COBRA 和 TraderTraitor 在不同来源中的使用范围并不完全相同。例如，财政部2019年使用“分支”分类；MITRE 将 HIDDEN COBRA 解释为美国政府对朝鲜恶意网络活动的称呼，而 FBI 的个案公告使用的名称也随调查对象而不同。⁠[1][2][12]

关联机构、网站与公开账号

MITRE ATT&CK：研究机构条目：https://attack.mitre.org/groups/G0032/（在新窗口打开）。⁠[2]

来源

  1. Treasury Sanctions North Korean State-Sponsored Malicious Cyber Groups（在新窗口打开）
  2. Lazarus Group — MITRE ATT&CK G0032（在新窗口打开）
  3. Update in Sony Investigation（在新窗口打开）
  4. 3 North Korean Military Hackers Indicted in Wide-Ranging Scheme to Commit Cyber-attacks and Financial Crimes Across the Globe（在新窗口打开）
  5. North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions（在新窗口打开）
  6. Treasury Sanctions Individuals Laundering Cryptocurrency for Lazarus Group（在新窗口打开）
  7. FBI Statement on Attribution of Malicious Cyber Activity Posed by the Democratic People’s Republic of Korea（在新窗口打开）
  8. TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies（在新窗口打开）
  9. FBI Confirms Lazarus Group Cyber Actors Responsible for Harmony’s Horizon Bridge Currency Theft（在新窗口打开）
  10. Track the Lazarus Group with Arkham and ZachXBT（在新窗口打开）
  11. Bybit $1 Billion Hack Bounty Solved by ZachXBT（在新窗口打开）
  12. North Korea Responsible for $1.5 Billion Bybit Hack（在新窗口打开）
  13. Investigation into a Chinese laundering network linked to Lazarus Group（在新窗口打开）