22 февраля 2025 г. из «холодных» кошельков биржи Bybit вывели рекордные 1,5 млрд $ в ETH — через подмену delegatecall в мультисиг‑транзакции. TRM Labs и ФБР почти сразу указали на северокорейскую группу Lazarus, ранее «замеченную» в Ronin, KuCoin, Upbit и десятках других атак. Итоговый счёт возможной добычи Пхеньяна с 2017 г. оценивается в $6 млрд.

Но за громкой атрибуцией скрываются нюансы:

Повторяемые TTP. Одинаковые цепочки обналичивания (быстрый своп в ETH/BTC → дробление → миксеры) действительно характерны для Lazarus, но их нетрудно скопировать.

Подробнее:
Инфраструктурные следы. Северокорейские IP и старый тулкит AppleJeus — сильный аргумент, однако доказательства остаются непубличными и недостижимыми суду.

Мотивация сторон.
• Биржи охотнее винят «государственного суперхакера», чем признают собственные дыры в процедурах.
• Госструктурам удобно подчеркивать «ось зла» и обосновывать санкции.
• Вендоры строят продукты «против Lazarus», усиливая медийный образ группы.

Подробнее: https://mirror.xyz/0xdc519466f1cda17e8ae6735bB8652F47c0533CBe/duQfr_6yr1nxf669eZFNRagjAsgeXX5YWMvBtTGUiCs