Peretas Korea Utara meningkat 51%！Mencuri 2 miliar dolar AS dalam setahun, jaringan pencucian uang berbahasa Mandarin terungkap

Laporan terbaru Chainalysis menunjukkan bahwa jumlah pencurian mata uang kripto di seluruh dunia pada tahun 2025 akan menjadi sekitar $3,4 miliar, di mana setidaknya $20,2 miliar akan berasal dari serangan terkait Korea Utara, peningkatan 51% dari tahun 2024 (peningkatan sekitar $6,81 miliar), rekor tertinggi. Peretas Korea Utara menyumbang 76% dari semua insiden peretasan dan telah mencuri setidaknya $67,5 miliar aset kripto sejauh ini.

Peretas Korea Utara mendominasi 76% pencurian kripto global

(Sumber: Chainalysis)

2025 telah menjadi tahun terburuk sejak Korea Utara meluncurkan kampanye pencurian mata uang kripto, dengan serangan terkait menyumbang 76% dari semua insiden peretasan, rekor tertinggi. Proporsi ini sangat mengejutkan, yang berarti bahwa 3 dari setiap 4 pencurian mata uang kripto di seluruh dunia terkait dengan Korea Utara. Dominasi ini bukan kebetulan, tetapi hasil dari investasi jangka panjang dan akumulasi teknologi oleh kekuatan siber tingkat negara Korea Utara.

Keuntungan ilegal senilai $ 20,2 miliar memiliki signifikansi strategis bagi Korea Utara. Menurut perkiraan internasional, PDB tahunan Korea Utara adalah sekitar $200-300 miliar, yang berarti bahwa peretas mencuri uang yang setara dengan 6-10% dari PDB-nya. Pencurian cryptocurrency telah menjadi salah satu sumber utama devisa Korea Utara setelah sanksi PBB memotong sebagian besar saluran perdagangan normalnya, yang digunakan untuk mendukung program senjata nuklir dan rudal balistiknya.

Tingkat pertumbuhan tahunan 51% menunjukkan bahwa kemampuan peretas Korea Utara meningkat pesat. Peningkatan ini tidak hanya tercermin pada tingkat teknis, tetapi juga dalam kecanggihan strategi serangan. Dari hari-hari awal serangan phishing brutal hingga rekayasa sosial multi-tahap saat ini, infiltrasi rantai pasokan, dan implantasi orang dalam, peretas Korea Utara telah mengembangkan metodologi serangan yang matang.

Data serangan peretas Korea Utara pada tahun 2025

jumlah total yang dicuri: $20,2 miliar, terhitung 76% dari pencurian kripto global, meningkat 51% dari tahun 2024

Pencurian riwayat kumulatif: $67.5 miliar, rata-rata sekitar $8.4 miliar per tahun dari 2017 hingga saat ini

Kasus tunggal terbesar: CEX besar menukar $15 miliar, terhitung 74% dari total pencurian Korea Utara pada tahun 2025

Lazarus Group secara luas diyakini memiliki hubungan dekat dengan Biro Pengintaian Umum (RGB) Pyongyang, menghasilkan lebih dari $200 juta hasil ilegal melalui setidaknya 25 pencurian mata uang kripto antara tahun 2020 dan 2023 saja. Kelompok ini telah meluncurkan serangan siber terhadap lembaga keuangan dan platform cryptocurrency selama lebih dari satu dekade dan diduga terlibat dalam mencuri sekitar $ 36 juta aset dari Upbit, pertukaran cryptocurrency terbesar di Korea Selatan, bulan lalu.

Peristiwa bursa terpusat senilai $1,5 miliar dan strategi penetrasi dua baris

Menurut laporan itu, peretasan pertukaran CEX pada Februari tahun ini adalah serangan tunggal terbesar di Korea Utara, menyebabkan kerugian sekitar $ 1,5 miliar. Insiden itu telah dikaitkan dengan kelompok mengancam yang dikenal sebagai TraderTraitor, juga dikenal sebagai Jade Sleet atau Slow Pisces. Perusahaan keamanan Hudson Rock kemudian menunjukkan bahwa komputer yang terinfeksi malware Lumma Stealer terkait dengan infrastruktur yang digunakan dalam serangan tersebut.

Metode serangan peretasan CEX sangat canggih. Peretas tidak secara langsung menyerang sistem dompet dingin bursa, tetapi menyusup ke karyawan bursa melalui rekayasa sosial untuk mendapatkan akses ke sistem internal. Begitu berada di dalam jaringan internal, peretas bergerak secara lateral ke sistem penting dan akhirnya mendapatkan akses ke manajemen kunci pribadi. Rantai serangan ini melibatkan beberapa tahap, masing-masing membutuhkan keterampilan dan kesabaran yang sangat khusus.

Selain meretas pertukaran secara langsung, peretas Korea Utara juga telah melakukan serangan rekayasa sosial yang disebut “Operation Dream Job” untuk waktu yang lama. Mereka menggunakan platform seperti LinkedIn dan WhatsApp untuk menyamar sebagai perekrut dan menggunakan lowongan pekerjaan bergaji tinggi sebagai umpan untuk menjangkau praktisi pertahanan, teknologi, penerbangan, dan manufaktur untuk memikat target mengunduh dan mengeksekusi malware untuk mencuri data sensitif atau membangun saluran infiltrasi jangka panjang.

Strategi lain adalah apa yang disebut operasi “Wagemole”. Personel Korea Utara melamar posisi teknologi informasi di perusahaan luar negeri dengan identitas palsu, atau menyusup ke perusahaan melalui perusahaan depan untuk mendapatkan akses ke sistem dan layanan enkripsi, sehingga meluncurkan serangan berdampak tinggi. Chainalysis menunjukkan bahwa metode ini dapat mempercepat pergerakan lateral dan kecepatan akses awal peretas sebelum pencurian skala besar, yang mungkin menjadi salah satu alasan penting untuk rekor jumlah kerugian yang tinggi tahun ini.

Departemen Kehakiman AS telah mengumumkan bahwa seorang pria berusia 40 tahun di Maryland telah dijatuhi hukuman karena membantu personel Korea Utara dalam menyamar sebagai identitas mereka untuk terlibat dalam pekerjaan TI. Penyelidikan mengungkapkan bahwa terdakwa mengizinkan warga Korea Utara yang tinggal di Shenyang, China, untuk menggunakan identitasnya untuk bekerja di berbagai perusahaan AS dan lembaga pemerintah, mendapatkan kompensasi hampir $1 juta antara 2021 dan 2024. Kasus ini mengungkapkan mode operasi Wagemole.

Transfer dana tiga tahap dari jaringan pencucian uang China

Dalam hal penanganan dana, aset kripto yang dicuri biasanya ditransfer melalui proses pencucian uang multi-tahap yang terstruktur. Laporan tersebut menunjukkan bahwa peretas Korea Utara menggunakan Layanan Pencucian Uang Profesional Berbahasa Mandarin (layanan pencucian uang Cina profesional) dan OTC (perdagangan over-the-counter), menunjukkan hubungan dekat dengan jaringan keuangan bawah tanah di wilayah berbahasa Cina.

Tahap pertama menggunakan protokol keuangan terdesentralisasi dan layanan pencampuran mata uang untuk mengalihkan dana dengan cepat dalam beberapa hari setelah serangan. Tujuan dari tahap ini adalah untuk dengan cepat memutuskan asosiasi langsung dana curian dengan alamat aslinya. Peretas membagi uang dalam jumlah besar menjadi ribuan transfer kecil, melakukan transfer multi-hop melalui mixer seperti Tornado Cash dan beberapa protokol DeFi, membuat kesulitan pelacakan menjadi lebih tinggi secara eksponensial.

Fase kedua awalnya akan diintegrasikan melalui bursa, jembatan lintas rantai, dan layanan pencampuran sekunder. Dana ditransfer dari Ethereum ke rantai lain seperti BSC, Tron, dan lainnya, memanfaatkan kompleksitas jembatan lintas rantai untuk lebih mengaburkan jalur pelacakan. Beberapa dana mengalir ke bursa yang lebih kecil yang mendukung KYC yang lebih lemah, diubah menjadi mata uang kripto atau stablecoin lainnya.

Akhirnya, dalam waktu sekitar 20 hingga 45 hari, dana ditukar dengan mata uang fiat atau aset lainnya. Tahap ini adalah yang paling kritis dan berbahaya, karena agar cryptocurrency menjadi mata uang fiat yang dapat digunakan, mereka harus bersentuhan dengan sistem keuangan tradisional. Peretas Korea Utara terutama mengandalkan pedagang OTC dan bank bawah tanah di wilayah berbahasa Cina, yang menyediakan layanan pertukaran cryptocurrency dalam jumlah besar dan pada akhirnya mentransfer dana ke rekening yang dikendalikan Korea Utara melalui jaringan bank yang kompleks.

Tingkat keterkaitan yang tinggi dari “sistem Tiongkok” telah menyebabkan kekhawatiran di antara otoritas peradilan AS. Ini menunjukkan bahwa jaringan keuangan bawah tanah tertentu di Tiongkok daratan, Hong Kong, Taiwan, atau komunitas Tiongkok di Asia Tenggara menyediakan layanan pencucian uang penting ke Korea Utara. Kompleksitas jaringan kriminal transnasional ini membuat sangat sulit bagi lembaga penegak hukum untuk melacak dan menindak mereka.

Pakar keamanan informasi memperingatkan bahwa ancaman terkait Korea Utara terus-menerus menyesuaikan taktik mereka dari intrusi langsung ke dalam sistem ke metode infiltrasi dan penyalahgunaan platform yang lebih terselubung dan tidak terdeteksi. Dengan popularitas cryptocurrency dan kerja jarak jauh, risiko terkait kemungkinan akan terus meningkat, menjadi tantangan utama untuk perlindungan keamanan informasi peraturan dan perusahaan di berbagai negara.