Kuzey Koreli Lazarus Grubu, 7 Yıldır DeFi ve Kripto Şirketlerine Sızıyor: 7 Milyar Dolarlık Tehdit

Kuzey Koreli IT çalışanlarının en az 7 yıldır kripto şirketleri ve DeFi projelerine sızdığına dair yeni uyarılar gündeme geldi. MetaMask geliştiricisi ve güvenlik araştırmacısı Taylor Monahan, bu ekibin ‘DeFi yazı’ döneminden beri sektörün ‘çekirdek altyapısını’ kuranlar arasında yer aldığını savunuyor.

Monahan, pazar günü yaptığı açıklamada “Birçok DPRK IT çalışanı, bugün bildiğimiz ve sevdiğimiz protokollerin çoğunu en en başından beri inşa etti” ifadelerini kullandı. Ona göre bu kişiler, 40’tan fazla DeFi platformunda protokol geliştirme süreçlerine çeşitli şekillerde dahil oldu. Özgeçmişlerde yer alan ‘7 yıllık blokzincir geliştirme deneyimi’ ifadesinin de ‘abartı değil, gerçek’ olabileceğini ekledi.

Bu tablo, Kuzey Kore Genel Keşif Dairesi’ne bağlı olduğu bilinen ‘Lazarus Grubu’ arka planında şekilleniyor. Analistlerin hesaplamalarına göre grup, 2017’den bu yana kripto paralarda yaklaşık 7 milyar dolar çaldı. ‘Lazarus’, 2022’deki Ronin Bridge saldırısı, 2024’teki WazirX(WAZIRX) güvenlik ihlali ve 2025’te Bitget(BTC) türevli büyük vurgun gibi sektörü sarsan olaylarla da ilişkilendiriliyor.

Monahan’ın çıkışı, ‘Drift Protocol’ün geçtiğimiz günlerde yaşanan yaklaşık 280 milyon dolarlık saldırıda ‘Kuzey Kore bağlantılı bir devlet destekli grubun’ rol almış olabileceğine dair “orta-üst düzeyde” bir kanaate sahip olduğunu duyurmasının hemen ardından geldi. Drift, olay raporunda bireysel temasların doğrudan Kuzey Kore vatandaşlarıyla değil, ‘aracı istihdam firmaları’ üzerinden kurulduğunu belirtti. Bu kişiler; iş geçmişi, açık profiller ve sektör bağlantılarıyla birlikte ‘tam teşekküllü sahte kimlikler’ kullanıyordu.

Benzer örnekler sahadan da gelmeye başladı. Solana(SOL) ekosisteminde faaliyet gösteren merkeziyetsiz borsa toplayıcısı Titan Exchange’in kurucusu Tim Ahl, daha önceki işe alım sürecinde ‘Lazarus üyesi olduğu düşünülen’ bir adayı mülakata aldığını açıkladı. Ahl’ın anlatımına göre aday, görüntülü çevrim içi görüşmede son derece yetkin görünmesine rağmen yüz yüze mülakatı kesin bir dille reddetti. Ahl, daha sonra aynı ismin ‘Lazarus’la bağlantılı sızıntı veri setlerinde yer aldığını fark ettiğini söyledi.

ABD Hazine Bakanlığı’na bağlı Yabancı Varlıkları Kontrol Ofisi(OFAC), şirketlerin yaptırım listelerini ve karşı taraflarını çapraz kontrol edebilmesi için özel sayfalar işletiyor. OFAC, ayrıca ‘IT çalışanı dolandırıcılığı’ benzeri şemaların tipik davranış ve başvuru kalıplarını da paylaşıyor. Bu tablo, işe alım süreçlerinin bizzat bir ‘saldırı vektörü’ haline geldiğini ve ‘hesap ele geçirme’ ötesinde ‘insan kaynağına sızma’ yönteminin yeni bir tehdit düzeyi yarattığını gösteriyor.

On-chain araştırmacı ‘ZachXBT(ZachXBT)’, kullanılan yöntemlerin göründüğü kadar sofistike olmadığını vurguluyor. ‘yorum: Buradaki vurgu, tekniğin değil, sürecin ısrar ve tekrarında’ Ona göre iş ilanları, LinkedIn profilleri, e-posta yazışmaları, Zoom görüşmeleri ve klasik mülakat adımlarının kullanılması “oldukça temel bir seviye.” Asıl risk, bu sürecin ‘ısrarla ve sistematik biçimde’ tekrar edilmesi. ZachXBT, “2026’da hâlâ bu tür tuzaklara düşen olursa, bu artık dikkatsizlik sınırını aşar” diyerek uyarıyor.

Kuzey Koreli IT çalışanları ve ‘Lazarus Grubu’ etrafında şekillenen sızma iddiaları, DeFi ve kripto ekosisteminde ‘güvenlik’ kadar ‘insan doğrulama’ tarafının da ne kadar zayıf olduğunu ortaya koyuyor. Büyük hacimli saldırıların devam ettiği mevcut ortamda, işe alım, dış kaynak kullanım ve iş ortaklığı aşamalarının da ‘saldırı yüzeyi’ olarak görülmesi gerektiği yönündeki görüşler güçleniyor. ‘yorum: Sektör için mesaj net; akıllı sözleşme denetimi kadar, geliştiricinin kim olduğunun denetimi de kritik hale geliyor’