Pakar keamanan siber asal Yunani, Vangelis Stykas, Direktur Teknologi di perusahaan Kumio, mengamati kerja kelompok peretas yang terhubung dengan Korea Utara (DPRK) dari dalam infrastrukturnya sendiri selama hampir 22 bulan. Dia menyampaikan hal ini pada konferensi Black Hat USA 2026 tanggal 6–7 Agustus.
Stykas menemukan data tentang 1.640 perusahaan di 57 negara yang masuk dalam daftar target kelompok tersebut atau telah menjadi sasarannya. Dari jumlah itu, sekitar 700–800 organisasi mengalami serangan serius — penjahat siber memperoleh akses root ke server, infrastruktur AWS, dan dalam kasus perusahaan kripto — bahkan ke kunci dompet digital. Di antara korban yang dia sebutkan secara publik:
- Coinbase
- Uniswap Labs
- Boston Children's Hospital
- Oppo
- AEON Smart Technology
Akses ke percakapan dan server para peretas sebagian besar diperoleh peneliti secara tidak sengaja: operator kelompok itu sendiri menginfeksi stasiun kerja mereka dengan perangkat lunak berbahaya (malware) yang sama yang digunakan untuk menyerang korban. Ini membuka jalan bagi Stykas ke server C2 mereka, akun Slack dan Discord, dan sekitar 5 TB data internal.
Kerugian Rekor di Semester Pertama
Pengamatan Stykas bertepatan dengan publikasi data tentang skala peretasan kripto Korea Utara yang mencapai rekor. Menurut laporan TRM Labs tanggal 1 Juli 2026, pada semester pertama tahun itu, peretas yang terkait dengan DPRK mencuri sekitar $643 juta dalam mata uang kripto — sekitar 66% dari total nilai yang dicuri akibat peretasan dan eksploitasi di seluruh dunia selama periode tersebut. Total kerugian industri dalam setengah tahun itu mencapai $972 juta dengan 207 insiden yang tercatat.
Hampir seluruh hasil curian Korea Utara berasal dari dua serangan besar pada April 2026 — terhadap Drift Protocol (sekitar $285 juta) dan KelpDAO (sekitar $292 juta). TRM Labs menekankan: angka-angka ini hanya memperhitungkan peretasan dan eksploitasi langsung. Selain itu, DPRK mendapatkan mata uang kripto melalui phishing, rekayasa sosial (social engineering), skema penipuan dan scam, serta melalui penempatan tenaga ahli IT mereka dengan identitas palsu di perusahaan-perusahaan Barat.
Volume kumulatif mata uang kripto yang dicuri oleh peretas Korea Utara sejak tahun 2017, dinilai oleh platform analitik sekitar $6,75 miliar per akhir tahun 2025 — dengan memperhitungkan operasi tahun 2026, jumlah ini semakin meningkat.
Perubahan Taktik: Fokus pada Orang, Bukan Kode
Metode serangan utama semakin sering menjadi rekayasa sosial terhadap karyawan perusahaan, bukan peretasan protokol itu sendiri. Peretas yang terkait dengan kelompok Lazarus dan struktur terkaitnya, menyamar sebagai perekrut, menawarkan pekerjaan jarak jauh bergaji tinggi kepada pengembang, dan mengirimkan "tugas uji". Begitu korban mengunduh dan menjalankan file di komputer kerja, perangkat lunak berbahaya terpasang di perangkat, membuka akses ke infrastruktur perusahaan, kunci, server, dan dompet digital — setelah itu dana ditarik. Skenario seperti ini, khususnya, digunakan dalam kampanye berbulan-bulan melawan Drift Protocol dan dalam operasi Contagious Interview.
Gabungan data TRM Labs dan temuan Stykas menunjukkan bahwa dalam beberapa tahun terakhir, operator Korea Utara telah membangun infrastruktur yang mencakup ratusan perusahaan di seluruh dunia — mulai dari bursa kripto dan protokol DeFi hingga produsen elektronik dan institusi medis. Serangan utama tidak diarahkan pada kerentanan teknis blockchain, melainkan pada kepercayaan karyawan terhadap tawaran kerja yang tampaknya sah.
Pendapat AI
Dari sudut pandang hubungan makroekonomi, investigasi Stykas tampaknya menjadi bagian dari gambaran yang lebih luas. Aset kripto yang dicuri tidak mengendap di akun pribadi para peretas — Departemen Luar Negeri AS pada Januari 2026 telah mengkonfirmasi bahwa pendapatan dari operasi semacam itu secara sistematis dialokasikan untuk program persenjataan dan upaya menghindari sanksi PBB. Aspek teknis yang tidak dibahas dalam artikel ini — ketahanan infrastruktur Lazarus itu sendiri: infeksi stasiun kerja operator mereka sendiri dengan malware yang sama menunjukkan kurangnya kebersihan siber internal bahkan di kelompok yang maju sekalipun. Ini menciptakan celah kerentanan yang dimanfaatkan oleh peneliti, namun secara teori juga dapat dimanfaatkan oleh intelijen saingan. Pertanyaan yang masih terbuka: sampai kapan "kebocoran" tidak sengaja seperti ini akan menjadi satu-satunya cara untuk melihat ke dalam mesin peretas Korea Utara?
end-content
