Stake.com-hacket – $41 millioner, Lazarus Group og hva vi lærte

4. september 2023 forsvant $41 millioner på minutter

Mandag 4. september 2023, tidlig på ettermiddagen europeisk tid, begynte store beløp å forsvinne fra Stake.coms hot wallets. Først 15,7 millioner dollar fra Ethereum-nettverket. Deretter ytterligere 25,6 millioner dollar fra Polygon og Binance Smart Chain. I løpet av minutter var totalt 41 millioner dollar borte – overført til adresser som aldri hadde vært i kontakt med Stake tidligere.

Stake.com var ikke en liten aktør. Det var – og er – den desidert største krypto-gamblingplattformen i verden, med en markedsandel på over 52 prosent og månedlige innskudd på rundt 1,1 milliarder dollar. At selv bransjens gigant kunne rammes så hardt, sendte et tydelig signal til resten av markedet. FBI bekreftet få dager senere at angrepet var utført av Lazarus Group – en hackergruppe knyttet til Nord-Koreas etterretning.

Denne artikkelen rekonstruerer hendelsesforløpet, forklarer hvem Lazarus Group er, vurderer Stake.coms respons, og trekker ut de viktigste lærdommene for alle som bruker krypto-bettingsider.

Tidslinje: fra oppdagelse til FBI-bekreftelse

Klokken 12:48 UTC den 4. september ble den første mistenkelige transaksjonen registrert: 3,9 millioner dollar i Tether overført fra en Stake-kontrollert adresse på Ethereum-nettverket til en ukjent lommebok. I løpet av de neste minuttene fulgte ytterligere overføringer – 6 001 ETH, verdt rundt 9,8 millioner dollar, etterfulgt av mindre beløp i diverse ERC-20-tokens.

On-chain analytikere – først Cyvers, deretter den anerkjente blokkjede-etterforskeren ZachXBT – identifiserte mønsteret i sanntid og varslet offentlig. Stake.com bekreftet angrepet rundt tre timer etter den første transaksjonen, med en uttalelse på X: «Unauthorized transactions were made from Stake’s ETH/BSC hot wallets. We are investigating and will get the wallets up as soon as they’re completely re-secured.»

Samme kveld ble omfanget klart. I tillegg til Ethereum-tapene hadde hackerne tappet rundt 25,6 millioner dollar fra Polygon og Binance Smart Chain. De stjålne midlene ble raskt konvertert til native tokens – ETH, BNB og MATIC – og spredt over titalls mottakeradresser for å vanskeliggjøre sporing.

Den 7. september publiserte FBI en offisiell pressemelding som bekreftet at angrepet var utført av Lazarus Group, også kjent som APT38. FBI identifiserte 40 krypto-adresser der de stjålne midlene befant seg, og advarte kryptobørser mot å prosessere transaksjoner fra disse adressene. Ifølge FBI og analyseselskapet TRM Labs var Lazarus Group ansvarlig for over 200 millioner dollar i kryptotyveri i 2023 alene – inkludert angrep på Alphapo, CoinsPaid og Atomic Wallet.

Stake gjenåpnet innskudd og uttak innen 24 timer etter angrepet. Ingen brukermidler gikk tapt – selskapet dekket tapet fra egne reserver. For en plattform med Stake.coms volum var 41 millioner dollar et håndterbart tap. For en mindre operatør ville det sannsynligvis betydd konkurs.

Analyseselskapet TRM Labs sporet de stjålne midlene gjennom en sofistikert hvitvaskingsprosess. ETH og BSC-midlene ble konvertert til native tokens og parkert i mellomadresser. Polygon-midlene ble brypet via Squid Router til Avalanche, konvertert til wrapped BTC, og deretter overført til Bitcoin-nettverket. Det er et mønster TRM Labs gjenkjente fra tidligere Lazarus-operasjoner – en systematisk, flerstegs prosess designet for å utnytte svakheter i tverr-kjede sporingsverktøy. For vanlige spillere illustrerer det et poeng: selv når midlene er stjålet fra plattformen og ikke direkte fra deg, er konsekvensene av slike angrep reelle og vidtrekkende.

Lazarus Group: Hvem er de?

Lazarus Group er ikke en gjeng kriminelle hackere i en kjeller. Det er en statssponset cyberenhet knyttet til Nord-Koreas etterretningstjeneste, Reconnaissance General Bureau. Gruppen har vært aktiv siden minst 2009 og er koblet til noen av de mest høyprofilerte cyberangrepene i moderne historie – inkludert hacket av Sony Pictures i 2014, WannaCry-ransomware-angrepet i 2017, og en serie kryptotyveri som til sammen utgjør over 2 milliarder dollar over fem år.

Motivasjonen er ikke ideologisk – den er finansiell. Nord-Korea er underlagt omfattende internasjonale sanksjoner som begrenser landets tilgang til det globale finanssystemet. Kryptotyveri har blitt en viktig inntektskilde for regimet, og Lazarus Group er det primære verktøyet for å gjennomføre det. FBI estimerer at gruppen har stjålet over 200 millioner dollar i kryptovaluta i 2023 alene, og over 2 milliarder dollar i løpet av de siste fem årene. Midlene finansierer alt fra atomvåpenprogrammer til regimets daglige drift.

Metodene er sofistikerte. Lazarus Group bruker sosial manipulering – falske jobbintervjuer, kompromitterte open-source prosjekter, og LinkedIn-profiler som utgir seg for å være rekrutterere – for å infiltrere kryptoselskaper innenfra. I juli 2023, kort før Stake-hacket, advarte GitHub om at Lazarus aktivt opprettet falske kontoer for å målrette ansatte i online gambling-firmaer med skadelig programvare.

For krypto-bettere er dette relevant fordi det demonstrerer trussel-nivået. Du beskytter deg ikke mot amatører. De mest sofistikerte angriperne i kryptoverdenen er statssponsede aktører med ressurser, tålmodighet og teknisk kompetanse som overgår de fleste sikkerhetsavdelinger. Stake.coms sikkerhet var ikke dårlig – den ble overvunnet av en motstander med eksepsjonelle kapabiliteter.

Hva Stake gjorde riktig – og hva som sviktet

Stake.coms respons var bemerkelsesverdig effektiv gitt omstendighetene. Selskapet suspenderte alle transaksjoner innen timer, kommuniserte åpent på sosiale medier, og gjenåpnet plattformen innen et døgn. Medgrunnlegger Ed Craven uttalte: «Stake keeps a small portion of its crypto reserves in hot wallets at any given moment for this very reason. All affected wallets should be operational shortly.»

Det som fungerte var selskapets hot wallet-strategi. Ved å holde bare en liten del av totale reserver i internett-tilkoblede lommebøker, begrenset Stake det potensielle tapet. 41 millioner dollar er mye, men det er en brøkdel av selskapets totale reserver – noe som gjorde det mulig å dekke tapet uten å berøre brukernes midler.

Det som sviktet var den private nøkkel-sikkerheten. Angrepet ble mest sannsynlig gjennomført ved at hackerne fikk tilgang til private nøkler for Stake.coms hot wallets – enten gjennom sosial manipulering, kompromittert infrastruktur eller innsidetrues. Det er ikke bekreftet nøyaktig hvordan nøklene ble kompromittert, men det faktum at angriperne kunne signere transaksjoner direkte fra Stake-kontrollerte adresser, peker mot en fundamental svikt i nøkkelforvaltningen.

For bransjen reiste hendelsen et ubehagelig spørsmål: dersom den største og mest ressurssterke operatøren i markedet kan bli hacket for 41 millioner dollar, hva beskytter mindre plattformer med færre sikkerhetsingeniører og svakere infrastruktur? Svaret er: sannsynligvis mindre enn de hevder.

Lærdommer for alle krypto-bettere

Stake.com-hacket er ikke bare en historie om en enkelt plattform. Det er en casestudie i risikoene ved krypto-betting – og i hva du selv kan gjøre for å minimere eksponeringen.

Den første lærdommen er at ingen plattform er hacksikker. Uansett størrelse, lisens eller omdømme – dersom midlene dine ligger i en hot wallet kontrollert av en tredjepart, er de eksponert for angrep. Hold aldri mer på en bettingside enn du aktivt bruker. Sett inn det du trenger for en sesjon, ta ut gevinster etter sesjonen, og oppbevar resten i en lommebok du selv kontrollerer.

Den andre lærdommen er at selskapets respons betyr alt. Stake overlevde fordi de hadde reservene til å dekke tapet og viljen til å gjøre det. En mindre operatør i samme situasjon kunne ha stengt ned, skyldt på hackerne, og latt brukerne sitte igjen med ingenting. Når du velger plattform, vurder ikke bare funksjonalitet og odds – vurder også om operatøren har ressursene og incentivet til å håndtere en krise. Selskapets driftshistorikk, omfanget av operasjonen og åpenheten i kommunikasjonen er signaler som sier mer enn en lisenslogo i bunnteksten.

Den tredje lærdommen er at statlige aktører er en del av trusselbildet. Krypto-bettingsider er ikke bare mål for opportunistiske hackere – de er mål for noen av verdens mest kapable cyberangrepsgrupper. Det er en realitet som verken lisenser fra Curaçao eller markedsføringsløfter om «bank-level security» kan endre. Den eneste sikkerheten du fullt ut kontrollerer, er din egen: din lommebok, din seed phrase, og mengden midler du velger å eksponere.

Den fjerde lærdommen er at phishing-bølgen etter et hack kan være like skadelig som selve hacket. I dagene etter Stake-angrepet dukket det opp hundrevis av falske kontoer på X som tilbød «refusjon» via lenker til phishing-sider. For spillere som allerede var bekymret for midlene sine, var fristelsen til å klikke stor. Noen mistet mer til phishing-svindlerne enn de noen gang hadde hatt på Stake. Leksen er klar: i kjølvannet av et sikkerhetsbrudd, stol bare på informasjon fra plattformens offisielle, verifiserte kanaler. Aldri klikk på lenker i direktemeldinger, og aldri oppgi seed phrase til noen – uansett hva de hevder å representere.

Stake.com-hacket er ikke en historie som skal skremme deg bort fra krypto-betting. Det er en påminnelse om at risiko er reell, at den rammer selv de største, og at din beste forsvarslinje ikke er plattformens sikkerhet – det er dine egne vaner. Sett inn det du trenger. Ta ut det du vinner. Og hold resten utenfor rekkevidde.