Аналіз методів відмивання грошей хакерської організації Північної Кореї Lazarus Group

Нещодавно один конфіденційний звіт ООН привернув широку увагу. Звіт показує, що хакерська група Lazarus Group торік вкрала кошти з однієї криптовалютної біржі, а в березні цього року відмила 147,5 мільйона доларів через певну віртуальну валютну платформу.

Спостерігачі Комітету санкцій Ради Безпеки ООН розслідують 97 підозрюваних кібератак північнокорейських хакерів на криптовалютні компанії, що відбулися в період з 2017 по 2024 рік, на загальну суму до 3,6 мільярда доларів. Серед них - крадіжка в 147,5 мільйона доларів, що сталася в кінці минулого року на одному з криптовалютних бірж, яка була відмина грошей в березні цього року.

Варто зазначити, що одна з платформ для обміну криптовалют зазнала санкцій у 2022 році, а наступного року двох її співзасновників звинуватили в допомозі у відмиванні грошей на суму понад 1 мільярд доларів, зокрема виведення коштів, пов’язаних з групою Lazarus.

Згідно з опитуванням криптовалютних аналітиків, група Lazarus протягом періоду з серпня 2020 року по жовтень 2023 року конвертувала криптовалюту на суму 200 мільйонів доларів у фіатну валюту.

Група Лазаря давно вважається за лаштунками масових кібератак і фінансових злочинів у глобальному масштабі. Їхні атаки націлені на різні сфери, включаючи банківські системи, криптовалютні біржі, урядові установи та приватні підприємства.

Методи атаки групи Lazarus

Соціальна інженерія та фішинг-атаки

Група Лазаря нещодавно використовувала фальшиві вакансії, розміщені на соціальних медіа, щоб заманити працівників цільових компаній. Вони вимагали від кандидатів завантажити PDF-файли з шкідливим кодом, що призвело до фішингових атак. Цей метод використовувався проти військових та аерокосмічних компаній в Європі та на Близькому Сході.

Протягом шести місяців тривала операція, в якій група Lazarus атакувала одного з постачальників криптовалютних платежів, що призвело до втрати 37 мільйонів доларів. Зловмисники не лише надсилали інженерам фальшиві вакансії, але й проводили технічні атаки, такі як розподілена атака на відмову в обслуговуванні, а також намагалися зламати паролі методом грубої сили.

Багато випадків атак на криптовалютні біржі

З серпня по жовтень 2020 року кілька платформ, пов'язаних з криптовалютами, зазнали атак:

• 24 серпня з гаманця однієї канадської криптовалютної біржі вкрали кошти.
• 11 вересня певний проект через витік приватного ключа призвів до незаконного переведення 400 000 доларів.
• 6 жовтня з гарячого гаманця певної платформи було вкрадено 750 000 доларів США криптоактивів.

Ці вкрадені кошти врешті-решт зібралися на одній адресі і в січні 2021 року були відмиті через платформу для змішування. Після численних передач і обміну кошти зрештою були надіслані на певну адресу для виведення.

Сутність особистого великого крадіжки

14 грудня 2020 року засновник певної платформи взаємодопомоги зазнав атаки на особистий гаманець, внаслідок чого було втрачено 370 000 токенів NXM (приблизно 8,3 мільйона доларів США). Хакер через кілька адрес перемістив і обміняв вкрадені кошти, частина з яких навіть пройшла через міжланкові операції. Врешті-решт, значні суми коштів були переведені на певну адресу для виведення.

Останній випадок атаки

У серпні 2023 року два різних проєкти зазнали хакерських атак, внаслідок яких було вкрадено 1524 монети ETH. Ці вкрадені кошти також пройшли через процес відмивання грошей на міксинговій платформі, в результаті чого вони зібралися на одній адресі і були пізніше переведені на звичайну адресу для виведення.

Відмивання грошей моделі підсумок

Аналізуючи кілька атак групи Lazarus, можна підсумувати їх основні методи відмивання грошей:

1. Кросчейн переказ: переміщення вкрадених активів між різними блокчейнами, що ускладнює відстеження.
2. Використання змішувачів: Широке використання платформ для змішування для затемнення джерел фінансування.
3. Збір коштів: Зосередження відмито грошей на певній адресі.
4. Фіксовані канали виведення: використовуйте кілька фіксованих адрес для остаточних операцій виведення.
5. OTC-торгівля: обмін криптоактивів на фіат через позабіржову торгівлю.

Тривалі атаки групи Lazarus становлять серйозну загрозу для індустрії Web3. Відповідні органи уважно стежать за діями цього Хакера, сподіваючись ефективно протидіяти таким злочинним діям та допомогти жертвам повернути вкрадені активи.