Організація хакерів Lazarus вкрала 147,5 мільйона доларів, неодноразово атакуючи криптобіржі.

Нещодавно конфіденційний звіт розкрив масові кібератаки північнокорейської хакерської організації Lazarus Group. Після того, як організація в минулому році вкрала кошти з біржі криптоактивів, у березні цього року вона відмила 147,5 мільйона доларів через певну платформу віртуальних грошей.

Слідчі повідомили Комітету з санкцій Ради Безпеки ООН, що вони розслідують 97 підозрілих кібератак північнокорейських хакерів на компанії з віртуальних грошей, що відбулися в період з 2017 по 2024 рік, з загальною сумою близько 3,6 мільярда доларів. Серед них є атака на певну криптобіржу наприкінці минулого року, в результаті якої було вкрадено 147,5 мільйона доларів, і яка завершилася відмиванням грошей у березні цього року.

2022 році США наклали санкції на цю платформу віртуальних грошей. Наступного року двох її співзасновників звинуватили в допомозі у відмиванні грошей на суму понад 1 мільярд доларів, зокрема у зв'язку з кіберзлочинним угрупованням Lazarus Group, пов'язаним із Північною Кореєю.

За даними експерта з аналізу криптоактивів, група Lazarus у період з серпня 2020 року по жовтень 2023 року відмила 200 мільйонів доларів США віртуальних грошей у законну валюту.

Група Лазаря протягом тривалого часу підозрюється у проведенні масштабних кібератак та фінансових злочинів. Їхні цілі поширюються по всьому світу, від банківських систем до бірж віртуальних грошей, від державних установ до приватних підприємств. Нижче будуть проаналізовані кілька типових випадків атак, щоб виявити, як Група Лазаря реалізує ці атаки за допомогою складних стратегій та технічних засобів.

Соціальна інженерія та фішингові атаки групи Lazarus

За повідомленнями, Lazarus колись націлювався на військові та аерокосмічні компанії в Європі та на Близькому Сході, публікуючи у соціальних мережах фальшиві вакансії для обману співробітників. Вони вимагали від претендентів завантажити PDF, що містить виконуваний файл, щоб реалізувати фішингову атаку.

Ці соціальні інженерії та фішинг-атаки використовують психологічну маніпуляцію, щоб спонукати жертв знизити пильність, виконуючи небезпечні дії, такі як натискання на посилання або завантаження файлів, що ставить під загрозу безпеку системи. Їхнє шкідливе програмне забезпечення здатне використовувати вразливості в системах жертв для викрадення чутливої інформації.

Lazarus також використовував подібні методи в шестимісячній кампанії проти певного постачальника криптоактивів, що призвело до крадіжки 37 мільйонів доларів США. Протягом усього процесу вони надсилали інженерам фальшиві вакансії, здійснювали розподілені атаки на відмову в обслуговуванні та намагалися зламати паролі методом перебору.

Багато атак на біржі криптоактивів

24 серпня 2020 року було вкрадено гаманець біржі криптоактивів у Канаді.

11 вересня 2020 року, через витік приватного ключа, у певному блокчейн-проекті сталося несанкціоноване перерахування 400 000 доларів з кількох гаманців, контрольованих командою.

6 жовтня 2020 року гарячий гаманець однієї з криптоактивів бірж був зламаний через вразливість безпеки, в результаті чого були переміщені криптоактиви на суму 750 000 доларів.

На початку 2021 року ці атакуючі події зібрали кошти на одній адресі. Потім зловмисники, через багаторазові перекази та обміни, відправили вкрадені кошти на деякі конкретні адреси.

Засновник певної платформи взаємодопомоги став жертвою хакерської атаки

14 грудня 2020 року засновник одного з платформ взаємодопомоги зазнав нападу Хакера, втративши 370 000 NXM (вартість приблизно 8,3 мільйона доларів США).

Вкрадені кошти переміщуються між кількома адресами та обмінюються на інші активи. Група Lazarus здійснювала операції з відмивання коштів, розподілу та збирання через ці адреси. Частина коштів пройшла через кросчейн у мережу Bitcoin, а потім знову через Ethereum, після чого були замішані через платформу для змішування, і нарешті надіслані на платформу для виведення.

З 16 по 20 грудня 2020 року адреса хакера надіслала понад 2500 ETH на певну платформу для змішування монет. Через кілька годин інша пов'язана адреса розпочала операції з виведення.

Хакер через переміщення та обмін частини коштів переніс їх на адресу виведення коштів, що була пов'язана з попередніми подіями.

З травня по липень 2021 року хакер перевів 11 мільйонів USDT на адресу депозиту певної біржі.

З лютого по березень 2023 року зловмисники надіслали 2,77 мільйона USDT на депозитну адресу певної P2P біржі через спеціальну адресу.

З квітня по червень 2023 року зловмисники знову через ту ж адресу відправили 8 мільйонів USDT на іншу адресу для депозиту.

Аналіз недавніх атак

У серпні 2023 року в результаті двох різних хакерських інцидентів було переведено 1524 монети вкраденого ETH на певну платформу для змішування.

Після переведення ETH на платформу змішування, кошти одразу були переведені на кілька нових адрес. 12 жовтня 2023 року ці кошти були зосереджені на новій адресі.

У листопаді 2023 року ця адреса почала переведення коштів, врешті-решт через проміжні трансакції та обмін, кошти були надіслані на дві конкретні адреси депозиту.

підсумок

Група Лазаря після крадіжки криптоактивів в основному використовує крос-ланцюгові операції та міксери для замаскування коштів. Після замаскування вони виводять вкрадені активи на цільову адресу та надсилають їх до фіксованої групи адрес для виведення. Вкрадені криптоактиви зазвичай зберігаються на певній депозитній адресі, а потім обмінюються на фіатні гроші через позабіржові торгові послуги.

Ці безперервні масові атаки становлять серйозну загрозу безпеці сектору Web3. Відповідні установи уважно стежать за динамікою цього хакерського угруповання та намагаються відстежити їх методи відмивання грошей, щоб допомогти проектам, регуляторам і правоохоронним органам боротися з такими злочинами та повернути вкрадені активи.