Lazarus Group: O grupo de roubo de Ativos de criptografia mais audacioso do mundo?

Um relatório confidencial das Nações Unidas revelou que o grupo de hackers Lazarus, da Coreia do Norte, lavou 147,5 milhões de dólares em março deste ano através de uma plataforma de moeda virtual, após ter roubado fundos de uma bolsa de Ativos de criptografia no ano passado.

Os inspetores do Comitê de Sanções do Conselho de Segurança da ONU estão investigando 97 ataques cibernéticos suspeitos de hackers norte-coreanos contra empresas de Ativos de criptografia que ocorreram entre 2017 e 2024, envolvendo um montante de até 3,6 bilhões de dólares. Isso inclui um roubo de 147,5 milhões de dólares que ocorreu no final do ano passado em uma certa bolsa de Ativos de criptografia, que foi lavado em março deste ano.

Em 2022, os Estados Unidos impuseram sanções à plataforma de ativos de criptografia virtual. No ano seguinte, dois cofundadores da plataforma foram acusados de ajudar a lavar mais de 1 bilhão de dólares, incluindo fundos relacionados ao grupo de cibercriminosos Lazarus Group, vinculado à Coreia do Norte.

De acordo com a pesquisa de um especialista em Ativos de criptografia, o Lazarus Group lavou 200 milhões de dólares em Ativos de criptografia para moeda fiduciária entre agosto de 2020 e outubro de 2023.

O Lazarus Group tem sido acusado há muito tempo de realizar ataques cibernéticos em larga escala e crimes financeiros. Seus alvos estão espalhados pelo mundo, abrangendo vários setores, incluindo sistemas bancários, Ativos de criptografia, agências governamentais e empresas privadas. A seguir, vamos analisar detalhadamente alguns casos típicos de ataque, revelando como o Lazarus Group conseguiu implementar esses ataques impressionantes através de suas estratégias complexas e métodos técnicos.

Engenharia social e ataques de phishing do Grupo Lazarus

De acordo com a mídia europeia, o Lazarus tinha como alvo empresas de defesa e aeroespaciais na Europa e no Oriente Médio. Eles publicaram anúncios de emprego falsos em plataformas sociais para enganar os funcionários a baixarem PDFs contendo arquivos executáveis maliciosos, realizando assim ataques de phishing.

Esses ataques de engenharia social e phishing visam explorar a manipulação psicológica, levando as vítimas a baixar a guarda e a realizar ações perigosas, como clicar em links ou baixar arquivos. Seu malware é capaz de explorar vulnerabilidades nos sistemas das vítimas para roubar informações sensíveis.

Lazarus também lançou um ataque de seis meses a um fornecedor de pagamentos de Ativos de criptografia, resultando em perdas de 37 milhões de dólares. Durante todo o ataque, enviaram oportunidades de trabalho falsas aos engenheiros, realizaram ataques técnicos como negação de serviço distribuída e tentaram quebrar senhas por força bruta.

Ataques no CoinBerry, Unibright e outros eventos

No dia 24 de agosto de 2020, a carteira de uma certa troca de ativos de criptografia no Canadá foi invadida.

No dia 11 de setembro de 2020, uma equipe de projeto sofreu uma violação de segurança com a divulgação de chaves privadas, resultando em transferências não autorizadas de 400.000 dólares em várias carteiras.

No dia 6 de outubro de 2020, uma plataforma de Ativos de criptografia transferiu, devido a uma vulnerabilidade de segurança, ativos de criptografia no valor de 750.000 dólares da sua carteira quente sem autorização.

No início de 2021, os fundos provenientes desses ataques foram agrupados em um único endereço. Em seguida, os atacantes, através de várias transferências e trocas, enviaram finalmente os fundos roubados para alguns endereços de retirada.

Fundador de uma plataforma de seguros de mutualidade atacado por hackers

No dia 14 de dezembro de 2020, o fundador de uma plataforma de seguro mútuo foi alvo de um ataque de hackers, resultando na perda de tokens no valor de 8,3 milhões de dólares.

Os hackers realizam operações de confusão, dispersão e agregação de fundos através de múltiplos endereços. Parte dos fundos é transferida entre cadeias para a rede Bitcoin e, em seguida, retorna à rede Ethereum, depois é confundida através de plataformas de mistura e, finalmente, enviada para plataformas de retirada.

Nos meses seguintes, os atacantes transferiram uma grande quantidade de USDT para vários endereços de retirada.

Ataque de hackers ao Steadefi e CoinShift

Em agosto de 2023, o ETH roubado nos incidentes da Steadefi e CoinShift foi transferido para uma plataforma de mistura. Depois, esses fundos foram retirados para vários endereços específicos.

No dia 12 de outubro de 2023, os fundos desses endereços foram concentrados em um novo endereço. Um mês depois, esse endereço começou a transferir fundos, que foram eventualmente enviados para alguns endereços de retirada através de intermediários e trocas.

Resumo

O Grupo Lazarus, após roubar ativos de criptografia, confunde a origem dos fundos principalmente através de operações inter-chain e do uso de misturadores. Após a confusão, eles retiram os ativos roubados para o endereço de destino e enviam para um grupo de endereços fixos para realizar operações de retirada. Esses ativos de criptografia roubados geralmente são depositados em um endereço de retirada específico e, em seguida, convertidos em moeda fiduciária através de serviços de negociação de balcão.

Diante dos ataques em grande escala contínuos do Lazarus Group, a indústria Web3 enfrenta desafios de segurança severos. As instituições relevantes estão monitorando continuamente esse grupo de hackers e rastreando suas atividades e métodos de lavagem de dinheiro para auxiliar as partes do projeto, autoridades reguladoras e de aplicação da lei a combater esses crimes e recuperar ativos roubados.