Група Лазаря: Найбільш безжальна банда крадіїв криптоактивів у світі?

Конфіденційний звіт ООН розкриває, що північнокорейська хакерська група Lazarus Group минулого року вкрала кошти з криптоактивів біржі, а в березні цього року відмила 1,475 мільярда доларів через одну з віртуальних монета платформ.

Спостерігачі Комітету з санкцій Ради Безпеки ООН розслідують 97 підозрюваних кібератак північнокорейських хакерів на Криптоактиви компаній, що сталися в період з 2017 по 2024 рік, на загальну суму до 3,6 мільярда доларів. Серед них є крадіжка в 147,5 мільйона доларів, що сталася в кінці минулого року в одному з криптовалютних обмінників, ці кошти були відмиті в березні цього року.

У 2022 році США наклали санкції на цю платформу віртуальних валют. Наступного року двох співзасновників платформи звинуватили в допомозі у відмиванні понад 1 мільярда доларів, зокрема, у фінансуванні мережевої злочинної організації Lazarus Group, пов'язаної з Північною Кореєю.

Згідно з дослідженням експерта з криптоактивів, група Lazarus з ініціативи з 2020 року серпня до 2023 року жовтня відмивала 200 мільйонів доларів США криптоактивів у законні гроші.

Протягом тривалого часу групу Lazarus звинувачували у проведенні масованих кібернетичних атак та фінансових злочинів. Їхні цілі розташовані по всьому світу, охоплюючи банківські системи, криптоактиви, урядові установи та приватні підприємства. Далі ми детально проаналізуємо кілька типовим випадків атак, розкриваючи, як група Lazarus успішно реалізовувала ці вражаючі атаки завдяки своїм складним стратегіям та технологічним засобам.

Соціальна інженерія та фішингові атаки групи Lazarus

За повідомленнями європейських ЗМІ, Lazarus раніше націлювався на військові та аерокосмічні компанії в Європі та на Близькому Сході. Вони розміщували фальшиві вакансії на соціальних платформах, щоб спонукати працівників завантажити PDF-файли, що містять шкідливі виконувані файли, для здійснення фішингових атак.

Ці соціальні інженерії та фішингові атаки мають на меті використати психічні маніпуляції, щоб змусити жертв зменшити пильність, виконуючи небезпечні дії, такі як натискання на посилання або завантаження файлів. Їхнє шкідливе програмне забезпечення може націлюватися на вразливості в системах жертв, крадучи чутливу інформацію.

Lazarus також розпочав шестимісячну атаку на одного постачальника послуг з оплати криптоактивами, що призвело до втрат компанії у 37 мільйонів доларів. Протягом усієї атаки вони надсилали інженерам підроблені пропозиції про роботу, здійснювали технічні атаки, такі як розподілена атака відмови в обслуговуванні, і намагалися зламати паролі методом перебору.

CoinBerry, Unibright та інші інциденти з атакою

24 серпня 2020 року гаманець одного з канадських криптоактивів був зламаний.

11 вересня 2020 року команда одного проєкту через витік приватного ключа спричинила несанкціоновані перекази на суму 400 тисяч доларів у кількох гаманцях.

6 жовтня 2020 року, одна криптоактивна платформа через вразливість безпеки несанкціоновано перевела 75 тисяч доларів США монет з холодного гаманця.

На початку 2021 року ці нападницькі кошти були зібрані на одній адресі. Потім зловмисники через численні трансакції та обміни зрештою відправили вкрадені кошти на деякі адреси для виведення.

Засновник платформи взаємного страхування став жертвою хакерської атаки

14 грудня 2020 року засновник однієї платформи взаємодопомоги зазнав хакерської атаки, в результаті якої втратив токени вартістю 8,3 мільйона доларів.

Хакери здійснюють операції з змішування, розподілу та збирання коштів через кілька адрес. Частина коштів перекладається на мережу Біткойн, а потім назад на мережу Ефір, після чого здійснюється змішування через платформи змішування монет, і, нарешті, вони надсилаються на платформу для виведення.

Протягом наступних кількох місяців зловмисники перевели велику кількість USDT на кілька адрес для виведення.

Steadefi та CoinShift хакерська атака

У серпні 2023 року внаслідок двох інцидентів Steadefi та CoinShift викрадені ETH були переведені на певну платформу для змішування монет. Після цього ці кошти були виведені на кілька конкретних адрес.

12 жовтня 2023 року кошти з цих адрес були зосереджені на новій адресі. Через місяць ця адреса почала переводити кошти, врешті-решт через проміжні перекази та обмін, кошти були надіслані на певні адреси для виведення.

Підсумок

Група Лазаря після викрадення криптоактивів в основному використовує крос-чейн операції та змішувачі для замаскування джерела коштів. Після замаскування вони виводять викрадені активи на цільову адресу та відправляють на фіксовану групу адрес для операцій з виведення. Ці викрадені криптоактиви зазвичай зберігаються на певній адресі для виведення, а потім конвертуються в законні гроші через позабіржові торгові послуги.

Перед обличчям постійних масштабних атак групи Lazarus, індустрія Web3 стикається з серйозними викликами безпеки. Відповідні органи постійно стежать за цією хакерською групою та проводять глибоке дослідження її діяльності та методів відмивання грошей, щоб допомогти проектам, регуляторам та правоохоронним органам боротися з такими злочинами та повернути викрадені активи.