Nhóm Lazarus: Băng nhóm trộm cắp tài sản tiền điện tử táo tợn nhất toàn cầu?

Một báo cáo bí mật của Liên Hợp Quốc tiết lộ rằng nhóm hacker Lazarus của Triều Tiên đã đánh cắp tiền từ một sàn giao dịch Tài sản tiền điện tử vào năm ngoái và đã rửa tiền 147.5 triệu USD qua một nền tảng tiền ảo vào tháng 3 năm nay.

Các thanh tra của Ủy ban trừng phạt Hội đồng Bảo an Liên Hợp Quốc đang điều tra 97 vụ tấn công mạng nghi vấn của các hacker Triều Tiên nhắm vào các công ty Tài sản tiền điện tử diễn ra từ năm 2017 đến 2024, với số tiền liên quan lên tới 3,6 tỷ USD. Trong số đó có vụ trộm 147,5 triệu USD xảy ra tại một sàn giao dịch Tài sản tiền điện tử vào cuối năm ngoái, số tiền này sau đó đã hoàn tất quá trình rửa tiền vào tháng 3 năm nay.

Năm 2022, Hoa Kỳ đã áp đặt lệnh trừng phạt đối với nền tảng tài sản tiền điện tử này. Năm tiếp theo, hai đồng sáng lập của nền tảng này đã bị buộc tội hỗ trợ rửa tiền hơn 1 tỷ USD, trong đó có các quỹ liên quan đến tổ chức tội phạm mạng Lazarus Group của Triều Tiên.

Theo nghiên cứu của một chuyên gia điều tra tài sản tiền điện tử, Nhóm Lazarus đã rửa 2 triệu đô la tài sản tiền điện tử thành tiền tệ hợp pháp từ tháng 8 năm 2020 đến tháng 10 năm 2023.

Lazarus Group từ lâu đã bị cáo buộc thực hiện các cuộc tấn công mạng quy mô lớn và tội phạm tài chính. Mục tiêu của họ trải rộng toàn cầu, liên quan đến các hệ thống ngân hàng, các sàn giao dịch Tài sản tiền điện tử, các cơ quan chính phủ và các doanh nghiệp tư nhân. Dưới đây, chúng ta sẽ phân tích chi tiết một số trường hợp tấn công điển hình, tiết lộ cách mà Lazarus Group thực hiện thành công những cuộc tấn công đáng kinh ngạc này thông qua các chiến lược và công nghệ phức tạp.

Tấn công kỹ thuật xã hội và lừa đảo trực tuyến của Nhóm Lazarus

Theo báo chí châu Âu, Lazarus đã nhắm đến các công ty quân sự và hàng không vũ trụ ở châu Âu và Trung Đông. Họ đã đăng quảng cáo tuyển dụng giả trên các nền tảng xã hội, dụ dỗ nhân viên tải xuống các tệp PDF chứa tệp thực thi độc hại, từ đó thực hiện các cuộc tấn công lừa đảo.

Các cuộc tấn công kỹ thuật xã hội và lừa đảo mạng này nhằm khai thác sự thao túng tâm lý, khiến nạn nhân mất cảnh giác và thực hiện các hành vi nguy hiểm như nhấp vào liên kết hoặc tải xuống tệp. Phần mềm độc hại của chúng có khả năng nhắm vào các lỗ hổng trong hệ thống của nạn nhân, đánh cắp thông tin nhạy cảm.

Lazarus còn thực hiện một cuộc tấn công kéo dài sáu tháng đối với một nhà cung cấp dịch vụ thanh toán Tài sản tiền điện tử, gây thiệt hại 37 triệu USD cho công ty này. Trong suốt quá trình tấn công, họ đã gửi cho các kỹ sư cơ hội việc làm giả, thực hiện các cuộc tấn công từ chối dịch vụ phân tán và cố gắng bẻ khóa mật khẩu.

CoinBerry, Unibright và các sự kiện tấn công khác

Ngày 24 tháng 8 năm 2020, ví của một sàn giao dịch Tài sản tiền điện tử ở Canada bị xâm nhập.

Vào ngày 11 tháng 9 năm 2020, một nhóm dự án đã xảy ra việc chuyển khoản không được ủy quyền trị giá 400.000 đô la do rò rỉ khóa riêng.

Vào ngày 6 tháng 10 năm 2020, một nền tảng Tài sản tiền điện tử đã chuyển nhượng trái phép tài sản mã hóa trị giá 750.000 đô la Mỹ từ ví nóng của mình do lỗ hổng bảo mật.

Đầu năm 2021, các sự kiện tấn công này đã tập trung tài chính vào cùng một địa chỉ. Sau đó, kẻ tấn công thông qua nhiều lần chuyển và đổi, cuối cùng đã gửi số tiền bị đánh cắp đến một số địa chỉ rút tiền.

Người sáng lập một nền tảng bảo hiểm tương trợ bị tấn công bởi hacker

Vào ngày 14 tháng 12 năm 2020, người sáng lập một nền tảng bảo hiểm hỗ trợ đã bị tấn công bởi hacker, mất 830 triệu đô la giá trị mã thông báo.

Tin tặc thực hiện các hoạt động làm mờ, phân tán và tập hợp tài sản thông qua nhiều địa chỉ. Một phần tài sản được chuyển chéo sang mạng Bitcoin, sau đó lại chuyển chéo về mạng Ethereum, rồi được làm mờ thông qua nền tảng trộn coin, và cuối cùng được gửi đến nền tảng rút tiền.

Trong vài tháng tiếp theo, kẻ tấn công đã chuyển một lượng lớn USDT vào nhiều địa chỉ rút tiền.

Cuộc tấn công của Steadefi và CoinShift

Vào tháng 8 năm 2023, ETH bị đánh cắp trong hai sự kiện Steadefi và CoinShift đã được chuyển đến một nền tảng tráo đổi. Sau đó, các quỹ này đã được rút về một số địa chỉ cụ thể.

Vào ngày 12 tháng 10 năm 2023, số tiền từ những địa chỉ này đã được tập trung vào một địa chỉ mới. Một tháng sau, địa chỉ này bắt đầu chuyển tiền, cuối cùng thông qua việc trung chuyển và đổi, đã gửi tiền đến một số địa chỉ rút tiền.

Tóm tắt

Nhóm Lazarus sau khi đánh cắp Tài sản tiền điện tử, chủ yếu thông qua các hoạt động cross-chain và sử dụng mixer để làm mờ nguồn gốc của các quỹ. Sau khi được làm mờ, họ sẽ rút các tài sản bị đánh cắp đến địa chỉ mục tiêu và gửi đến một nhóm địa chỉ cố định để thực hiện thao tác rút tiền. Những Tài sản tiền điện tử bị đánh cắp này thường được gửi vào các địa chỉ rút tiền cụ thể, sau đó được chuyển đổi thành tiền tệ hợp pháp thông qua các dịch vụ giao dịch OTC.

Đối mặt với những cuộc tấn công quy mô lớn liên tục của Nhóm Lazarus, ngành Web3 đang phải đối mặt với những thách thức nghiêm trọng về an ninh. Các cơ quan liên quan đang tiếp tục theo dõi nhóm hacker này và theo dõi sâu về các hoạt động cũng như thủ đoạn rửa tiền của họ, nhằm hỗ trợ các bên dự án, cơ quan quản lý và các cơ quan thực thi pháp luật trong việc chống lại những tội phạm này và phục hồi tài sản bị đánh cắp.