Аналіз крадіжок криптоактивів та відмивання грошей північнокорейською хакерською групою Lazarus Group

Звіт ООН, що має конфіденційний характер, розкриває, що північнокорейська група хакерів Lazarus Group минулого року вкрала кошти з певної криптоактиви біржі, а в березні цього року відмила 147,5 мільйона доларів через певну віртуальну монету платформу.

Спостерігачі Комітету санкцій Ради Безпеки ООН розслідують 97 підозрюваних кібератак північнокорейських хакерів на криптоактиви, що сталися в період з 2017 по 2024 рік, внаслідок яких було вкрадено близько 3,6 мільярда доларів. Ці атаки включають випадок з крадіжкою 147,5 мільйона доларів з певної криптовалютної біржі наприкінці минулого року, які були відмиті в березні цього року.

У 2022 році США запровадили санкції проти цієї платформи віртуальних валют. У наступному році двох її співзасновників звинуватили в сприянні відмиванню грошей на суму понад 1 мільярд доларів, зокрема, у фінансуванні кіберзлочинних організацій, пов'язаних із Північною Кореєю, таких як група Lazarus.

Дослідження детектива криптоактивів показало, що група Lazarus з серпня 2020 року по жовтень 2023 року відмила криптоактиви на суму 200 мільйонів доларів у фіатну валюту.

Група Lazarus вже давно звинувачується у масштабних кібератаках та фінансових злочинах. Їхні цілі поширені по всьому світу і охоплюють кілька галузей, включаючи банківські системи, криптоактиви, державні установи та приватні підприємства.

Методи атаки групи Lazarus

Соціальна інженерія та фішинг-атаки

Група Lazarus неодноразово ставила за мету військові та аерокосмічні компанії в Європі та на Близькому Сході, обманюючи працівників через публікацію фальшивих вакансій у соціальних мережах. Вони вимагали від претендентів завантажити PDF-файл, що містить виконуваний файл, щоб здійснити фішингову атаку.

Ці соціальні інженерії та фішингові атаки використовують психологічні маніпуляції, щоб спонукати жертв знизити пильність і виконати дії, що загрожують безпеці, такі як натискання на посилання або завантаження файлів. Їхнє шкідливе програмне забезпечення може націлюватися на вразливості в системі жертви та красти чутливу інформацію.

Група Lazarus також здійснила шестимісячну атаку на певного постачальника платежів у сфері криптовалют, що призвело до викрадення 37 мільйонів доларів у компанії. Протягом усього процесу вони надсилали інженерам фальшиві вакансії, здійснювали технічні атаки, такі як розподілене відмовлення в обслуговуванні, і намагалися провести брутальну атаку на паролі.

Багато випадків атак на криптоактиви

Група Лазаря причетна до кількох атак на криптоактиви біржі та пов'язані платформи, включаючи:

1. 24 серпня 2020 року в певній канадській криптоактивів біржі був вкрадений гаманець.
2. 11 вересня 2020 року, на одній з платформ через витік приватного ключа було здійснено несанкціонований переказ у 400 тисяч доларів.
3. 6 жовтня 2020 року з гарячого гаманця певної платформи було вкрадено 750 000 доларів США в криптоактивах.

Ці атаки в кінцевому рахунку зібрали кошти на певну адресу і були відмивані через одну з платформ для змішування монет. Зловмисники після кількох переказів і обміну зрештою надіслали кошти на певну адресу депозиту.

Протидія високим атакам на особистість

14 грудня 2020 року засновник однієї платформи взаємодопомоги зазнав нападу хакера, в результаті чого було вкрадено 370 000 NXM (вартість 8,3 мільйона доларів). Нападник шляхом серії адрес перемістив і обміняв кошти, частина коштів була замаскована через кросчейн-операції. Врешті-решт ці кошти також були відправлені на певну адресу депозиту.

Остання атака

У 2023 році група Lazarus знову здійснила атаку на певну платформу DeFi та певний інструмент управління Криптоактивами. Ці вкрадені кошти також пройшли через платформи для відмивання грошей, врешті-решт зібравшись на певну адресу та переведені на фіксовану адресу депозиту.

Відмивання грошей

Спосіб відмивання грошей групи Lazarus в основному включає наступні етапи:

1. Викравши криптоактиви, здійснюйте фінансову маскування через кросчейн-операції та платформи для змішування монет.
2. Вивести зашифровані кошти на цільову адресу.
3. Надішліть кошти на фіксовану групу адрес для проведення виводу.
4. Через OTC-сервіс обміняти криптоактиви на фіатні гроші.

Цей тривалий, масовий напад становить серйозну загрозу безпеці індустрії Web3. Відповідні установи постійно стежать за динамікою цієї хакерської групи та намагаються відстежити їхні способи відмивання грошей, щоб допомогти сторонам проекту, регуляторам та правоохоронним органам боротися з такими злочинами та повернути вкрадені активи.