Аналіз діяльності північнокорейської хакерської організації Lazarus Group та їхніх методів відмивання грошей криптоактивів

Звіт ООН, що засекречений, розкриває, що північнокорейська хакерська група Lazarus Group у березні 2023 року відмила 147,5 мільйона доларів через платформу криптоактивів, і ці кошти походять з крадіжки, що сталася минулого року в одній з криптоактивів бірж.

Спостерігачі Комітету з санкцій Ради Безпеки ООН розслідують 97 підозрілих кібератак північнокорейських хакерів на компанії з криптоактивів, що відбулися з 2017 по 2024 рік, на загальну суму приблизно 3,6 мільярда доларів США. Серед них є крадіжка в 147,5 мільйона доларів, що сталася в кінці минулого року з одного з криптоактивних обмінників, які кошти були відмито в березні цього року.

У 2022 році США наклали санкції на певну службу змішування віртуальних криптоактивів. Наступного року двох співзасновників цієї служби звинуватили в допомозі у відмиванні грошей на суму понад 1 мільярд доларів, включаючи кошти, пов'язані з кіберзлочинною організацією Північної Кореї Lazarus Group.

Опитування, проведене аналітиком криптоактивів, показало, що група Lazarus конвертувала криптоактиви на суму 200 мільйонів доларів у фіатні гроші в період з серпня 2020 року по жовтень 2023 року.

Група Lazarus довгий час звинувачується у проведенні масових кібернападів та фінансових злочинів, її цілі розташовані по всьому світу, включаючи банківські системи, криптоактиви, державні установи та приватні підприємства. Нижче буде проаналізовано кілька типових випадків, що розкривають методи роботи цієї організації.

Соціальна інженерія та фішингові атаки групи Lazarus

Група Лазаря раніше націлювалася на військові та аерокосмічні компанії в Європі та на Близькому Сході. Вони публікували фальшиві вакансії на соціальних платформах, щоб спокусити шукачів роботи завантажити PDF-файли з шкідливими програмами, тим самим здійснюючи фішинг-атаки.

Цей тип атаки використовує психологічну маніпуляцію, щоб спонукати жертв знизити пильність і виконати небезпечні дії, такі як натискання на посилання або завантаження файлів, що ставить під загрозу безпеку системи. Їхнє шкідливе програмне забезпечення може використовувати вразливості в системі жертви для викрадення чутливої інформації.

Протягом шести місяців атаки на певного постачальника послуг криптоактивів група Lazarus використовувала подібні методи, що призвело до втрати компанії 37 мільйонів доларів. Вони надсилали інженерам фальшиві вакансії, одночасно здійснюючи технічні атаки, такі як розподілена атака з відмовою в обслуговуванні, і намагалися зламати паролі методом грубої сили.

Багато випадків атак на криптоактиви

З серпня по жовтень 2020 року кілька криптоактивів бірж і проектів зазнали атаки, включаючи одну канадську біржу, один блокчейн-проект та одну платформу управління криптоактивами. Ці атаки призвели до викрадення десятків тисяч доларів у криптоактивах.

Зловмисники збирають викрадені кошти на певну адресу, а потім проводять їх через певний змішувальний сервіс для відмивання грошей. У січні 2021 року зловмисники протягом кількох днів поповнили та зняли тисячі ефіріумів. Після численних передач і обмінів ці кошти врешті-решт зібралися на адресі інших безпечних подій і були надіслані на певну адресу депозиту.

Засновник певної платформи взаємодопомоги став жертвою хакерської атаки

У грудні 2020 року особистий рахунок засновника одного з платформ взаємодопомоги було вкрадено, завдавши збитків приблизно на 8,3 мільйона доларів США у токенах платформи. Зловмисники здійснили операції з обфускації, розподілу та консолідації коштів через ряд адрес.

Частина коштів переказується через крос-ланцюг до біткоїн-мережі, а потім назад до мережі ефіріум, після чого через платформу змішування відбувається їх приховування, а наостанок вони надсилаються на платформу виведення. У середині грудня 2020 року зловмисник надіслав велику кількість ефірів до певної змішувальної служби, а через кілька годин почав операції з виведення.

З травня по липень 2021 року зловмисники перевели 11 мільйонів USDT на депозитну адресу певної торгової платформи. З лютого по червень 2023 року зловмисники знову через певну адресу поетапно надіслали загалом 11,17 мільйона USDT на дві різні депозитні адреси.

Нещодавні атаки на DeFi проекти

У серпні 2023 року два проекти DeFi зазнали атаки, унаслідок чого було втрачено близько 1500 ефірів. Зловмисники перенесли ці викрадені кошти на певний змішувальний сервіс. Потім кошти були виведені на кілька проміжних адрес, врешті-решт зібравшись на єдиній адресі.

У листопаді 2023 року ці кошти почали переміщуватися, через проміжні транзакції та обміни, врешті-решт надіслані на конкретну адресу депозиту.

Підсумок

Модель відмивання грошей групи Lazarus демонструє певну закономірність: після крадіжки криптоактивів вони зазвичай використовують крос-ланцюгові операції та змішані сервіси для приховування джерела коштів. Після приховування кошти виводяться на цільову адресу і надсилаються до фіксованої групи адрес для операцій з виведення. Викрадені криптоактиви в основному зберігаються на певній адресі депозиту, а потім обмінюються на фіатні гроші через позабіржові торгові послуги.

Перед обличчям безперервних масштабних атак групи Lazarus, індустрія Web3 стикається з серйозними викликами безпеки. Відповідні установи продовжують відстежувати динаміку цього хакера та методи відмивання грошей, щоб допомогти проектам, регуляторам і правоохоронним органам боротися з такими злочинами та повернути вкрадені активи.