Аналіз методів кібератак та відмивання грошей північнокорейської хакерської групи Lazarus Group

Одна з конфіденційних доповідей ООН виявила, що минулого року певна група хакерів вкрала кошти з криптовалютної біржі, а в березні цього року відмила 147,5 мільйона доларів через певну віртуальну валютну платформу.

Дослідники повідомили Раді Безпеки ООН, що вони розслідують 97 випадків кібератак на компанії з криптовалют з 2017 по 2024 рік, з сумою втрат близько 3,6 мільярда доларів. Серед них є випадок крадіжки 147,5 мільйона доларів з однієї криптовалютної біржі наприкінці минулого року, які були відмиті в березні цього року.

У 2022 році США наклали санкції на певну платформу для змішування криптовалют. Наступного року двох співзасновників цієї платформи звинуватили в допомозі у відмиванні грошей на суму понад 1 мільярд доларів, частина яких була пов'язана з певною кіберзлочинною організацією.

Згідно з дослідженням одного з аналітиків криптовалют, цей Хакерський угруповання відмив 200 мільйонів доларів у криптовалюті в готівку з серпня 2020 року по жовтень 2023 року.

Ця хакерська група протягом тривалого часу звинувачується у здійсненні масових кібернападів та фінансових злочинів. Їхні цілі розташовані по всьому світу і охоплюють банківські системи, криптовалютні біржі, урядові установи та приватні підприємства. Нижче ми проаналізуємо кілька типових випадків, щоб виявити, як ця група реалізує ці напади за допомогою складних стратегій та технічних засобів.

Соціальна інженерія та фішинг-атаки

За повідомленнями, цей хакерський загін намагався атакувати військові та аерокосмічні компанії Європи та Близького Сходу. Вони публікували фальшиві оголошення про роботу в соціальних мережах, щоб спонукати працівників завантажувати PDF-файли, які містять шкідливі виконувані файли, таким чином здійснюючи фішинг-атаки.

Цей метод намагається спонукати жертв знизити пильність через психологічні маніпуляції, виконуючи дії, які загрожують безпеці, такі як клікання на посилання або завантаження файлів. Їхнє шкідливе програмне забезпечення здатне використовувати вразливості в системі жертви для викрадення чутливої інформації.

Протягом шести місяців атаки на певного постачальника послуг оплати криптовалютою, хакерська група використовувала схожі методи, що призвело до втрат компанії в 37 мільйонів доларів. Протягом усього процесу вони надсилали інженерам фальшиві вакансії, здійснювали атаки типу "відмова в обслуговуванні" і намагалися зламати паролі методом грубої сили.

Багато випадків атак на криптовалютні біржі

24 серпня 2020 року гаманець одного канадського криптовалютного обмінника зазнав вторгнення.

11 вересня 2020 року, через витік приватного ключа, один проект призвів до несанкціонованого переказу 400 тисяч доларів з кількох гаманців, контрольованих командою.

6 жовтня 2020 року, одна торгова платформа через вразливість безпеки, незаконно була переведена криптоактивів на суму 750 000 доларів США з гарячого гаманця.

На початку 2021 року ці атакуючі події зібрали кошти на одну адресу. Потім зловмисники кілька разів вносили та знімали ефір через певну платформу для змішування, і після кількох переказів та обміну в кінцевому підсумку відправили кошти на певну адресу для виведення.

Засновник певної платформи взаємодопомоги зазнав атаки хакера

14 грудня 2020 року засновник певної платформи взаємодопомоги став жертвою хакерської атаки, внаслідок якої було втрачено 370 000 токенів платформи, що оцінюється приблизно в 8,3 мільйона доларів.

Хакер через кілька адрес переміщує та обмінює вкрадені кошти. Частина коштів через кросчейн переходить до мережі Біткоїн, потім повертається назад до мережі Ефір, після чого обробляється на платформі змішування, і, нарешті, надсилається на платформу виведення.

З 16 по 20 грудня 2020 року одна з адрес хакера надіслала понад 2500 ефірів на одну з платформ для змішування монет. Через кілька годин інша пов'язана адреса почала операції з виведення.

З травня по липень 2021 року зловмисники перевели 11 мільйонів USDT на адреси депозитів певної торгової платформи.

З лютого по червень 2023 року зловмисники через певні адреси відправили понад 11 мільйонів USDT партіями на різні платформи виведення.

Останній аналіз атак

У серпні 2023 року в результаті двох атак хакерів викрадені ефірі були переведені на одну з платформ для змішування монет. Після цього кошти були вилучені на кілька адрес, а врешті-решт зосереджені на одній основній адресі.

У листопаді 2023 року ця основна адреса почала переказувати кошти, через проміжні переводи та обміни, зрештою надсилаючи кошти на певну платформу для виведення.

Підсумок

Ця схема відмивання грошей хакерської групи в основному фіксована: після викрадення криптоактивів, через кросчейн-операції та платформи для змішування монет відбувається плутанина з коштами. Після плутанини, викрадені активи виводяться на цільову адресу та надсилаються на фіксовані адреси для зняття. Викрадені криптоактиви в основному зберігаються на певних платформах для зняття, а потім обмінюються на фіатні гроші через позабіржові торговельні послуги.

Стикаючись із такими постійними та масованими атаками, індустрія Web3 стикається з серйозними викликами безпеки. Відповідні установи продовжують стежити за діями цього Хакера, проводячи глибокий аналіз його поведінкових моделей, щоб допомогти проектам, регуляторам і правоохоронним органам у боротьбі з такими злочинами та поверненні викрадених активів.