Аналіз крадіжки та відмивання грошей криптоактивів хакерською організацією Північної Кореї Lazarus Group

Останнім часом конфіденційний звіт ООН розкрив останні дії північнокорейської хакерської групи Lazarus Group. Ця організація минулого року вкрала кошти з однієї криптоактиви біржі, а в березні цього року відмила 147,5 мільйона доларів через певну віртуальну монету платформу.

Спостерігачі Комітету санкцій Ради Безпеки ООН розслідують 97 підозрюваних кібератак північнокорейських хакерів на криптоактиви компаній, що відбулися в період з 2017 по 2024 рік, з сумою, що досягає 3,6 мільярда доларів. Серед них – вкрадена сума в 147,5 мільйона доларів у криптообміннику наприкінці минулого року, яка потім пройшла процес відмивання грошей в березні цього року.

Варто зазначити, що уряд певної країни у 2022 році наклав санкції на цю платформу віртуальних монет. У 2023 році двоє співзасновників цієї платформи були звинувачені в допомозі у відмиванні грошей на суму понад 1 мільярд доларів, зокрема, у фінансуванні злочинних організацій у кіберпросторі, пов'язаних із Північною Кореєю, таких як група Lazarus.

Згідно з дослідженням одного з криптоактивів, група Lazarus успішно конвертувала криптоактиви на суму 200 мільйонів доларів у фіатні гроші в період з серпня 2020 року по жовтень 2023 року.

Група Лазаря протягом тривалого часу звинувачується у проведенні масованих кібернетичних атак та фінансових злочинах. Їхні цілі поширюються по всьому світу і охоплюють численні сфери, такі як банківські системи, криптоактиви, урядові установи та приватні підприємства.

Метод атаки групи Lazarus

Соціальна інженерія та фішингові атаки

Група Lazarus раніше націлювалася на військові та аерокосмічні компанії в Європі та на Близькому Сході. Вони публікували фальшиві вакансії на соціальних платформах, спокушаючи шукачів роботи завантажувати PDF-файли з шкідливими програмами, в результаті чого виконували фішингові атаки.

Ці соціальні інженерні та фішингові атаки використовують психологічну маніпуляцію, щоб спонукати жертв знизити пильність і виконати небезпечні дії, такі як натискання на посилання або завантаження файлів, що ставить під загрозу безпеку системи.

Протягом шести місяців атаки на певного постачальника послуг платежів у сфері криптоактивів група Lazarus використовувала подібні методи, що призвело до викрадення 37 мільйонів доларів США. Протягом усього процесу вони надсилали інженерам фальшиві вакансії, ініціювали атаки типу "відмова в обслуговуванні" та намагалися зламати паролі за допомогою брутфорсу.

Багато випадків атак на криптоактиви бірж

З серпня по жовтень 2020 року група Lazarus здійснила атаки на кілька криптоактивів бірж, включаючи одну канадську біржу, один блокчейн-проект та одну платформу управління криптоактивами, завдавши збитків на мільйони доларів.

Ці вкрадені кошти пройшли через складний процес передачі та змішування, в результаті чого на початку 2021 року вони зібралися на одній адресі. Потім хакер кілька разів вніс та вивів ефір через певний сервіс змішування монет, намагаючись приховати джерело коштів.

До 2023 року ці кошти після численних передач і обміну врешті-решт потрапили до деяких звичних адрес для збору та виведення коштів.

Залежно від особи, високі атаки

У грудні 2020 року засновник одного децентралізованого страхового протоколу став жертвою хакерської атаки, в результаті якої було втрачено криптоактиви на суму 8,3 мільйона доларів. Хакер потім за допомогою серії складних операцій, включаючи кросчейн-передачі, змішування монет і багаторазові перекази, намагався приховати напрямок коштів.

Врешті-решт, частина вкрадених коштів у 2021 та 2023 роках була конвертована в фіатні гроші через різні канали.

Нещодавні випадки атак

У серпні 2023 року група Lazarus знову атакувала два проекти криптоактивів, в результаті чого було вкрадено близько 1500 монет Ethereum. Ці вкрадені кошти також пройшли через складний процес приховування, в результаті чого вони були переведені на деякі специфічні адреси для виведення коштів у період з жовтня по листопад 2023 року.

Підсумок

Методи злочинної діяльності групи Lazarus мають деякі спільні риси: спочатку через соціальну інженерію або технічні засоби отримують криптоактиви, потім використовують змішувальні послуги та складні шляхи переказів, щоб приховати походження коштів, нарешті зосереджують кошти на кількох фіксованих адресах для операцій з виведення. Вони в основному використовують певні специфічні платформи обміну криптовалют для конвертації вкрадених активів у законні гроші.

Стикаючись з безперервними та масштабними атаками групи Lazarus, індустрія Web3 стикається з серйозними викликами безпеки. Відповідні органи безпеки постійно стежать за динамікою цього хакерського угруповання та глибоко аналізують їхні методи відмивання грошей, щоб допомогти проектам, регуляторам та правоохоронним органам боротися з такими злочинами та повернути вкрадені активи.