Báo cáo của Liên Hợp Quốc vạch trần nhóm Lazarus đã rửa tiền 147,5 triệu USD vào năm 2023.

Gần đây, một báo cáo nội bộ chung đã tiết lộ hoạt động mới nhất của nhóm Hacker Lazarus Group ở Triều Tiên. Được biết, tổ chức này đã rửa 147,5 triệu USD vào tháng 3 năm nay sau khi đánh cắp tiền từ một sàn giao dịch tài sản kỹ thuật số vào năm ngoái.

Các thanh tra của Ủy ban trừng phạt Hội đồng Bảo an Liên Hợp Quốc đang điều tra 97 vụ tấn công mạng nghi ngờ do hacker Triều Tiên nhắm vào các công ty tiền ảo diễn ra từ năm 2017 đến 2024, với số tiền lên tới 3.6 tỷ USD. Trong số đó có vụ tấn công vào một sàn giao dịch tiền ảo vào cuối năm ngoái, gây thiệt hại 147.5 triệu USD, sau đó đã hoàn tất quá trình rửa tiền vào tháng 3 năm nay.

Năm 2022, Mỹ đã áp đặt các biện pháp trừng phạt đối với nền tảng tiền ảo này. Năm sau, hai đồng sáng lập của nền tảng bị cáo buộc đã hỗ trợ rửa tiền hơn 1 tỷ đô la, trong đó có các giao dịch liên quan đến tổ chức tội phạm mạng Lazarus Group của Triều Tiên.

Theo nghiên cứu của các chuyên gia khảo sát tiền ảo, Nhóm Lazarus đã chuyển đổi 200 triệu USD tiền điện tử thành tiền pháp định trong khoảng thời gian từ tháng 8 năm 2020 đến tháng 10 năm 2023.

Lazarus Group từ lâu đã được công nhận là thủ phạm chính của các cuộc tấn công mạng quy mô lớn và tội phạm tài chính trên toàn thế giới. Mục tiêu của họ bao gồm nhiều lĩnh vực khác nhau, bao gồm hệ thống ngân hàng, sàn giao dịch tiền điện tử, cơ quan chính phủ và doanh nghiệp tư nhân. Dưới đây là một cái nhìn sâu sắc về một vài ví dụ điển hình về cách Lazarus Group sử dụng các chiến thuật và phương tiện kỹ thuật tinh vi của mình để thực hiện thành công những cuộc tấn công đáng kinh ngạc này.

Tấn công kỹ thuật xã hội và lừa đảo qua mạng của Nhóm Lazarus

Theo báo chí châu Âu, Lazarus đã từng nhắm mục tiêu vào các công ty quân sự và hàng không vũ trụ ở châu Âu và Trung Đông. Họ đã đăng các quảng cáo tuyển dụng giả trên các nền tảng xã hội, dụ dỗ nhân viên tải xuống các tài liệu PDF chứa tệp thực thi độc hại, từ đó thực hiện các cuộc tấn công lừa đảo.

Cuộc tấn công kỹ thuật xã hội và lừa đảo trực tuyến này nhằm mục đích khai thác sự thao túng tâm lý, khiến nạn nhân lơ là, thực hiện các hành động nguy hiểm như nhấp vào liên kết hoặc tải xuống tệp, do đó đe dọa an toàn hệ thống.

Phần mềm độc hại của họ có khả năng tấn công vào các lỗ hổng trong hệ thống của nạn nhân, đánh cắp thông tin nhạy cảm.

Trong cuộc tấn công kéo dài sáu tháng nhằm vào một nhà cung cấp thanh toán tiền ảo, Lazarus đã áp dụng phương pháp tương tự. Họ đã gửi những cơ hội việc làm giả mạo đến các kỹ sư, đồng thời thực hiện các cuộc tấn công kỹ thuật như từ chối dịch vụ phân tán và cố gắng bẻ khóa mật khẩu, cuối cùng dẫn đến việc nhà cung cấp này mất 37 triệu đô la.

Nhiều sự kiện tấn công sàn giao dịch tiền ảo

Ngày 24 tháng 8 năm 2020, ví của một sàn giao dịch tiền ảo ở Canada bị xâm nhập.

Vào ngày 11 tháng 9 năm 2020, do rò rỉ khóa riêng, đã xảy ra việc chuyển khoản không được phép trị giá 400.000 USD trong nhiều ví do một nhóm dự án kiểm soát.

Ngày 6 tháng 10 năm 2020, một sàn giao dịch tiền ảo đã chuyển nhượng trái phép tài sản kỹ thuật số trị giá 750.000 USD từ ví nóng do lỗ hổng bảo mật.

Các sự kiện tấn công này đã tập hợp tiền vào cùng một địa chỉ vào đầu năm 2021. Sau đó, kẻ tấn công đã gửi số tiền bị đánh cắp tới một số địa chỉ rút tiền thông qua nhiều lần chuyển và đổi.

Người sáng lập một nền tảng bảo hiểm tương trợ bị Hacker tấn công

Ngày 14 tháng 12 năm 2020, tài khoản cá nhân của người sáng lập một nền tảng bảo hiểm tương trợ đã bị đánh cắp 370.000 NXM (khoảng 8,3 triệu USD).

Quỹ bị đánh cắp đã được chuyển giữa nhiều địa chỉ và đổi thành tài sản khác. Nhóm Lazarus đã thực hiện các hoạt động như làm rối tiền, phân tán và tập hợp quỹ thông qua các địa chỉ này. Một phần quỹ đã được chuyển qua chuỗi sang mạng Bitcoin, sau đó quay trở lại mạng Ethereum, và sau đó được làm rối thông qua nền tảng trộn coin, cuối cùng được gửi đến nền tảng rút tiền.

Từ ngày 16 đến 20 tháng 12 năm 2020, một trong những địa chỉ liên quan đã gửi hơn 2500ETH đến một sàn giao dịch trộn coin. Vài giờ sau, một địa chỉ liên quan khác bắt đầu thực hiện các giao dịch rút tiền.

Hacker thông qua nhiều lần chuyển nhượng và đổi coin, đã chuyển một phần vốn đến địa chỉ rút tiền đã sử dụng trong sự kiện trước đó.

Từ tháng 5 đến tháng 7 năm 2021, kẻ tấn công đã chuyển 11 triệu USDT vào địa chỉ gửi tiền của một sàn giao dịch.

Từ tháng 2 đến tháng 3 và từ tháng 4 đến tháng 6 năm 2023, kẻ tấn công đã gửi lần lượt 2,77 triệu USDT và 8,4 triệu USDT đến các địa chỉ gửi tiền của các nền tảng rút tiền khác nhau thông qua địa chỉ trung gian.

Phân tích sự kiện tấn công mới nhất

Vào tháng 8 năm 2023, trong hai sự kiện tấn công của Hacker khác nhau, lần lượt có 624 và 900 ETH bị đánh cắp đã được chuyển đến một nền tảng trộn coin.

Sau khi chuyển ETH đến nền tảng trộn coin, tiền đã ngay lập tức bị rút về nhiều địa chỉ mới. Vào ngày 12 tháng 10 năm 2023, tiền từ những địa chỉ này lại được tập trung chuyển đến một địa chỉ mới.

Tháng 11 năm 2023, địa chỉ này bắt đầu chuyển tiền, cuối cùng thông qua việc chuyển tiếp và đổi tiền, đã gửi tiền đến nhiều địa chỉ gửi tiền của các sàn giao dịch.

tóm tắt

Nhóm Lazarus sau khi đánh cắp tài sản kỹ thuật số, chủ yếu thực hiện việc làm mờ nguồn tiền thông qua các hoạt động chuỗi chéo và sử dụng máy trộn coin. Sau khi làm mờ, họ sẽ rút tài sản bị đánh cắp đến địa chỉ mục tiêu và gửi đến một số địa chỉ cố định để thực hiện các giao dịch rút tiền. Tài sản kỹ thuật số bị đánh cắp thường được gửi vào địa chỉ gửi tiền của các nền tảng rút tiền cụ thể, sau đó được đổi thành tiền tệ pháp định thông qua dịch vụ giao dịch ngoài sàn.

Đối mặt với các cuộc tấn công liên tục và quy mô lớn của nhóm Lazarus, ngành Web3 đang phải đối mặt với những thách thức an ninh nghiêm trọng. Các bên trong ngành cần tăng cường hợp tác, không ngừng nâng cao khả năng bảo vệ an ninh để ứng phó với các hành vi tội phạm mạng phức tạp như vậy.