Lên kế hoạch 5 vụ tấn công trong 3 tháng, nhóm hacker Lazarus của Triều Tiên nhắm vào các tổ chức tập trung

Đọc bài viết này mất 13 phút

Kể từ năm ngoái, họ đã chuyển trọng tâm từ dịch vụ phi tập trung sang dịch vụ tập trung

Tiêu đề gốc "Trong 100 ngày, nhóm hacker Lazarus của Triều Tiên đã "kiếm được" 300 triệu đô la Mỹ và nhắm mục tiêu vào các tổ chức tập trung"

Tác giả gốc: Elliptic

Bản tổng hợp gốc: Foresight News

Nhóm hacker Lazarus của Triều Tiên dường như đã tăng cường hoạt động gần đây. Nhóm này đã xác nhận 4 cuộc tấn công nhằm vào các công ty tiền điện tử kể từ ngày 3 tháng 6 và cuộc tấn công gần đây vào sàn giao dịch tiền điện tử CoinEx cũng có thể được thực hiện bởi Lazarus. Đáp lại, CoinEx đã xuất bản nhiều tweet cho biết các địa chỉ ví đáng ngờ. Nó vẫn đang được xác định , vì vậy tổng giá trị số tiền bị đánh cắp vẫn chưa rõ ràng, nhưng nó có thể lên tới 54 triệu USD.

Trong hơn 100 ngày qua, Lazarus đã được xác nhận đã rút khỏi Atomic Wallet ($100 triệu), CoinsPaid ($37,3 triệu), Alphapo ($60 triệu) và Stake.com (41 triệu USD), đã đánh cắp tài sản tiền điện tử trị giá gần 240 triệu USD.

Như được hiển thị trong hình trên, Elliptic đã phân tích phần bị đánh cắp từ Quỹ CoinEx đã được gửi đến địa chỉ được tổ chức Lazarus sử dụng để lưu trữ số tiền bị đánh cắp từ Stake.com, mặc dù trên một blockchain khác. Sau đó, số tiền này đã được liên kết chéo với Ethereum thông qua một cầu nối chuỗi chéo được Lazarus sử dụng trước đây và sau đó được gửi trở lại một địa chỉ được cho là do tin tặc CoinEx kiểm soát. Elliptic đã quan sát thấy sự kết hợp tiền này từ các tin tặc khác nhau trước đây trong sự cố Lazarus, gần đây nhất là khi số tiền bị đánh cắp từ Stake.com được trộn lẫn với số tiền bị đánh cắp từ ví Atomic. Những trường hợp tiền từ các tin tặc khác nhau được kết hợp lại được hiển thị bằng màu cam trong hình ảnh bên dưới.

Hơn 100 ngày Năm cuộc tấn công đã được thực hiện

Vào năm 2022, một số vụ hack nổi tiếng được cho là do Lazarus thực hiện, bao gồm Cầu Horizon của Harmony bị tấn công và Cầu Ronin của Axie Infinity đã bị tấn công, cả hai sự cố đều xảy ra vào nửa đầu năm ngoái. Từ đó đến tháng 6 năm nay, không có vụ trộm tiền điện tử lớn nào được công khai quy cho Lazarus. Do đó, nhiều cuộc tấn công mạng khác nhau trong khoảng 100 ngày qua cho thấy các nhóm hack Triều Tiên đang hoạt động trở lại.

Vào ngày 3 tháng 6 năm 2023, người dùng ví tiền điện tử phi tập trung không giám sát Atomic Wallet đã mất hơn 100 triệu USD. Elliptic chính thức chỉ định vụ hack vào ngày 6 tháng 6 năm 2023, sau khi xác định nhiều yếu tố chỉ ra rằng một nhóm hack Triều Tiên phải chịu trách nhiệmđổ lỗi cho Lazarus, sau đó được FBI thu được )đã xác nhận .

Vào ngày 22 tháng 7 năm 2023, Lazarus đã có được quyền truy cập vào ví nóng thuộc nền tảng thanh toán tiền điện tử CoinsPaid thông qua một cuộc tấn công kỹ thuật xã hội. Quyền truy cập này cho phép kẻ tấn công tạo yêu cầu ủy quyền để rút khoảng 37,3 triệu đô la tài sản tiền điện tử từ ví nóng của nền tảng. Vào ngày 26 tháng 7, CoinsPaid đã phát hành Báo cáo cho biết Lazarus chịu trách nhiệm về vụ tấn công mà FBI đã thu đượcxác nhận.

Cùng ngày 22 tháng 7, Lazarus đã tiến hành một cuộc tấn công khác, lần này nhắm vào nhà cung cấp thanh toán tiền điện tử tập trung Alphapo, đánh cắp 60 triệu đô la tài sản tiền điện tử. Kẻ tấn công có thể đã giành được quyền truy cập thông qua khóa riêng bị rò rỉ trước đó. FBI kể từ đó Lazarus được xác nhận là kẻ tấn công trong vụ việc này.

Vào ngày 4 tháng 9 năm 2023, nền tảng cờ bạc tiền điện tử trực tuyến Stake.com đã bị tấn công và tiền điện tử trị giá khoảng 41 triệu đô la Mỹ đã bị đánh cắp. Khóa riêng tư có thể có Bị đánh cắp. FBI công bố vào ngày 6 tháng 9 Thông báo, xác nhận rằng tổ chức Lazarus đứng sau vụ tấn công.

Cuối cùng, vào ngày 12 tháng 9 năm 2023, sàn giao dịch tiền điện tử tập trung CoinEx trở thành nạn nhân của một cuộc tấn công của hacker và 54 triệu USD đã bị đánh cắp. Như đã đề cập ở trên, nhiều bằng chứng cho thấy Lazarus phải chịu trách nhiệm về cuộc tấn công này.

Lazarus thay đổi "chiến thuật" của mình?

Phân tích hoạt động mới nhất của Lazarus cho thấy kể từ năm ngoái, họ đã chuyển trọng tâm từ các dịch vụ phi tập trung sang các dịch vụ tập trung. Bốn trong số năm vụ hack gần đây đã thảo luận về các nhà cung cấp dịch vụ tài sản tiền điện tử tập trung được nhắm mục tiêu trước đó. Trước năm 2020, trước sự trỗi dậy nhanh chóng của hệ sinh thái DeFi, các sàn giao dịch tập trung là mục tiêu chính của Lazarus.

Có một số lời giải thích có thể giải thích tại sao sự chú ý của Lazarus lại một lần nữa chuyển sang các dịch vụ tập trung.

Tập trung nhiều hơn vào bảo mật: Báo cáo trước đây của Elliptic về các vụ hack DeFi năm 2022 Nghiên cứu phát hiện ra rằng một cuộc tấn công sẽ xảy ra trung bình bốn ngày một lần vào năm 2022, với trung bình 3260 bị đánh cắp mỗi cuộc tấn công Mười nghìn đô la Mỹ. Cầu nối chuỗi chéo đã trở thành một trong những loại giao thức DeFi bị hack nhiều nhất vào năm 2022. Những xu hướng này có thể đã thúc đẩy những cải tiến trong các tiêu chuẩn phát triển và kiểm toán hợp đồng thông minh, thu hẹp phạm vi để tin tặc xác định và khai thác các lỗ hổng.

Dễ bị tấn công bằng kỹ thuật xã hội: Trong nhiều cuộc tấn công hack, phương pháp tấn công được Nhóm Lazarus lựa chọn là kỹ thuật xã hội. Ví dụ: vụ hack Ronin Bridge trị giá 540 triệu USD là "Gap" được xác định thông qua cơ hội việc làm giả trên LinkedIn. Tuy nhiên, các dịch vụ phi tập trung có xu hướng không có nhiều nhân viên và – như tên gọi của nó – được phân cấp ở các mức độ khác nhau. Do đó, việc giành được quyền truy cập độc hại cho nhà phát triển có thể không nhất thiết tương đương với việc giành được quyền truy cập quản trị vào hợp đồng thông minh.

Đồng thời, các sàn giao dịch tập trung có thể sử dụng lực lượng lao động tương đối lớn hơn, từ đó mở rộng phạm vi mục tiêu có thể có. Chúng cũng có thể hoạt động bằng cách sử dụng các hệ thống công nghệ thông tin nội bộ, tập trung, tạo cơ hội cho phần mềm độc hại Lazarus xâm nhập vào doanh nghiệp.