Báo cáo của Liên Hợp Quốc phơi bày việc Hacker của Triều Tiên Rửa tiền 1.475 triệu USD, phương pháp tấn công của Lazarus Group bị lộ.

Một báo cáo bí mật của Liên Hợp Quốc đã tiết lộ những hoạt động mới nhất của băng nhóm hacker Lazarus Group của Triều Tiên. Được biết, tổ chức này đã rửa tiền 147.5 triệu USD thông qua một nền tảng tiền ảo vào tháng 3 năm nay, sau khi đánh cắp tiền từ một sàn giao dịch tiền điện tử vào năm ngoái.

Các thanh tra của Ủy ban trừng phạt Hội đồng Bảo an Liên Hợp Quốc đang điều tra 97 vụ tấn công mạng nghi ngờ của hacker Triều Tiên nhằm vào các công ty Tài sản tiền điện tử xảy ra trong khoảng thời gian từ năm 2017 đến 2024, với tổng số tiền khoảng 3,6 tỷ USD. Trong số đó có vụ tấn công vào một sàn giao dịch Tài sản tiền điện tử vào cuối năm ngoái, dẫn đến việc 147,5 triệu USD bị đánh cắp và đã hoàn tất việc Rửa tiền vào tháng 3 năm nay.

Năm 2022, Mỹ đã áp đặt các biện pháp trừng phạt đối với nền tảng tiền ảo này. Năm 2023, hai nhà đồng sáng lập của nền tảng này đã bị cáo buộc hỗ trợ rửa tiền hơn 1 tỷ đô la, trong đó có các khoản tiền liên quan đến tổ chức tội phạm mạng Lazarus Group có liên quan đến Triều Tiên.

Theo nghiên cứu của các chuyên gia điều tra tài sản tiền điện tử, Nhóm Lazarus đã chuyển đổi 200 triệu USD tài sản tiền điện tử thành tiền tệ hợp pháp trong khoảng thời gian từ tháng 8 năm 2020 đến tháng 10 năm 2023.

Nhóm Lazarus từ lâu đã bị cáo buộc thực hiện các cuộc tấn công mạng quy mô lớn và tội phạm tài chính. Mục tiêu của họ trải rộng toàn cầu, bao gồm hệ thống ngân hàng, sàn giao dịch tiền ảo, cơ quan chính phủ và doanh nghiệp tư nhân. Dưới đây sẽ phân tích một số trường hợp tấn công điển hình, tiết lộ cách Nhóm Lazarus thực hiện các cuộc tấn công này thông qua các chiến lược và phương pháp kỹ thuật phức tạp.

Tấn công kỹ thuật xã hội và lừa đảo trực tuyến của Nhóm Lazarus

Theo các phương tiện truyền thông châu Âu, Lazarus đã nhắm mục tiêu vào các công ty quân sự và hàng không vũ trụ ở châu Âu và Trung Đông. Họ đã đăng quảng cáo tuyển dụng giả trên các nền tảng xã hội, lừa đảo nhân viên tải xuống các file PDF chứa tệp thực thi, từ đó thực hiện các cuộc tấn công lừa đảo.

Các cuộc tấn công kỹ thuật xã hội và lừa đảo qua mạng này lợi dụng sự thao túng tâm lý, khiến nạn nhân mất cảnh giác và thực hiện các hành động nguy hiểm như nhấp vào liên kết hoặc tải xuống tệp. Phần mềm độc hại của chúng có khả năng nhắm tới các lỗ hổng trong hệ thống của nạn nhân và đánh cắp thông tin nhạy cảm.

Lazarus còn thực hiện một cuộc tấn công kéo dài sáu tháng đối với một nhà cung cấp dịch vụ thanh toán mã hóa, dẫn đến việc công ty này bị đánh cắp 37 triệu USD. Trong suốt quá trình tấn công, họ đã gửi cho các kỹ sư những cơ hội việc làm giả, tiến hành các cuộc tấn công từ chối dịch vụ phân tán và cố gắng bẻ khóa mật khẩu.

sự cố tấn công CoinBerry, Unibright

Ngày 24 tháng 8 năm 2020, ví của một sàn giao dịch mã hóa tại Canada đã bị đánh cắp.

Vào ngày 11 tháng 9 năm 2020, Unbright đã xảy ra việc chuyển khoản không được phép trị giá 400.000 đô la Mỹ trong nhiều ví do nhóm kiểm soát do lộ khóa riêng.

Vào ngày 6 tháng 10 năm 2020, một nền tảng tài sản tiền điện tử đã chuyển nhượng trái phép tài sản mã hóa trị giá 750.000 đô la.

Đầu năm 2021, các sự kiện tấn công này đã tập hợp tài chính vào cùng một địa chỉ. Sau đó, kẻ tấn công thông qua nhiều lần chuyển nhượng và đổi tiền, cuối cùng đã gửi số tiền bị đánh cắp đến một số địa chỉ rút tiền.

Người sáng lập một nền tảng hỗ trợ đã bị hacker tấn công

Vào ngày 14 tháng 12 năm 2020, người sáng lập một nền tảng hỗ trợ đã bị đánh cắp 370.000 NXM (khoảng 8,3 triệu USD). Số tiền bị đánh cắp đã được chuyển đổi giữa nhiều địa chỉ và đổi thành các tài sản khác. Nhóm Lazarus đã thực hiện các hoạt động làm mờ, phân tán và tập hợp tài chính thông qua những địa chỉ này.

Một phần vốn được chuyển qua chuỗi đến mạng Bitcoin, sau đó quay lại mạng Ethereum, rồi được làm mờ thông qua nền tảng trộn coin, cuối cùng được gửi đến nền tảng rút tiền.

Từ ngày 16 đến 20 tháng 12 năm 2020, một địa chỉ hacker đã gửi hơn 2500ETH đến một sàn giao dịch trộn coin. Vài giờ sau, một địa chỉ liên quan khác bắt đầu thực hiện các thao tác rút tiền.

Từ tháng 5 đến tháng 7 năm 2021, kẻ tấn công đã chuyển 11 triệu USDT vào một sàn giao dịch.

Từ tháng 2 đến tháng 6 năm 2023, kẻ tấn công đã gửi tổng cộng 11,17 triệu USDT đến nhiều địa chỉ rút tiền thông qua các địa chỉ trung gian.

Steadefi và CoinShift Hacker tấn công

Tháng 8 năm 2023, 624 ETH bị đánh cắp trong sự kiện Steadefi và 900 ETH bị đánh cắp trong sự kiện Coinshift đã được chuyển đến một nền tảng trộn coin.

Sau đó, các khoản tiền này được rút về một số địa chỉ cụ thể. Vào ngày 12 tháng 10 năm 2023, các địa chỉ này sẽ tập hợp các khoản tiền được rút từ nền tảng trộn coin về một địa chỉ mới.

Vào tháng 11 năm 2023, địa chỉ này bắt đầu chuyển tiền, cuối cùng thông qua việc trung chuyển và đổi tiền, đã gửi tiền đến nhiều địa chỉ rút tiền khác nhau.

Tóm tắt sự kiện

Nhóm Lazarus sau khi đánh cắp Tài sản tiền điện tử, chủ yếu thực hiện việc làm mờ tiền thông qua các giao dịch liên chuỗi và sử dụng máy trộn tiền. Sau khi làm mờ, họ sẽ rút tài sản bị đánh cắp đến địa chỉ mục tiêu và gửi đến một nhóm địa chỉ cố định để rút tiền. Tài sản tiền điện tử bị đánh cắp thường được gửi vào địa chỉ rút tiền cụ thể, sau đó được đổi thành tiền pháp định thông qua dịch vụ giao dịch OTC.

Đối mặt với các cuộc tấn công liên tục và quy mô lớn của Nhóm Lazarus, ngành Web3 đang phải đối mặt với những thách thức nghiêm trọng về an ninh. Các cơ quan an ninh đang tiếp tục theo dõi nhóm hacker này, theo dõi động thái và cách thức rửa tiền của họ, nhằm hỗ trợ các dự án, cơ quan quản lý và các cơ quan thực thi pháp luật trong việc chống lại loại tội phạm này và thu hồi tài sản bị đánh cắp.