Північнокорейські хакери знову атакують! Організація Лазаря вкрала 30,6 мільйона, південнокорейська біржа зазнала втрат втретє.

Північнокорейська всесвітньо відома злочинна група Lazarus підозрюється у плануванні великої атаки на криптоактиви, що призвела до збитків найбільшої біржі криптоактивів Південної Кореї на приблизно 30,6 мільйона доларів. Оператор біржі Dunamu підтвердив, що в четвер було переведено активи, пов'язані з Solana, на суму 44,5 мільярда вон до несанкціонованого Гаманець, і компанія заявила, що використовуватиме свої резерви для повного відшкодування користувачам.

Північна Корея організація Лазаря підозрюється в хакерській атаці на 30,6 мільйона доларів

（джерело：X）

За повідомленням агентства “Ханхап”, з посиланням на урядові та галузеві джерела, є ознаки того, що ця атака може бути пов'язана з тією ж організацією, яка раніше була звинувачена в атаках Lazarus, і влада готується провести перевірку на біржі. Ця організація раніше була пов'язана з крадіжками криптоактивів, метою яких було створення доходу для Пхеньяна в умовах постійного дефіциту валюти. Північна Корея стикається з жорсткими міжнародними санкціями, традиційні канали отримання валюти надзвичайно обмежені, тому крадіжка криптоактивів стала важливим джерелом фінансування.

Оператор найбільшої криптобіржі Південної Кореї Dunamu підтвердив, що в четвер було переведено активи, пов'язані з Solana, на суму 44,5 мільярдів вон в несанкціонований гаманець. Компанія заявила, що використає свої власні резерви для повного відшкодування користувачів, і швидко зупинила виведення та депозит в той час, як розпочала внутрішню перевірку. Ця швидка реакція та обіцянка повного відшкодування демонструє, що Dunamu намагається максимально зменшити шкоду, завдану довірі користувачів унаслідок цього хакерського нападу.

Дослідники заявили, що технології, використані під час цього нападу, дуже схожі на події 2019 року, коли з тієї ж платформи нібито було вкрадено ефір на суму 58 мільярдів вон. Офіційні особи вважають, що хакери могли обійти основну інфраструктуру, видаючи себе за адміністратора або зламавши внутрішній обліковий запис, що дозволило їм авторизувати виведення коштів. Цей метод внутрішньої інфільтрації є дуже типовим для атак Lazarus, що свідчить про глибоке вивчення цільової системи та довгострокову підготовку до інфільтрації.

Безпекові офіцери зазначили, що ці кошти швидко переміщуються через Гаманці, пов'язані з іншими платформами, що свідчить про те, що хтось намагається замаскувати сліди транзакцій, використовуючи методи відмивання коштів, які Lazarus раніше застосовував у своїй діяльності. Один з офіцерів зазначив: «Це їхній звичайний метод, розподілити токени на кількох мережах, щоб ускладнити відстеження.»

памп організації Лазаря типовий режим атаки

Довгострокове проникнення: шляхом соціальної інженерії або атак на ланцюг постачання залишатися в системі протягом місяців або навіть років

Внутрішнє викрадення прав: маскування під адміністратора або злом внутрішнього аккаунту для отримання прав на виведення коштів

Швидкий переказ: швидко перемістіть кошти до кількох Гаманців, поки їх не виявили.

Міжланцюгове відмивання грошей: розподіл токенів по кількох мережах блокчейн для ускладнення відстеження

Послуга змішування монет: використовуйте протоколи змішування, такі як Tornado Cash, для подальшого приховування напрямку коштів.

Аналізатори зазначають, що Lazarus не раз націлювався на помітні платформи криптовалюти, щоб максимізувати вплив і експозицію, що свідчить про те, що ця атака могла бути свідомо спланованою з метою використання високої уваги громадськості. Новини про атаку на найбільшу криптобіржу Південної Кореї мають вкрай високу новинну цінність, і така висока експозиція може бути способом, яким Північна Корея демонструє свої кіберздатності міжнародній спільноті.

Dunamu обіцяє повну компенсацію та зупиняє торгівлю

Оператор найбільшої криптовалютної біржі в Кореї Dunamu підтвердив, що в четвер було переведено активи, пов'язані з Solana, на суму 44,5 мільярда вон (приблизно 30,6 мільйона доларів США) на несанкціонований гаманець. Компанія заявила, що використає свої резерви для повної компенсації користувачів та швидко зупинила виведення та депозит, одночасно запустивши внутрішнє розслідування. Така обіцянка повної компенсації вкрай рідкісна у випадках зламу криптовалютних бірж, що демонструє фінансову спроможність Dunamu та відповідальне ставлення до користувачів.

Зупинка виведення та депозитів є стандартною екстреною мірою, що має на меті запобігти подальшому переміщенню коштів зловмисниками або використанню системних вразливостей. Проте ця зупинка також може створити незручності для нормальних користувачів, які не можуть здійснювати торги або виводити кошти. Dunamu потрібно знайти баланс між безпековим розслідуванням та відновленням нормальної роботи; надто тривалий час зупинки може призвести до втрати користувачів на користь конкурентних платформ.

Повна компенсація, хоча й захищає інтереси користувачів, є величезним фінансовим тягарем для Dunamu. Втрата в 30,6 мільйона доларів США разом із можливими витратами на підвищення безпеки, регуляторними штрафами та шкодою для репутації, загальна вартість може значно перевищити суму безпосередніх втрат. Це також викликало обговорення щодо безпекових резервів біржі та механізмів страхування, чи може одна біржа довгостроково витримати фінансовий вплив подібних атак.

Блокчейн-аналітик відстежував рух вкрадених коштів у соціальних мережах. Невідомий зловмисник викрав кошти з кількох гарячих Гаманців найбільшої криптобіржі Південної Кореї, а потім, через деякий час, почав міжланцюгові перекази коштів. В якийсь момент хакер через мости переказав USDC з одного ланцюга на інший, ця міжланцюгова схема відмивання грошей ускладнила відстеження.

Придбання Naver викликало сумніви через збіг обставин

Того ж дня, коли Naver оголосив про плани придбати Dunamu через обмін акціями, на біржі сталася порушення, що зробило Naver об'єктом національної уваги. Це збіг у часі викликало безліч припущень: чи намагалися хтось зірвати угоду? Чи витекла інформація про вразливість системи від внутрішніх співробітників? Чи це просто випадковість?

Naver, як найбільша інтернет-компанія Південної Кореї, спочатку вважався, що його план придбання Dunamu стане знаковою подією у злитті криптоіндустрії та традиційних технологічних гігантів. Однак, виникнення хакерських атак може вплинути на оцінку придбання та переговори щодо умов. Naver може вимагати зниження ціни на придбання або збільшення безпекових умов, тоді як Dunamu потрібно довести Naver, що воно здатне покращити захист безпеки.

Одночасно, корейський інтернет-гігант Naver, через свою фінансову технологічну компанію Naver Financial, готується запустити гаманець стабільної монети в Пусані, що є частиною постійних зусиль міста з побудови місцевої економіки на основі блокчейну. За повідомленнями, Naver завершила розробку цього гаманця і наразі проводить фінальні перевірки, очікується, що він офіційно запрацює наступного місяця. Цей проект розроблено у співпраці з венчурною компанією Hashed та біржею цифрових активів Пусана (BDAN).

Цей план розширення бізнесу став ще чутливішим після хакерської атаки. Щоб Naver змогла встановити репутацію в сфері шифрування, їй потрібно довести, що вона може забезпечити сильніші заходи безпеки, ніж найбільша біржа криптоактивів у Кореї. Цей інцидент може спонукати Naver провести більш ретельну перевірку безпеки та стрес-тестування перед запуском гаманець стабільних монет.

Південна Корея може знову ввести санкції проти хакерів з Північної Кореї

На початку цього місяця Південна Корея заявила, що після того, як США вжили нових заходів, щоб пов'язати крадіжки криптовалюти з Пхеньяна з фінансуванням його військової програми, Південна Корея може переглянути спосіб санкцій проти Північної Кореї. Другий заступник міністра закордонних справ Кореї Кім Чжі На заявила, що Сеул може «переглянути заходи санкцій у разі реальної необхідності» і підкреслила, що вони тісно координуватимуться з Вашингтоном, щоб протистояти зростаючим кібернетичним і цифровим загрозам з боку Північної Кореї.

Кім зазначив: «Якщо Пхеньян вкраде криптоактиви, координація між Південною Кореєю та США є надзвичайно важливою, оскільки ці криптоактиви можуть бути використані для фінансування ядерних і ракетних програм Північної Кореї та становлять загрозу для нашої цифрової екосистеми». Ця заява виявляє геополітичний вимір атак хакерів з Північної Кореї, що є не лише економічною злочинністю, але й загрозою національній безпеці.

Згідно з оцінками ООН та Міністерства фінансів США, загальна сума криптоактивів, викрадених Північною Кореєю через хакерські атаки, перевищила кілька мільярдів доларів, ці кошти використовуються для уникнення міжнародних санкцій, підтримки роботи режиму та фінансування ядерних і ракетних програм. Група Lazarus, як найбільш елітний кіберпідрозділ Північної Кореї, націлює свої атаки на об'єкти по всьому світу, від бірж криптоактивів до традиційних фінансових установ.

Втрата в розмірі 30,6 мільйона доларів, яку зазнала найбільша криптобіржа Південної Кореї, не є найбільшою в історії атак хакерів з Північної Кореї, але її час, що збігся з оголошенням про плани придбання Naver, а також технічна схожість з подією 2019 року ускладнює розслідування та атрибуцію цього інциденту. Чи відновить уряд Південної Кореї більш суворі санкції, а також як міжнародне співтовариство посилить запобігання кіберзагрозам з боку Північної Кореї, стане ключовими питаннями для подальшого спостереження.