O grupo de hackers norte-coreano de elite, Lazarus, parece ter intensificado recentemente suas operações, realizando quatro ataques confirmados contra entidades de criptomoedas desde 3 de junho. Agora, eles são suspeitos de terem realizado um quinto ataque, desta vez visando a CoinEx em 12 de setembro. Em resposta a isso, a CoinEx divulgou vários tweets indicando que endereços de carteiras suspeitos ainda estão sendo identificados, portanto, o valor total dos fundos roubados ainda não é conhecido, mas atualmente acredita-se que esteja em torno de US$ 54 milhões.
Nos últimos 104 dias, o Lazarus já foi identificado como responsável por roubar quase US$ 240 milhões em ativos de criptomoedas da Atomic Wallet (US$ 100 milhões), CoinsPaid (US$ 37,3 milhões), Alphapo (US$ 60 milhões) e Stake.com (US$ 41 milhões).
Ataques Recentes do Lazarus
Conforme visto no gráfico acima, a análise da empresa de segurança Elliptic confirma que parte dos fundos roubados da CoinEx foi enviada para um endereço que foi usado pelo grupo Lazarus para lavar fundos roubados da Stake.com, embora em uma blockchain diferente. Após isso, os fundos foram transferidos para o Ethereum, usando uma ponte previamente usada pelo Lazarus, e depois enviados de volta para um endereço conhecido por ser controlado pelo hacker da CoinEx. A Elliptic observou essa mistura de fundos de hacks diferentes anteriormente pelo Lazarus, mais recentemente quando fundos roubados da Stake.com se sobrepuseram aos fundos roubados da Atomic Wallet. Essas instâncias em que fundos de hacks diferentes foram consolidados estão representadas no gráfico abaixo em laranja.
Diante dessa atividade de blockchain e na ausência de informações sugerindo que o hack da CoinEx foi conduzido por qualquer outro grupo de ameaças, a Elliptic concorda que o Grupo Lazarus deve ser suspeito pelo roubo de fundos da CoinEx.
Cinco Ataques do Lazarus em 104 Dias
Em 2022, vários hacks de alto perfil foram atribuídos ao Lazarus, incluindo os hacks da Harmony’s Horizon bridge e da Ronin bridge da Axie Infinity, ambos ocorridos no primeiro semestre do ano passado. Entre então e junho deste ano, nenhum grande roubo de criptomoedas foi atribuído publicamente ao Lazarus. Como resultado, os diversos hacks dos últimos 104 dias representam um aumento na atividade do grupo de ameaças norte-coreano.
Em 3 de junho de 2023, os usuários da Atomic Wallet, uma carteira descentralizada de criptomoedas não custodial, perderam mais de US$ 100 milhões. A Elliptic atribuiu este hack ao Lazarus em 6 de junho de 2023, após identificar múltiplos fatores que indicavam que o grupo de ameaças norte-coreano era responsável. Essa atribuição foi posteriormente confirmada pelo FBI.
Em 22 de julho de 2023, o Lazarus obteve acesso às carteiras quentes da plataforma de pagamento de criptomoedas CoinsPaid por meio de um bem-sucedido ataque de engenharia social. Esse acesso permitiu que os invasores criassem solicitações autorizadas para sacar aproximadamente US$ 37,3 milhões em ativos de criptomoedas das carteiras quentes da plataforma. Em 26 de julho, a CoinsPaid publicou um relatório afirmando que o Lazarus era responsável por esse ataque. Essa atribuição foi posteriormente confirmada pelo FBI.
No mesmo dia, 22 de julho, o Lazarus realizou outro ataque de alto perfil, desta vez contra a provedora centralizada de pagamento de criptomoedas Alphapo, roubando US$ 60 milhões em ativos de criptomoedas. Os invasores podem ter obtido acesso por meio de chaves privadas previamente comprometidas. Como mencionado acima, o FBI atribuiu posteriormente esse ataque ao Lazarus.
Em 4 de setembro de 2023, o cassino online de criptomoedas Stake.com sofreu um ataque no qual cerca de US$ 41 milhões em moeda virtual foram roubados, possivelmente como resultado de uma chave privada roubada. O FBI emitiu um comunicado à imprensa em 6 de setembro confirmando que o grupo Lazarus estava por trás desse ataque.
Finalmente, em 12 de setembro de 2023, a exchange de criptomoedas centralizada CoinEx foi vítima de um hack, no qual US$ 54 milhões foram roubados. Como detalhado acima, diversos fatores indicam que o Lazarus é responsável por esse ataque.
