Криптовалюта

Эксклюзив: эти северокорейские хакеры стоят за взломом WazirX?

Михаель ван де Поппе

Как опытный специалист по кибербезопасности с многолетним опытом работы за плечами, я могу с уверенностью сказать, что взлом WazirX был мастерской демонстрацией злонамеренной изобретательности. Предполагаемая причастность группы Lazarus, печально известного северокорейского хакерского коллектива, неудивительна, учитывая их послужной список крупномасштабных кибератак.

Прошло более пяти недель с тех пор, как на бирже WazirX произошло крупнейшее в Индии ограбление криптовалюты, которое привело к краже средств пользователей на сумму более 2000 крор рупий. По мнению технических аналитиков, эта кибератака, судя по всему, связана с «Lazarus Group» — предполагаемой поддерживаемой государством хакерской группой из Северной Кореи, известной рядом других подобных киберограблений.

Несмотря на значительные усилия местных правоохранительных органов и следователей по криптовалютам, в раскрытии дела о взломе достигнут незначительный прогресс из-за изолированного характера Северной Кореи как враждебного государства и отсутствия активного участия индийских властей в отношении рынка криптовалют. В этой сложной ситуации загадочные хакеры WazirX успешно отмыли украденные средства через сервис микширования Tornado Cash.

В этой уникальной статье мы попытаемся реконструировать серию событий, последовавших за взломом WazirX 18 июля, и потенциально определить виновников Lazarus Group. По данным ФБР, лица, находящиеся под пристальным вниманием в этом расследовании, являются одними из самых разыскиваемых в мире.

Что такое группа компаний «Лазарус»?

Группа «Лазарь», которую иногда называют «Стражи мира», «Скрытая кобра», «Алмазный снег» или «Офис связи 414», представляет собой организацию по борьбе с киберпреступностью, связанную с Генеральным разведывательным бюро (РГБ), разведывательным агентством Северной Кореи. Корея, так же, как ЦРУ в США и КГБ в России.

Эксклюзив: эти северокорейские хакеры стоят за взломом WazirX?

Группа Lazarus первоначально привлекла внимание, когда предположительно в 2014 году они организовали кибератаку на Sony Pictures, которая привела к публичному обнародованию значительного количества конфиденциальной информации, такой как неопубликованные фильмы, музыкальные композиции и сценарии.

Группа Lazarus ранее была известна проведением атак с использованием программ-вымогателей, DDOS-атак и злонамеренных фишинговых схем, направленных на кражу данных или отключение серверов конкурирующих стран, таких как Южная Корея и США. Но с 2017 года их внимание сместилось на биржи криптовалют, причем многочисленные успешные ограбления во многих случаях приводили к истощению криптофондов целевой биржи.

По оценкам Совета Безопасности ООН и DeFiLlama, более 70% криптовалюты, украденной хакерами, связанными с Северной Кореей с 2020 года, было получено путем манипулирования закрытыми ключами. Это делает Lazarus Group одной из самых опасных в мире групп, занимающихся Advanced Persistent Threat (APT). Данные показывают, что с 2020 года Северная Корея была замешана в кражах криптовалюты на сумму более 2,4 миллиарда долларов.

Как Lazarus Group замешана во взломе WazirX

После взлома WazirX, произошедшего 18 июля, несколько независимых исследователей криптовалют, таких как ZachXBT и фирма по кибербезопасности Cyfirma, предположили, что к атаке может быть причастна Lazarus Group из-за сходства в методологии атаки.

По мнению специалистов, характеристики этой атаки – использование тактики фишинга, сложных манипуляций с мультиподписью и отмывания денег с помощью Tornado Cash – соответствуют прошлым кибератакам Lazarus Group. Примечательно, что аналитики блокчейна, такие как ZachXBT, отметили, что взлом WazirX имеет сходство с предыдущими операциями Lazarus Group, такими как взлом Harmony Horizon и взлом Atomic Wallet.

Эксклюзив: эти северокорейские хакеры стоят за взломом WazirX?

Специалисты по безопасности, такие как Мудит Гупта и ZachXBT, обнаружили, что нападавшие начали проверять свою тактику как минимум за восемь дней до инцидента, что позволяет предположить тщательно спланированную и продуманную стратегию, характерную для группы Lazarus.

Нишал Шетти, генеральный директор WazirX, заявил, что недавняя атака не похожа ни на одну другую, наблюдаемую на централизованной бирже, из-за ее сложности и масштаба. Он предположил, что эта атака могла быть делом рук не обычного хакера, а потенциально государственного деятеля с продвинутыми навыками. Хотя он и не одобряет эту ситуацию, Шетти намекнул, что такая изощренная атака может случиться с любой организацией, даже с той, которая применяет первоклассные методы обеспечения безопасности.

Ровно через месяц будет отмечаться годовщина инцидента #WazirX, который привел к потере примерно 2000 кроров средств инвесторов.

The Crypto Times пообщалась со многими пострадавшими инвесторами, которые поделились с нами своим опытом. Сегодня мы представляем вам уникальный взгляд на…

— The Crypto Times (@CryptoTimes_io), 17 августа 2024 г.

Самые разыскиваемые ФБР хакеры стоят за взломом WazirX?

Несмотря на трудности с установлением единственного виновника взлома WazirX, наше расследование привело нас к тому, что мы сосредоточились на трех главных подозреваемых, которые являются известными представителями группы Lazarus. Они могли организовать крупномасштабную атаку на WazirX.

1. Ким Ир

Ким Ир — киберпреступник, предположительно поддерживаемый правительством Северной Кореи, подозреваемый в участии в одном из самых дорогостоящих цифровых ограблений, когда-либо зарегистрированных. Сообщается, что эти кибератаки, которые, как утверждается, были организованы им, нанесли ущерб различным компьютерным системам и привели к незаконному получению как обычных, так и цифровых средств у многочисленных жертв.

Утверждается, что Ким Ир участвует в более крупной преступной сети хакеров, связанной с Генеральным разведывательным управлением Северной Кореи (РГБ). По данным частных экспертов по кибербезопасности, в эту сеть входят различные северокорейские хакерские команды, такие как «Lazarus Group» и Advanced Persistent Threat 38 (APT38).

2. ЧОН ЧАН ХЁК

Чон Чан Хёк — еще один предполагаемый киберпреступник, поддерживаемый правительством Северной Кореи, связанный с некоторыми из самых громких и разрушительных киберинцидентов за последнее время. Как и Пак Джин Хёк, Джон связан с командой Lazarus, хакерским коллективом, который, как предполагается, поддерживается Генеральным разведывательным бюро Северной Кореи (RGB). Он был замешан в создании и запуске вредоносного программного обеспечения, нацеленного на криптовалютные платформы и различные другие предприятия.

Он отвечает за тайную деятельность, такую ​​как кибервойна, от имени Северной Кореи. Окружной суд США Центрального округа Калифорнии обвинил его в сговоре с целью совершения мошеннических действий, включая мошенничество с использованием электронных средств связи, банковских операций и компьютеров (несанкционированные вторжения). Федеральный ордер на его арест был выдан 8 декабря 2020 года в связи с его подозрением в причастности к этим заговорам.

3. Пак Джин Хёк

Пак Джин Хёк — северокорейский программист. Наиболее заметно он связан с Lazarus Group, хакерской группой, предположительно спонсируемой Генеральным разведывательным управлением Северной Кореи (РГБ), которое является ее основным разведывательным агентством. 

Окружной суд США Центрального округа Калифорнии предъявил ему обвинение в заговоре с целью совершения электронного мошенничества, банковского мошенничества и компьютерного мошенничества (вторжений).

Кибератака привела к утечке и распространению секретных данных Sony Pictures Entertainment, включая неопубликованные фильмы и частные разговоры. Утверждается, что этот инцидент был организован как ответ на фильм «Интервью», комедийный сюжет о покушении на жизнь северокорейского лидера Ким Чен Ына.

Заключение

За последние 50 дней вокруг WazirX произошло множество событий: право собственности на него стало предметом спора между материнской компанией Zettai и Binance. Ни одна из сторон, похоже, не желает активизировать работу и управлять биржей, поскольку пользователи требуют возврата своих средств. Тем временем Зеттаи подал прошение в Высокий суд Сингапура о введении моратория, попросив шесть месяцев на разработку плана реструктуризации. К сожалению, это может привести к тому, что пользователи потеряют 43% своих средств из-за недавних инцидентов со взломом.

Учитывая последний поворот событий, неясно, найдут ли различные правоохранительные органы, расследующие взлом WazirX, веские доказательства для обвинения Lazarus Group в правонарушениях.

Смотрите также

2024-09-06 16:21