تحليل أنشطة مجموعة الهاكرز الكورية الشمالية Lazarus Group وأساليب غسيل الأموال الخاصة بها

كشف تقرير سري للأمم المتحدة أن إحدى بورصات العملات الرقمية تعرضت لهجوم من مجموعة لازاروس العام الماضي، حيث تم سرقة حوالي 147.5 مليون دولار. في مارس من هذا العام، تم تنفيذ عملية غسيل الأموال من خلال منصة عملات رقمية معينة.

يحقق المراقبون في لجنة العقوبات التابعة لمجلس الأمن التابع للأمم المتحدة في 97 حادثة هجوم إلكتروني مشبوه من هاكر كوري شمالي ضد شركات العملات المشفرة، وقعت بين عامي 2017 و2024، بلغ إجماليها 3.6 مليار دولار. ومن بين هذه الحوادث، حادثة سرقة بقيمة 147.5 مليون دولار تعرضت لها إحدى بورصات العملات المشفرة في نهاية العام الماضي، حيث اكتمل غسيل الأموال لهذه القضية في مارس من هذا العام.

في عام 2022، فرضت الولايات المتحدة عقوبات على منصة عملات رقمية معينة. في العام التالي، تم اتهام اثنين من المؤسسين المشاركين لهذه المنصة بمساعدة في غسيل الأموال بقيمة تزيد عن مليار دولار، بما في ذلك التورط مع مجموعة لزاروس، وهي منظمة إجرامية إلكترونية مرتبطة بكوريا الشمالية.

أظهر تحقيق أجراه محلل عملات مشفرة أن مجموعة لاذروس قامت بغسيل الأموال بقيمة 200 مليون دولار من العملات المشفرة إلى عملات قانونية خلال الفترة من أغسطس 2020 إلى أكتوبر 2023.

لقد تم اتهام مجموعة لازاروس منذ فترة طويلة بتنفيذ هجمات إلكترونية واسعة النطاق وجرائم مالية. تشمل أهدافهم مجموعة واسعة من الأنظمة، بما في ذلك أنظمة البنوك، بورصات العملات المشفرة، الوكالات الحكومية والشركات الخاصة.

هجمات الهندسة الاجتماعية والتصيد الاحتيالي لمجموعة لازاروس

ذكرت وسائل الإعلام الأوروبية أن مجموعة لازاروس استهدفت شركات عسكرية وسياحية في أوروبا والشرق الأوسط من خلال نشر إعلانات توظيف مزيفة على منصات التواصل الاجتماعي لخداع الموظفين. طلبوا من المتقدمين للوظائف تحميل ملفات PDF تحتوي على ملفات تنفيذية، مما أدى إلى تنفيذ هجمات تصيد.

تسعى هذه الهجمات الهندسية الاجتماعية وهجمات التصيد إلى استغلال التلاعب النفسي، لجعل الضحايا يتراخون في حذرهم، وينفذون سلوكيات خطرة مثل النقر على الروابط أو تنزيل الملفات. يمكن للبرامج الضارة الخاصة بهم استهداف الثغرات في أنظمة الضحايا وسرقة المعلومات الحساسة.

استمرت مجموعة لازاروس في استخدام طرق مماثلة للهجوم على أحد مزودي خدمات الدفع بالعملات المشفرة لمدة ستة أشهر، مما أدى إلى خسارة الشركة 37 مليون دولار. خلال الهجوم بأكمله، أرسلوا فرص عمل مزيفة للمهندسين، وشنوا هجمات تقنية مثل هجمات حجب الخدمة الموزعة، وحاولوا كسر كلمات المرور بالقوة.

العديد من حوادث الهجمات على بورصات العملات المشفرة

من أغسطس إلى أكتوبر 2020، تعرضت العديد من بورصات العملات المشفرة والمشاريع للهجمات:

• في 24 أغسطس، تم سرقة محفظة من إحدى بورصات العملات المشفرة في كندا.
• في 11 سبتمبر، حدث تحويل غير مصرح به بقيمة 400,000 دولار في عدة محافظ تسيطر عليها الفريق بسبب تسرب المفتاح الخاص.
• في 6 أكتوبر، تم سرقة 750,000 دولار من الأصول المشفرة من المحفظة الساخنة بسبب ثغرة أمنية في بورصة أخرى.

تم تحويل هذه الأموال المسروقة عدة مرات وتضليلها، وجمعت في النهاية في بعض العناوين المحددة. قام المهاجمون بإرسال الأموال إلى بعض عناوين الإيداع من خلال عدة تحويلات وتبادلات.

مؤسس منصة التأمين التعاوني تعرض لهجوم هاكر

في 14 ديسمبر 2020، تعرض مؤسس منصة تأمين المساعدة لهجوم هاكر، حيث فقد 370,000 رمز منصة، بقيمة حوالي 8.3 مليون دولار.

تم نقل الأموال المسروقة بين عدة عناوين وتبادلها بأصول أخرى. قامت مجموعة لازاروس بعمليات تشويش الأموال وتوزيعها وتجميعها من خلال هذه العناوين. تم نقل جزء من الأموال عبر السلسلة إلى شبكة البيتكوين، ثم عادت عبر شبكة الإيثيريوم، وبعد ذلك تم تشويشها من خلال منصة خلط، وأخيرًا تم إرسالها إلى منصة السحب.

من 16 إلى 20 ديسمبر 2020، أرسل عنوان هاكر أكثر من 2500 ETH إلى منصة خلط معينة. بعد ساعات قليلة، بدأ عنوان مرتبط آخر في إجراء سحب.

من مايو إلى يوليو 2021، قام المهاجمون بتحويل 11 مليون USDT إلى عنوان الإيداع الخاص بمنصة تداول معينة.

من فبراير إلى يونيو 2023، أرسل المهاجمون أكثر من 11 مليون USDT إلى عناوين إيداع مختلفة من خلال عدة عناوين.

أحداث الهجمات الأخيرة

في أغسطس 2023، تم نقل ETH المسروق في حادثتي هجوم (624 قطعة و900 قطعة على التوالي) إلى منصة مزج معينة. بعد ذلك، تم سحب هذه الأموال إلى عدة عناوين محددة.

في 12 أكتوبر 2023، تم تجميع الأموال من هذه العناوين إلى عنوان جديد. بحلول نوفمبر، بدأ هذا العنوان في نقل الأموال، وفي النهاية، من خلال التبديل والتحويل، تم إرسال الأموال إلى بعض عناوين الإيداع.

ملخص

مجموعة لازاروس بعد سرقة الأصول المشفرة، تعتمد أساسًا على العمليات عبر السلاسل واستخدام خلط العملات لتشويش مصدر الأموال. بعد التشويش، يقومون بسحب الأصول المسروقة إلى العنوان المستهدف، ثم يرسلونها إلى مجموعة عناوين ثابتة للسحب. عادةً ما تُودع الأصول المشفرة المسروقة في عنوان إيداع محدد، ثم يتم تبادلها إلى عملة نقدية من خلال خدمات التداول خارج البورصة.

في مواجهة هجمات مجموعة لازاروس المستمرة والواسعة النطاق، يواجه قطاع Web3 تحديات أمان خطيرة. تواصل الجهات المعنية متابعة هذه المجموعة هاكر، وستقوم بمزيد من تتبع أنشطتها و غسيل الأموال، لمساعدة المشاريع والجهات التنظيمية وإنفاذ القانون في مكافحة هذه الجرائم واسترداد الأصول المسروقة.