مجموعة لازاروس في كوريا الشمالية تخوض حرباً سيبرانية على العملات المشفرة—والمطورون هم الهدف الجديد

قامت مجموعة لازاروس، الوحدة المشهورة بالقرصنة في كوريا الشمالية، بتنفيذ هجمات سيبرانية جديدة على العملات المشفرة مع تركيز متزايد على المطورين. 

اكتشف باحثو الأمن على مدى الأشهر الماضية أن المجموعة كانت تقوض حزم npm الخبيثة التي تسرق بيانات الاعتماد، وتسرّب بيانات محافظ العملات المشفرة، وتخلق باباً خلفياً دائماً في بيئات التطوير. هذا يمثل تصعيداً كبيراً في حربها السيبرانية المستمرة لسنوات، والتي شهدت بالفعل بعض أكبر سرقات العملات المشفرة في التاريخ.

وفقاً لتحقيق جديد من قبل فريق أبحاث Socket، اخترقت فرع من مجموعة لازاروس مستودع npm، وهو أحد أكثر مديري الحزم شعبية لمطوري جافا سكريبت. 

استخدم القراصنة بعد ذلك تقنيات انتحال الاسم (typosquatting) لنشر نسخ خبيثة من حزم npm الشهيرة، مما خدع المطورين غير الحذرين لتنزيل البرامج. تشمل الحزم is-buffer-validator و yoojae-validator و event-handle-package و array-empty-validator و react-event-dependency و auth-validator. 

عند التنفيذ، تقوم الحزم المخترقة بتثبيت برنامج BeaverTail الخبيث. يمكن لأداة "المتقدمة" هذه سرقة بيانات تسجيل الدخول، والبحث عبر ملفات المتصفح عن كلمات المرور المحفوظة وتصريف الملفات من محافظ العملات المشفرة، مثل Solana و Exodus.

لاحظ باحثو الأمن أن البيانات المسروقة تم إرسالها إلى خادم الأوامر والتحكم (C2) المدمج في الكود، وهو أسلوب شائع تستخدمه مجموعة لازاروس لإعادة البيانات السرية إلى عناصرها. 

يهدف إلى سرقة ونقل البيانات المخترقة دون أن يتم اكتشافه، وهو أمر يهدد بشكل خاص في عالم المطورين الذين يبنون تطبيقات مالية وسلاسل الكتل، وفقاً لكيريل بويتشنكو، محلل استخبارات التهديدات في Socket Security.

شنت مجموعة لازاروس هجوماً على Bybit، وسرقت ما يقرب من 1.46 مليار دولار

بالإضافة إلى هذه الهجمات على سلسلة التوريد، تم ربط مجموعة لازاروس أيضاً بأحد أكبر سرقات العملات المشفرة المسجلة. يُشتبه في أن أول إجراء لها حدث في 21 فبراير 2025، عندما اخترق قراصنة مرتبطون بالمجموعة منصة Bybit، إحدى أكبر منصات العملات المشفرة في العالم، محملين بما يقدر بنحو 1.46 مليار دولار من الأصول المشفرة.

كان الهجوم متطوراً للغاية ويُزعم أنه انطلق من جهاز مخترق لموظف في Safe{Wallet}، وهو شريك تقني لـ Bybit. استغل القراصنة ثغرة في بنية محفظة Ethereum الخاصة بـ Bybit وعدلوا منطق العقد الذكي لإعادة توجيه الأموال إلى محافظهم.

على الرغم من أن Bybit عالجت المشكلة على الفور، فإن بياناً من الرئيس التنفيذي بن تشو كشف أن 20% من المال المسروق قد تم غسله بالفعل عبر خدمات الخلط وكان غير قابل للتتبع.

تعد هذه السلسلة الأخيرة من الهجمات جزءاً من جهد كوريا الشمالية الأوسع لتجنب العقوبات الدولية ضدها من خلال سرقة وغسل العملات المشفرة.

وفقاً لتقرير للأمم المتحدة عام 2024، كان مجرمو الإنترنت الكوريون الشماليون مسؤولين عن أكثر من 35% من سرقات العملات المشفرة العالمية على مدار العام الماضي، مما جمع أكثر من مليار دولار من الأصول المسروقة. مجموعة لازاروس ليست مجرد عصابة إجرامية سيبرانية بل هي أيضاً تهديد جيوسياسي حيث يُقال إن الأموال المسروقة تُصرف مباشرة في برامج الأسلحة النووية والصواريخ الباليستية للدولة.

تقدمت هجمات مجموعة لازاروس أيضاً على مر السنين، من اختراقات المنصات المباشرة إلى هجمات سلسلة التوريد وحتى هجمات المطورين ومستودعات البرامج.

من خلال إضافة أبواب خلفية إلى منصات مفتوحة المصدر مثل npm و PyPI و GitHub، توسع المجموعة نطاق هجومها المحتمل ليشمل العديد من الأنظمة، مما يلغي الحاجة إلى اختراق منصات العملات المشفرة مباشرة.

يدعو خبراء الأمن إلى حماية أكثر صرامة لمطوري العملات المشفرة 

مع ملاحظة هذه المخاطر المتزايدة، يدفع المتخصصون في الأمن السيبراني من أجل حماية أكثر صرامة للمطورين ومستخدمي العملات المشفرة والحماية من القراصنة. إحدى أفضل الممارسات هي التحقق من صحة حزم npm الحقيقية قبل التثبيت لأن انتحال الاسم (typosquatting) لا يزال أحد أكثر الطرق شيوعاً التي يستخدمها المجرمون السيبرانيون. 

يتتبع Socket AI Scanner أيضاً الشذوذ في تبعيات البرمجيات الخاصة بك أو تدقيق npm، مما يinformك عما إذا كانت أي حزم مخترقة قيد الاستخدام ويسمح لك بإزالتها من تطبيقك قبل أن تسبب أي ضرر حقيقي.

يوصي الدليل بأن يتخذ المستخدمون والمطورون زمام المبادرة لحماية أنفسهم من خلال تمكين المصادقة متعددة العوامل (MFA) لمحافظ المنصات ومنصات المطورين مثل GitHub والحسابات الأخرى. 

يُعد مراقبة الشبكة الآن خط الدفاع الأول حيث سيقوم النظام المخترق عادةً بإرسال رسائل إلى خادم أوامر وتحكم خارجي (C2)، والذي يقوم بعد ذلك بتحميل التحديثات الخبيثة على الكمبيوتر المصاب. يمكن لحظر حركة المرور الخارجة غير المشروعة قطع وصول القراصنة إلى هذه البيانات المسروقة.

Bybit تطلق مكافأة استرداد مع تصاعد معركة أمن العملات المشفرة

بعد اختراق Bybit، بدأت المنصة أيضاً برنامج مكافأة الاسترداد، مكافأة أي شخص يساعد في العثور على الأصول المسروقة. يسمح البرنامج بمكافآت تصل إلى 10% من المال المسترد.

في الوقت نفسه، يعمل النظام البيئي الأوسع للعملات المشفرة على زيادة ممارسات الأمن وتحذير المطورين للحماية من الممارسات نفسها التي يمكن أن تؤدي إلى هذا المسار المهدد.

ولكن مع تقدم تكتيكات مجموعة لازاروس بسرعة متزايدة، يقول مدافعو الشبكة إن الحرب على العملات المشفرة لم تبدأ إلا الآن.