مجموعة لازاروس تطلق عملة غش "تشين شي هوانغ" لغسل 26 مليون دولار إضافية من أموال Bybit المسروقة

أطلقت مجموعة لازاروس الكورية الشمالية عملة غش يوم الأحد صباحاً باسم "تشين شي هوانغ" على منصة Pump Fun لغسل 26 مليون دولار من الـ 1.5 مليار دولار تقريباً التي سرقوها من منصة العملات المشفرة Bybit.

المحقق على السلسلة ZachXBT كان أول من كشفت كشف عن ذلك، كما هو معتاد، مؤكداً أن المحظة المعنية (5STkQy…95T7Cq) أرسلت بالضبط 60 عملة SOL إلى محظة أخرى (9Gu8v6…aAdqWS) قبل إطلاق نصف مليون عملة QinShihuang.

خلال ثلاث ساعات تقريباً، تم تداول هذه العملات بشكل مكثف، وتجاوز حجم المعاملات بسرعة 26 مليون دولار.

تتبع زاتش الأموال بوضوح. وقال إن المهاجمين نقلوا 1.08 مليون دولار من USDC المسروق من Bybit إلى عنوان المحظة 0x363908df2b0890e7e5c1e403935133094287d7d1 في 22 فبراير.

نقل مهاجمو Bybit هذه الأموال من Ethereum إلى سلسلة Solana، باستخدام المحظة EFmqz8PTTShNsEsErMUFt9ZZx8CTZHz4orUhdz8Bdq2P.

كيف تنجح لازاروس في ذلك

بعد ذلك، نقلت لازاروس USDC إلى سلسلة بيزنس سمارت (BSC)، حيث أظهر تتبع زاتش أن محظوتين منفصلتين قسمتا تلقائياً USMC المسروق عبر أكثر من ثلاثين عنواناً مختلفاً، مما قسم الأموال إلى تحويلات أصعب في التتبع.

بمجرد التقسيم، أعادت لازاروس تجميع هذه الدفعات الصغيرة من الأموال في محظة واحدة: 0x0be9ab85f399a15ed5e8cbe5859f7a882c7b55a3. أكد زاتش أن المحظة 0x0be9 قسمت الأموال أكثر، وأرسلت 106,000 USDC بالتساوي عبر عشر محافظ جديدة.

أعدت هذه المحافظ العشرة نقل كل شيء مرة أخرى إلى Solana، مكتملة دورة سلسلة كتل كاملة صُممت خصيصاً لربك متتبعي السلاسل. أليس ذلك مثيراً للإعجاب قليلاً؟

لاحظ زاتش أيضاً شيئاً غريباً آخر. تلقت العديد من عناوين Solana معاملات "غبار" صغيرة من عملات غش عشوائية من محتالين.

بدلاً من تجاهل هذا الغبار، بدأت لازاروس في مبادلة هذه العملات الغشائية بشكل نشط مرة أخرى إلى SOL. نظفت SOL الملوثة، وخلطتها، ونقلت الأموال عبر صفقات Pump Fun - تماماً كما حدث مع QinShihuang.

نشر زاتش العناوين المعنية علناً - حوالي 920 محظة - لكنه أزال محافظ محددة من واجهات برامج التتبع لمنع لازاروس من إخفاء الآثار بسرعة مرة أخرى. يمكنك العثور عليها هنا.

ثم انتهى المال المسروق من Bybit في منصات تبادل العملات المشفرة ومنصات المبادلة المختلفة، واختفى بهدوء وراء صفقات تبدو شرعية.

علق رئيس تنفيذي لمختبرات Helius، ميرت، مباشرة على المخاطر، قائلاً إن الفرق التي تبني تطبيقات لامركزية بدون مرشحات أو حماية ترتكب خطأً كبيراً. قارن تطبيقات العملات المشفرة بالبريد الإلكتروني، حيث تكون التكنولوجيا الأساسية محايدة، لكن البرامج الموجهة للمستخدم - مثل Gmail - تحجب الجهات الفاعلة الخبيثة المعروفة.

ولا بحسب ميرت، يجب على تطبيقات العملات المشفرة تنفيذ نفس الفلترة الأساسية إذا كانت تعرف أن عناوين المحافظ المحددة تنتمي إلى مجموعات إجرامية مثل لازاروس. وأضاف ميرت بوضوح أنه لم يتحقق شخصياً مما إذا كانت لازاروس قد أصدرت العملات مباشرة، لكنه أدلى بتعليقاته لتحذير المطورين بشكل عام من مخاطر مثل هذه.

سأل ميرت تحديداً لماذا لم تقم Pump Fun بحظر المحافظ المرتبطة بـ لازاروس. مع كون حجم التداول على Pump Fun مرتفعاً جداً، اشترت لازاروس بسهولة العملات على محافظ نظيفة، ورفعت الأسعار باستخدام SOL المسروق، ثم باعت كل شيء مرة أخرى إلى تلك المحافظ النظيفة. من خلال تداول ضخ وبيع بسيط، حولت لازاروس العملات المشفرة المسروقة القابلة للتتبع بوضوح إلى أرباح نظيفة وغير قابلة للتتبع.

ليست أول مرة لازاروس تفعل ذلك

أظهرت اكتشافات زاتش أن لازاروس فعلت ذلك من قبل. بعض العناوين من مخطط غسل الأموال الحالي أطلقت سابقاً رموز غش أخرى على Pump Fun. هذا يعني أن لازاروس استغلت بشكل متكرر نشاط التداول على Pump Fun لغسل الأموال.

أشارت شركة أبحاث الأمن SlowMist إلى أن لازاروس استخدمت منصة خلط العملات المشفرة eXch بشكل مكثف. رفضت eXch مباشرة المساعدة عندما طلبت Bybit التعاون.

بدلاً من ذلك، نشرت eXch طلب الاعتراض من Bybit علناً ورفضته بغضب. شرحت SlowMist بوضوح أن eXch تستهدف موظفي الأمن علناً، وتكشف المعلومات الشخصية عبر الإنترنت.

حثت بشدة منصات العملات المشفرة على زيادة تدابير الأمن ضد الأموال القادمة من eXch، والتي تستخدمها لازاروس بانتظام لتحويل ETH المسروق إلى عملات مشفرة أصعب في التتبع مثل Bitcoin وMonero.

سأل آرثر هايز، المؤسس المشارك لمنصة تداول العملات المشفرة BitMEX، فيتاليك بوترين علناً على منصة X عما إذا كانت Ethereum قد تفكر في إعادة التراجع عن سلسلة الكتل لعكس عملية الاختراق الضخمة في Bybit، والتي أسفرت عن سرقة حوالي 400,000 ETH.

أثار منشور آرثر جدلاً فورياً بين مستخدمي العملات المشفرة. ثبت موقفه، قائلاً بوضوح إنه يعتقد أن Ethereum تخلت عن عدم القابلية للتغيير بعد اختراق DAO في عام 2016 - عندما عكس مطورو Ethereum سرقة بقيمة 60 مليون دولار باستخدام شوكة صلبة مثيرة للجدل.

قال آرثر إن Ethereum "توقفت عن كونها مالاً" في تلك النقطة. جادل علناً بأنه إذا قامت Ethereum بإعادة التراجع في السابق، فلا ينبغي أن تكون هناك مقاومة لفعل ذلك مرة أخرى الآن لاسترداد أموال Bybit.

لم يرد فيتاليك علناً بعد على طلب آرثر. لكن العديد في المجتمع ينتقدون اقتراح آرثر، مع اعتقاد البعض حتى أنه يمزح مع فيتاليك.

أعاد تغريدة آرثر أيضاً إشعال النقاشات حول عدم قابلية سلسلة الكتل للتغيير، واللامركزية، وما إذا كان يجب أن تحدث إعادة التراجع مرة أخرى على سلاسل الكتل الرئيسية.

شرح محللو سلسلة الكتل بوضوح سبب عدم اعتبار Ethereum لإعادة التراجع الآن على الأرجح. تستخدم شبكة Ethereum حالياً نموذجاً "قائماً على الحساب" لتخزين الأموال، تماماً مثل البنوك العادية.

عندما عكس مطورو Ethereum اختراق DAO، قمت العقد بتحديث إصدارات البرامج ونقلت أموال ETH إلى عناوين جديدة. اليوم، يتطلب عكس اختراق مماثل إجماعاً هائلاً من مستخدمي Ethereum والعقد والمطورين - وهو إجماع شبه مستحيل الآن.

حدث شيء مشابه نوعاً ما مع البيتكوين في عام 2019. فكر تشانغ بنج تشاو، الرئيس التنفيذي لشركة Binance، علناً في إعادة التراجع عن Bitcoin بعد أن سرق القراصنة 40 مليون دولار. غيّر لغته بسرعة من "إعادة التراجع" إلى "إعادة التنظيم" بسبب الغضب.

رفض عمال مناجم Bitcoin وأتباعه الفكرة بشدة، منتقدين أي محاولة لعكس المعاملات باعتبارها انتهاكاً أساسياً لمبادئ اللامركزية.

رفض مجتمع Ethereum أيضاً أفكار إعادة التراجع هذه هذه المرة. لكن سلاسل الكتل الأصغر قامت بإعادة التراجع بنجاح في الماضي، عادةً بعد هجوم. إنه نادر، لكنه ليس غير مألوف تماماً.

أعلن زاتش أولاً عن سرقة Bybit الضخمة في الجمعة الماضية. لاحظ نشاطاً مشبوهاً على السلسلة يتضمن تدفقاً سريعاً لأكثر من 1.47 مليار دولار من Bybit. راقب زاتش المهاجمين وهم يبدلون بسرعة الرموز المعبأة مثل mETH وstETH إلى رموز Ethereum العادية من خلال منصات اللامركزية، محاولين بجدية طمس الأموال المسروقة.