مجموعة Lazarus تضرب مرة أخرى في عملية سرقة بقيمة 3.2 مليون دولار على Solana

يرفع المحققون في العملات المشفرة الإنذارات بعد صرف 3.2 مليون دولار من محافظ Solana متعددة في 16 مايو 2025، والتي يقولون إنها تحمل بصمات مجموعة Lazarus المرتبطة بكوريا الشمالية. تم بيع الأصول المسروقة بسرعة على السلسلة وجسرها إلى Ethereum قبل غسل جزء منها عبر Tornado Cash.

في 16 مايو، تم إفراغ عناوين Solana الخاصة بالضحية من الرموز، ثم تم تحويل الأصول إلى إيثريوم عبر جسر قبل إيداع جزء منها في Tornado Cash.

أشار باحث البلوكتشين ZachXBT علانية إلى استغلال الثغرة، مستعرضًا أوجه تشابه مع نشاط Lazarus السابق.

قام المخترقون بجسر الأموال المسروقة

أثار المحققون في البلوكتشين الإنذار لأول مرة بعد ملاحظة تحويلات كبيرة من العنوان "C4WY…e525" على Solana.

تضمنت هذه المعاملات، المرتبطة بمجموعة Lazarus الشهيرة بنشاطها، نقل الرموز المسروقة عبر جسر وتحويلها إلى Ethereum. أشار ZachXBT إلى الهجوم من خلال مراقبة نشاط الجسر وتتبع الأموال التي انتهت في النهاية في شبكة من المحافظ على Ethereum.

في 25 يونيو و27 يونيو مرة أخرى، تم إرسال 400 ETH إلى Tornado Cash في إيداعين منفصلين. تتماشى معاملات الـ 800 ETH هذه، التي تبلغ حوالي 1.6 مليون دولار، مع استراتيجيات غسل الأموال المعروفة لمجموعة Lazarus.

بعد عمليات الاختراق عالية الملف مثل Bybit، حيث سُرقت 1.5 مليار دولار في فبراير 2025، و100 مليون دولار من جسر Harmony’s Horizon في عام 2022، من بين عمليات اختراق بارزة أخرى، استخدمت مجموعة Lazarus مرارًا وتكرارًا Tornado Cash، بالإضافة إلى البورصات اللامركزية والجسور عبر السلاسل، لغسل الأموال عن طريق تشويش مسارات المعاملات.

لا يزال حوالي 1.25 مليون دولار موجودًا في عنوان محفظة تم تحديده على أنه "0xa5…d528" على Ethereum، ومحتفظًا به بمزيج من DAI وETH. يتردد المحللون أن هذه الأموال قد تكون إما مودعة لغسل الأموال المستقبلي أو محتفظًا بها بشكل خامل عمدًا لتقليل خطر الاكتشاف.

مجموعة Lazarus نشطة منذ 2017

اكتسبت مجموعة Lazarus سمعة كونها منظمة الجريمة السيبرانية الأكثر إنتاجية المرتبطة بالدولة، حيث صنفتها عقوبات كوريا الشمالية على أنها تهديد مستمر ومتقدم مرتبط بوحدات المخابرات العسكرية النخبوية في بيونغ يانغ. على مر السنين، سرقوا مليارات الدولارات في العملات المشفرة منذ عام 2017.

غالبًا ما تبدأ أساليبهم بالعملية الاحتيالية أو التسلل القائم على البرامج الضارة إلى الموظفين الرئيسيين، واستغلال ثغرات العقود الذكية أو نقاط الضعف في المحافظ. بمجرد الحصول على الأموال، يتم تحويلها بسرعة إلى أصول سائلة، وتقسيمها إلى محافظ متعددة، وغسلها عبر السلاسل باستخدام خدمات الخلط مثل Tornado Cash والخدمات التي توفر مبادلات فورية دون متطلبات معرفة العميل (KYC).

يظل Tornado Cash محوريًا في استراتيجية غسل الأموال الخاصة بـ Lazarus. على الرغم من فرض العقوبات الأمريكية في عام 2022، إلا أن الاستضافة اللامركزية وعدم القابلية للتغيير سمحتا للخدمة بتجنب الإغلاق الدائم. في يناير 2025، نقضت محكمة استئناف أمريكية هذه العقوبات، مستشهدة بحرية التعبير، على الرغم من الأدلة المتزايدة التي تربط Lazarus باستخدام مستمر لخدمة الخلط.

قد تتخذ الجهات التنظيمية والبورصات الآن خطوات لوضع العناوين المصنفة على أنها مشبوهة. ومع ذلك، مع سرعة وتعقيد خط غسيل الأموال الخاص بـ Lazarus، تظل خدمات الخلط كافية لإخفاء حركة أموالهم المسروقة.