لazarus أنهى غسل جميع عملات Ethereum التي سرقها من Bybit

تم غسل كل آخر 499,000 ETH - بقيمة 1.39 مليار دولار - المسروقة من Bybit بواسطة مجموعة Lazarus الشهيرة بالكامل، واستغرق الأمر منهم فقط 10 يوم لتختفي العملات المشروبة في سلسلة الكتل، وفقاً لما ذكره EmberCN على منصة X.

في هذه العملية، انخفض سعر Ethereum بنسبة 23٪، متساقطاً من 2,780 دولاراً إلى 2,130 دولاراً بينما تم خلط الأموال المسروقة عبر أجهزة الخلط (mixers) والمنصات.

هل فشلت عملية Bybit في البحث عن المكافآت للأموال المسروقة؟

تشتهر مجموعة Lazarus، وهي مجموعة اختراق مدعومة من الدولة في كوريا الشمالية، بتكتيكات الهندسة الاجتماعية واستغلال الثغرات من الصفر (zero-day). ويُزعم أن المجموعة يقودها بارك جين هيوك، الذي مطلوب من قبل مكتب التحقيقات الفيدرالي (FBI)، لكن كوريا الشمالية نفت وجوده ووجود مجموعة Lazarus مراراً وتكراراً.

على أي حال، استخدم المخربون الشهيرون THORChain كخدمة غسل أموال رئيسية، حيث دفعوا 5.9 مليار دولار عبر الشبكة. جمعت المنصة 5.5 مليون دولار من رسوم المعاملات بينما نقلت Lazarus الأموال، مما جعلها أكبر عملية غسل أموال في تاريخ العملات المشفرة.

الآن، الأموال مشتتة ولا يمكن استردادها. وفي الوقت نفسه، تتخذ Bybit موقفاً هجوماً، حيث تقدم ملايين الدولارات كمكافآت لأي معلومات حول الأصول المسروقة. قبل أسبوع فقط، أعلن بن تشو، الرئيس التنفيذي للمجموعة والمؤسس المشارك، عن برنامج مكافآت ضخم لتتبع ETH المفقود.

المكافأة، المستضافة على lazarusbounty.com، دفعت بالفعل أكثر من 4 ملايين دولار لأفراد ساعدوا في تتبع المعاملات المرتبطة بالسرقة.

قال تشو في منشور على X: «لن نتوقف حتى يتم القضاء على Lazarus أو الجهات الفاعلة السيئة في الصناعة». «في المستقبل، سنفتح الأمر أيضاً لضحايا Lazarus الآخرين».

نظام المكافآت كالتالي: إذا حدد شخص ما وأبلغ عن معاملة على سلسلة الكتل مرتبطة باختراق Bybit، فسيحصل على 5٪ من العملات المشفرة المستردة. أي منصة أو جهاز خلط يساعد في الاسترداد سيحصل أيضاً على 5٪. الإجمالي، حوالي 140 مليون دولار من المكافآت متاحة.

أعلن تشو أيضاً عن إنشاء «منصة HackBounty»، وهي مبادرة جديدة على مستوى الصناعة مصممة لمكافحة سرقة العملات المشفرة. قال: «أنا متحمس للروح الجماعية الرائعة على السلسلة وفي الحياة الواقعية. يمكن أن تكون هذه لحظة تحويلية لصناعتنا إذا نجحنا في ذلك. معاً، يمكننا بناء نظام دفاع أقوى ضد التهديدات السيبرانية».

حدث اختراق Bybit في 21 فبراير الساعة 12:30 بتوقيت UTC. كانت الأموال تُنقل من محفظة باردة (تخزين غير متصل) إلى محفظة ساخنة (تخزين متصل). عندها ضربت Lazarus.

وجدت التحقيقات الداخلية لـ Bybit أن المخربين غيّروا منطق العقد الذكي، مما أدى إلى اختطاف عملية النقل. بدلاً من الانتقال إلى المحفظة الساخنة المقصودة، تم تحويل أكثر من 400,000 ETH و stETH، بقيمة تزيد عن 1.5 مليار دولار، إلى محفظة غامضة يتحكم فيها المهاجمون.

تتبعت Sygnia Labs و Verichains الاختراق إلى SafeWallet، البرنامج الذي استخدمته Bybit لإدارة معاملاتها، ويعتقد هؤلاء أن Lazarus عدّل كود JavaScript الخاص بالمنصة، مما مكنهم من إعادة توجيه ETH إلى حساباتهم الخاصة.

من المرجح أن بدأ الاختراق من خلال اختراق البنية التحتية السحابية. استضافت SafeWallet على AWS S3 و CloudFront، وتم اختراق أحد هذه الحسابات. وأكدت مزود البرنامج لاحقاً أن إحدى أجهزة المطورين الخاصة به كانت مصابة، مما أدى إلى حقن كود ضار في النظام.

قالت SafeWallet في تقريرها التحقيقي: «خلصت المراجعة الجنائية للهجوم المستهدف من قبل مجموعة Lazarus على Bybit إلى أن هذا الهجوم استهدف Bybit Safe وتم تنفيذه من خلال جهاز مطور SafeWallet مخترق، مما أدى إلى اقتراح معاملة خبيثة مقنعة».