Cómo el comerciante OTC chino Yicong Wang ayudó al Grupo Lazarus a convertir criptomonedas robadas en efectivo

Yicong Wang, un comerciante OTC chino, ha estado lavando criptomonedas robadas para el notorio grupo de hackers norcoreano conocido como Grupo Lazarus desde 2022.

Conocido por usar seudónimos como Seawang, Greatdtrader y BestRhea977, Wang ha ayudado a convertir decenas de millones de dólares en criptomonedas robadas en efectivo a través de transferencias bancarias.

El investigador de cadena ZachXBT expuso la participación de Wang después de que una víctima se pusiera en contacto a principios de este año para informar de que su cuenta había sido congelada después de completar una transacción P2P con el criminal. También proporcionó a Zach una dirección de cartera TRON utilizada por Wang, tomada de una conversación de WeChat.

El papel de Wang en el lavado de criptomonedas robadas

Zach investigación reveló que Yicong Wang facilitó el lavado de fondos robados de hackeos relacionados con Lazarus, como los de Alex Labs, EasyFi, Bondly y el cofundador de Irys.

Específicamente, una dirección controlada por Wang consolidó 17 millones de dólares de estos hackeos, con 374.000 dólares en USDT bloqueados por Tether en noviembre de 2023. Después de este bloqueo, los fondos restantes se movieron rápidamente a Tornado Cash, el infame mezclador cripto.

Entre noviembre y diciembre de 2023, se retiraron y movieron 13 transacciones de 100 ETH cada una a una dirección de Ethereum diferente. Más tarde, en diciembre, se pasaron 45.000 dólares a TRON, llegando finalmente a carteras vinculadas a Wang.

A pesar de los intentos de Tether de bloquear estos fondos, movió el dinero de manera eficiente a través de servicios de mezcla cripto.

El ataque de Lazarus a Alex Labs en mayo de 2024 resultó en una pérdida de 4,5 millones de dólares. Poco después, una de las direcciones hackeadas depositó 470 ETH en un protocolo de privacidad.

La misma cantidad se retiró y transfirió a dos nuevas direcciones en cuestión de horas. Otros 449 ETH siguieron el mismo patrón entre el 27 y el 28 de junio de este año, y terminaron en las cuentas de Wang.

Más criptomonedas robadas lavadas

En julio, el Grupo Lazarus lanzó otro ataque, esta vez dirigido al cofundador de Irys. Utilizaron una campaña de correo electrónico de spear-phishing para robar 1,3 millones de dólares en criptomonedas. El ETH robado siguió la misma ruta que antes, con Wang facilitando el proceso de lavado.

El 31 de julio, los 70,8 ETH robados se depositaron en un protocolo de privacidad, seguidos de otros 338 ETH. Nuevamente, estos fondos se enviaron a múltiples direcciones antes de terminar en las carteras TRON de Wang.

Para el 13 de agosto, Wang había lavado otros 1,5 millones de dólares en USDT de los hackeos del Grupo Lazarus. Durante este período, los fondos se pasaron de Ethereum a TRON, vinculándose directamente a sus cuentas.

Las investigaciones sobre estas transacciones mostraron que una dirección de Ethereum bloqueada por Tether en agosto, que contenía 948.000 USDT, también estaba conectada a Wang.

Antes de ser bloqueada, se transfirieron 746.000 USDT a una de sus direcciones. Wang no se detuvo incluso después de ser prohibido en plataformas importantes como Paxful y Noones por lavar fondos.

Aunque sus cuentas bajo los alias fueron cerradas, Wang continuó realizando transacciones fuera de línea, ayudando al Grupo Lazarus a lavar fondos.

Amenaza continua de Lazarus para la industria cripto

A partir del 23 de octubre de 2024, el Grupo Lazarus sigue siendo una de las amenazas más peligrosas para la industria cripto. Siguen ejecutando hackeos de alto perfil, dirigiéndose a plataformas centralizadas y descentralizadas. 

Sus métodos se han vuelto cada vez más sofisticados, utilizando campañas de ingeniería social como los «Eager Crypto Beavers» para engañar a los profesionales de blockchain y hacer que descarguen malware. Este malware roba credenciales y acceso a carteras cripto, facilitando a Lazarus drenar fondos.

Solo en 2024, el grupo de hackers ha sido responsable de muchos hackeos importantes. En julio, vulneraron el exchange indio WazirX, lo que resultó en pérdidas de más de 235 millones de dólares.

También atacaron plataformas centralizadas como Stake.com, que perdió 41 millones de dólares en septiembre de 2023, y Deribit, que sufrió una pérdida de 28 millones de dólares en noviembre de 2022.

Aunque las fuerzas del orden han logrado algunos avances, recuperar los fondos robados ha sido un desafío. El Departamento de Justicia de EE. UU. (DOJ) está trabajando activamente para rastrear y recuperar las criptomonedas robadas por Lazarus, pero los métodos de lavado del grupo dificultan esta tarea.

A principios de este mes, el DOJ presentó demandas para recuperar más de 2,67 millones de dólares en activos digitales robados vinculados a los hackeos de Deribit y Stake.com. Pero estos esfuerzos representan solo una fracción del monto total robado por Lazarus.