El Grupo Lazarus lanza la moneda meme 'QinShihuang' para lavar otros $26 millones del botín de Bybit

El Grupo Lazarus de Corea del Norte lanzó una moneda meme llamada QinShihuang en la plataforma Pump Fun la mañana del domingo para lavar $26 millones de los casi $1.500 millones que robaron al exchange de criptomonedas Bybit.

El investigador on-chain ZachXBT fue el primero expuestas en descubrir esto, como es habitual, confirmando que la billetera involucrada (5STkQy…95T7Cq) envió exactamente 60 tokens SOL a otra billetera (9Gu8v6…aAdqWS) antes de lanzar medio millón de tokens QinShihuang.

En aproximadamente tres horas, estos tokens se negociaron intensamente y el volumen de transacciones superó rápidamente los $26 millones.

Zach rastreó los fondos claramente. Dijo que los atacantes movieron $1,08 millones de USDC robados de Bybit a la dirección de billetera 0x363908df2b0890e7e5c1e403935133094287d7d1 el 22 de febrero.

Los atacantes de Bybit pasaron estos fondos de Ethereum a la blockchain de Solana, utilizando la billetera EFmqz8PTTShNsEsErMUFt9ZZx8CTZHz4orUhdz8Bdq2P.

Cómo lo logra Lazarus

Después de eso, Lazarus movió el USDC a la cadena de Binance Smart Chain (BSC), donde el seguimiento de Zach mostró que dos billeteras separadas dividieron automáticamente el USDC robado en más de treinta direcciones diferentes, descomponiendo los fondos en transferencias más pequeñas y difíciles de rastrear.

Una vez divididos, Lazarus volvió a combinar estos lotes más pequeños de fondos en una sola billetera: 0x0be9ab85f399a15ed5e8cbe5859f7a882c7b55a3. Zach confirmó que la billetera 0x0be9 dividió aún más los fondos, enviando 106.000 USDC equitativamente entre diez nuevas billeteras.

Esas diez billeteras volvieron a pasar todo de nuevo a Solana, completando un ciclo completo de blockchain diseñado específicamente para confundir a los rastreadores de blockchain. ¿No es simplemente impresionante?

Zach también notó algo más extraño. Muchas de estas direcciones de Solana recibieron transacciones de "polvo" de monedas meme diminutas de estafadores aleatorios.

Lazarus, en lugar de ignorar este polvo, comenzó a intercambiar activamente estas monedas meme de nuevo a SOL. Limpiaron el SOL sucio, lo mezclaron y movieron los fondos a través de operaciones en Pump Fun, exactamente igual que con QinShihuang.

Zach publicó las direcciones involucradas públicamente, alrededor de 920 billeteras, pero eliminó billeteras específicas de las interfaces de software de seguimiento para evitar que Lazarus ocultara rápidamente las pistas nuevamente. Puedes encontrarlas aquí.

El dinero robado de Bybit terminó finalmente en varios exchanges de criptomonedas y plataformas de intercambio, desapareciendo silenciosamente detrás de operaciones que parecen legítimas.

El CEO de Helius Labs, Mert, comentó directamente sobre los riesgos, diciendo que los equipos que construyen aplicaciones descentralizadas sin filtros ni protecciones están cometiendo un gran error. Comparó las aplicaciones de criptomonedas con el correo electrónico, donde la tecnología subyacente es neutral, pero el software orientado al usuario, como Gmail, bloquea a los actores maliciosos conocidos.

Según para Mert, las aplicaciones de criptomonedas deben implementar el mismo filtrado básico si saben que direcciones de billetera específicas pertenecen a grupos criminales como Lazarus. Mert agregó claramente que él personalmente no verificó si Lazarus emitió las monedas directamente, pero hizo sus comentarios para advertir a los desarrolladores en general sobre riesgos como estos.

Mert cuestionó específicamente por qué Pump Fun no puso en lista negra las billeteras asociadas con Lazarus. Con el volumen de trading de Pump Fun siendo tan alto, Lazarus compró fácilmente monedas en billeteras limpias, infló los precios usando SOL robado y luego vendió todo de nuevo a esas billeteras limpias. A través de simples operaciones de pump-and-dump, Lazarus convirtió criptomonedas robadas claramente rastreables en ganancias limpias y no rastreables.

No es la primera vez de Lazarus

Los descubrimientos de Zach mostraron que Lazarus ya ha hecho esto antes. Algunas direcciones del esquema de lavado de dinero actual lanzaron anteriormente otras monedas meme en Pump Fun. Esto significa que Lazarus ha explotado repetidamente la actividad de trading de Pump Fun para el lavado de dinero.

SlowMist, una firma de investigación de seguridad, señaló que Lazarus utilizó intensamente la plataforma de mezcla de criptomonedas eXch. eXch se negó directamente a ayudar cuando Bybit solicitó cooperación.

En cambio, eXch publicó la solicitud de interceptación de Bybit públicamente y la rechazó enérgicamente. SlowMist explicó claramente que eXch apunta abiertamente al personal de seguridad, exponiendo información personal en línea.

Instaron firmemente a las plataformas de criptomonedas a aumentar las medidas de seguridad contra los fondos que provienen de eXch, que Lazarus utiliza regularmente para convertir ETH robado en criptomonedas más difíciles de rastrear como Bitcoin y Monero.

Arthur Hayes, cofundador del exchange de criptomonedas BitMEX, preguntó abiertamente a Vitalik Buterin en X si Ethereum podría considerar revertir la blockchain para revertir el enorme hackeo en Bybit, que resultó en el robo de aproximadamente 400.000 ETH.

La publicación de Arthur desencadenó un debate inmediato entre los usuarios de criptomonedas. Él insistió, diciendo claramente que creía que Ethereum abandonó la inmutabilidad después del hackeo de DAO de 2016, cuando los desarrolladores de Ethereum revirtieron un robo de $60 millones mediante una bifurcación controversial (hard fork).

Arthur dijo que Ethereum "dejó de ser dinero" en ese momento. Argumentó abiertamente que si Ethereum hizo una reversión antes, no debería haber resistencia a hacerla nuevamente ahora para recuperar los fondos de Bybit.

Vitalik aún no ha respondido públicamente a la solicitud de Arthur. Pero muchos en la comunidad están criticando la sugerencia de Arthur, con algunos incluso pensando que está provocando a Vitalik.

El tweet de Arthur también reavivó los debates sobre la inmutabilidad de la blockchain, la descentralización y si las reversiones deberían ocurrir nuevamente en las principales blockchains.

Los analistas de blockchain explicaron claramente por qué Ethereum probablemente no considerará una reversión ahora. La red de Ethereum utiliza actualmente un modelo "basado en cuentas" para almacenar fondos, al igual que los bancos regulares.

Cuando los desarrolladores de Ethereum revirtieron el hackeo de DAO, los nodos actualizaron las versiones de software y movieron los fondos ETH a nuevas direcciones. Hoy en día, revertir un hackeo similar requeriría un consenso masivo de los usuarios de Ethereum, nodos y desarrolladores, un consenso casi imposible ahora.

Algo bastante similar ocurrió con Bitcoin en 2019. El CEO de Binance, Changpeng Zhao, consideró abiertamente revertir Bitcoin después de que los hackers robaron $40 millones. Rápidamente cambió su lenguaje de "reversión" a "reorganización" (re-org) debido a la reacción negativa.

Los mineros y los maximalistas de Bitcoin rechazaron la idea firmemente, criticando cualquier intento de revertir transacciones como una violación fundamental de los principios de descentralización.

La comunidad de Ethereum también rechazó las ideas de reversión esta vez. Pero blockchains más pequeñas han hecho reversiones con éxito en el pasado, típicamente después de un ataque. Es raro, pero no completamente inaudito.

Zach anunció primero el masivo robo de Bybit el viernes pasado. Detectó actividad on-chain sospechosa que involucraba más de $1.470 millones fluyendo rápidamente fuera de Bybit. Zach observó a los atacantes intercambiando rápidamente tokens envueltos como mETH y stETH por tokens de Ethereum regulares a través de exchanges descentralizados, intentando agresivamente oscurecer los fondos robados.