Il Gruppo Lazarus della Corea del Nord sta conducendo una cyberguerra contro le criptovalute—E gli sviluppatori sono il nuovo bersaglio

Il Gruppo Lazarus, l'infame unità di hacking della Corea del Nord, ha effettuato nuovi attacchi informatici nelle criptovalute con un crescente focus sugli sviluppatori. 

I ricercatori di sicurezza hanno scoperto negli ultimi mesi che il gruppo ha sabotato pacchetti npm malevoli che rubano credenziali, esfiltrano dati dei portafogli di criptovalute e creano una backdoor persistente negli ambienti di sviluppo. Questo segna un'importante escalation nella sua cyberguerra di anni, che ha già assistito ad alcuni dei più grandi furti di criptovalute nella storia.

Secondo una nuova indagine del Socket Research Team, una branca del Gruppo Lazarus ha penetrato il repository npm, uno dei gestori di pacchetti più popolari per gli sviluppatori JavaScript. 

Gli hacker hanno quindi utilizzato tecniche di typosquatting per pubblicare versioni malevole di popolari pacchetti npm, ingannando gli sviluppatori ignari nel scaricare i programmi. I pacchetti includono is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency e auth-validator. 

Quando eseguiti, i pacchetti compromessi installano il malware BeaverTail. Questo strumento "avanzato" può rubare le credenziali di accesso, cercare nei file del browser le password salvate e scaricare file dai portafogli di criptovalute, come Solana ed Exodus.

I ricercatori della sicurezza hanno notato che i dati rubati sono stati inviati al server di comando e controllo (C2) hardcoded, una comune modalità operativa impiegata dal Lazarus Group per trasmettere i dati riservati ai propri attori. 

Il suo scopo è rubare e trasmettere dati compromessi senza essere rilevati, ed è stato particolarmente minaccioso nel mondo degli sviluppatori che costruiscono applicazioni finanziarie e blockchain, afferma Kirill Boychenko, analista di threat intelligence presso Socket Security.

Lazarus ha lanciato un'offensiva contro Bybit, rubando quasi 1,46 miliardi di dollari

Oltre a questi attacchi alla catena di approvvigionamento, il Lazarus Group è stato anche collegato a uno dei più grandi furti di criptovalute della storia. La sua prima azione si sospetta sia avvenuta il 21 febbraio 2025, quando hacker collegati al gruppo hanno violato Bybit, uno dei più grandi exchange di criptovalute al mondo, portandosi via stimati 1,46 miliardi di dollari in asset crittografici.

L'attacco è stato estremamente sofisticato e si è presumibilmente lanciato da un dispositivo compromesso di un dipendente di Safe{Wallet}, partner tecnologico di Bybit. Gli hacker hanno sfruttato una vulnerabilità nell'infrastruttura del wallet Ethereum di Bybit e hanno alterato la logica degli smart contract per dirottare i fondi verso i loro wallet.

Sebbene Bybit abbia affrontato il problema immediatamente, una dichiarazione di CEO Ben Zhou ha rivelato che il 20% del denaro rubato era già stato riciclato tramite servizi di mixing ed era irrintracciabile.

Questa ultima serie di attacchi fa parte dello sforzo più ampio della Corea del Nord per eludere le sanzioni internazionali contro di essa rubando e riciclando criptovalute.

Secondo un rapporto delle Nazioni Unite del 2024, i cybercriminali nordcoreani sono stati responsabili di oltre il 35% dei furti globali di criptovalute nell'ultimo anno, accumulando oltre 1 miliardo di dollari in asset rubati. Il Lazarus Group non è solo un syndicate di cybercriminalità, ma anche una minaccia geopolitica poiché il denaro rubato viene presumibilmente convogliato direttamente nei programmi nucleari e missilistici balistici della nazione.

Tali attacchi del Lazarus Group sono anche progrediti nel corso degli anni, dagli hack diretti agli exchange agli attacchi alla catena di approvvigionamento e persino agli attacchi agli sviluppatori e ai repository di software.

Aggiungendo backdoor a piattaforme open-source come npm, PyPI e GitHub, il gruppo espande il suo potenziale raggio d'attacco a molti sistemi, eliminando la necessità di hackerare direttamente gli exchange di criptovalute.

Gli esperti di sicurezza chiedono protezioni più rigorose per gli sviluppatori di criptovalute 

Notando questi crescenti rischi, gli specialisti della cybersecurity spingono per una sicurezza più rigorosa per gli sviluppatori e gli utenti di criptovalute e per la protezione dagli hacker. Una di queste migliori pratiche è verificare l'autenticità dei pacchetti npm prima dell'installazione, poiché il typosquatting continua a essere uno dei metodi più comuni utilizzati dai criminali informatici. 

Anche lo Scanner AI di Socket traccia le anomalie nelle dipendenze del tuo software o nell'audit npm, informandoti se sono in uso pacchetti compromessi e consentendoti di rimuoverli dalla tua applicazione prima che possano causare danni reali.

La guida raccomanda agli utenti e agli sviluppatori di prendere l'iniziativa di proteggersi abilitando l'autenticazione multi-fattore (MFA) per i wallet degli exchange, le piattaforme di sviluppo come GitHub e altri account. 

Il monitoraggio di rete è ora considerato la prima linea di difesa poiché il sistema compromesso di solito invia messaggi a un server di comando e controllo (C2) esterno, che poi carica gli aggiornamenti malevoli sul computer infetto. Bloccare il traffico in uscita illegittimo può tagliare l'accesso degli hacker a questi dati rubati.

Bybit lancia un bounty per il recupero mentre la battaglia per la sicurezza delle criptovalute si intensifica

Dopo l'attacco a Bybit, l'exchange ha anche avviato un programma di Bounty per il Recupero, premiando chiunque aiuti a trovare gli asset rubati. Il programma prevede premi fino al 10% del denaro recuperato.

Allo stesso tempo, l'ecosistema delle criptovalute più ampio sta intensificando le pratiche di sicurezza e avvisando gli sviluppatori di proteggersi dalle stesse pratiche che possono portare lungo questo percorso minaccioso.

Ma mentre le tattiche del Lazarus Group avanzano sempre più rapidamente, i difensori della rete dicono che la guerra sulle criptovalute è appena iniziata.