Il Gruppo Lazarus lancia la meme coin 'QinShihuang' per riciclare altri 26 milioni di dollari dallo stash di Bybit

Il Gruppo Lazarus della Corea del Nord ha lanciato domenica mattina una meme coin chiamata QinShihuang sulla piattaforma Pump Fun per riciclare 26 milioni di dollari dai quasi 1,5 miliardi di dollari che hanno rubato dall'exchange di criptovalute Bybit.

L'investigatore on-chain ZachXBT prima esposto questo, come al solito, confermando che il portafoglio coinvolto (5STkQy…95T7Cq) ha inviato esattamente 60 token SOL a un altro portafoglio (9Gu8v6…aAdqWS) prima di lanciare mezzo milione di token QinShihuang.

Entro circa tre ore, questi token sono stati scambiati pesantemente e il volume delle transazioni ha rapidamente superato i 26 milioni di dollari.

Zach ha tracciato i fondi chiaramente. Ha detto che gli attaccanti hanno spostato 1,08 milioni di dollari USDC rubati da Bybit all'indirizzo del portafoglio 0x363908df2b0890e7e5c1e403935133094287d7d1 il 22 febbraio.

Gli attaccanti di Bybit hanno bridged questi fondi da Ethereum sulla blockchain Solana, utilizzando il portafoglio EFmqz8PTTShNsEsErMUFt9ZZx8CTZHz4orUhdz8Bdq2P.

Come Lazarus ci sta riuscendo

Dopo quello, Lazarus ha spostato gli USDC sulla Binance Smart Chain (BSC), dove il tracciamento di Zach ha mostrato che due portafogli separati hanno diviso automaticamente gli USDC rubati su oltre trenta indirizzi diversi, frammentando i fondi in trasferimenti più piccoli e più difficili da tracciare.

Una volta divisi, Lazarus ha poi ricombinato questi piccoli lotti di fondi in un unico portafoglio: 0x0be9ab85f399a15ed5e8cbe5859f7a882c7b55a3. Zach ha confermato che il portafoglio 0x0be9 ha poi diviso ulteriormente i fondi, inviando 106.000 USDC in modo uniforme su dieci nuovi portafogli.

Quei dieci portafogli hanno nuovamente bridged tutto indietro su Solana, completando un ciclo blockchain completo progettato specificamente per confondere i tracciatori blockchain. Non è un po' impressionante?

Zach ha anche notato qualcos'altro di strano. Molti di questi indirizzi Solana hanno ricevuto minuscole transazioni "dust" di meme coin da truffatori casuali.

Lazarus, invece di ignorare questa polvere, ha iniziato a scambiare attivamente queste meme coin di nuovo in SOL. Ha pulito la SOL sporca, l'ha mescolata e ha spostato i fondi attraverso gli scambi su Pump Fun, esattamente come con QinShihuang.

Zach ha pubblicato gli indirizzi coinvolti pubblicamente, circa 920 portafogli, ma ha rimosso i portafogli specifici dalle interfacce del software di tracciamento per impedire a Lazarus di nascondere rapidamente le tracce di nuovo. Puoi trovarli qui.

I soldi rubati da Bybit sono poi finiti su vari exchange di criptovalute e piattaforme di swapping, scomparendo silenziosamente dietro scambi che sembrano legittimi.

Il CEO di Helius Labs, Mert, ha commentato direttamente i rischi, affermando che i team che costruiscono app decentralizzate senza filtri o protezioni stanno commettendo un enorme errore. Ha confrontato le app crypto con l'email, dove la tecnologia sottostante è neutrale, ma il software rivolto agli utenti, come Gmail, blocca gli attori malevoli noti.

Secondo secondo Mert, le app crypto devono implementare lo stesso filtro di base se sanno che specifici indirizzi di portafoglio appartengono a gruppi criminali come Lazarus. Mert ha aggiunto chiaramente che non ha personalmente verificato se Lazarus ha emesso le monete direttamente, ma ha fatto i suoi commenti per avvertire gli sviluppatori in generale sui rischi come questi.

Mert ha specificamente chiesto perché Pump Fun non abbia inserito nella lista nera i portafogli associati a Lazarus. Con il volume di trading di Pump Fun così alto, Lazarus ha facilmente comprato monete su portafogli puliti, ha gonfiato i prezzi usando SOL rubati, poi ha venduto tutto di nuovo in quei portafogli puliti. Attraverso il semplice trading pump-and-dump, Lazarus ha trasformato chiaramente criptovalute rubate tracciabili in profitti puliti e non tracciabili.

Non è la prima volta per Lazarus

Le scoperte di Zach hanno mostrato che Lazarus ha già fatto questo prima. Alcuni indirizzi dall'attuale schema di riciclaggio hanno precedentemente lanciato altre meme token su Pump Fun. Questo significa che Lazarus ha sfruttato ripetutamente l'attività di trading di Pump Fun per il riciclaggio di denaro.

SlowMist, una società di ricerca sulla sicurezza, ha sottolineato che Lazarus ha utilizzato pesantemente la piattaforma di mixing crypto eXch. eXch ha rifiutato direttamente di aiutare quando Bybit ha chiesto cooperazione.

Invece, eXch ha pubblicato la richiesta di intercettazione da Bybit pubblicamente e l'ha rifiutata con rabbia. SlowMist ha spiegato chiaramente che eXch prende di mira apertamente il personale di sicurezza, esponendo informazioni personali online.

Hanno fortemente esortato le piattaforme crypto ad aumentare le misure di sicurezza contro i fondi provenienti da eXch, che Lazarus utilizza regolarmente per convertire ETH rubato in criptovalute più difficili da tracciare come Bitcoin e Monero.

Arthur Hayes, co-fondatore dell'exchange crypto BitMEX, ha chiesto apertamente a Vitalik Buterin su X se Ethereum potrebbe considerare di fare un rollback della blockchain per invertire il massiccio hack a Bybit, che ha comportato il furto di circa 400.000 ETH.

Il post di Arthur ha innescato un dibattito immediato tra gli utenti crypto. Ha ribadito, dicendo chiaramente che credeva che Ethereum avesse abbandonato l'immutabilità dopo l'hack del DAO del 2016, quando gli sviluppatori di Ethereum hanno invertito un furto di 60 milioni di dollari utilizzando una controversa hard fork.

Arthur ha detto che Ethereum "ha smesso di essere denaro" in quel punto. Ha sostenuto apertamente che se Ethereum ha fatto un rollback prima, non dovrebbe esserci resistenza a farlo di nuovo ora per recuperare i fondi di Bybit.

Vitalik non ha ancora risposto pubblicamente alla richiesta di Arthur. Ma molti nella comunità stanno criticando il suggerimento di Arthur, con alcuni che pensano persino che stia prendendo in giro Vitalik.

Il tweet di Arthur ha anche riacceso i dibattiti sull'immutabilità della blockchain, sulla decentralizzazione e se i rollback dovrebbero mai accadere di nuovo sulle principali blockchain.

Gli analisti blockchain hanno spiegato chiaramente perché Ethereum probabilmente non prenderà in considerazione un rollback ora. La rete di Ethereum utilizza attualmente un modello "basato su account" per memorizzare i fondi, proprio come le banche regolari.

Quando gli sviluppatori di Ethereum hanno invertito l'hack del DAO, i nodi hanno aggiornato le versioni del software e hanno spostato i fondi ETH su nuovi indirizzi. Oggi, invertire un hack simile richiederebbe un enorme consenso dagli utenti di Ethereum, dai nodi e dagli sviluppatori, un consenso quasi impossibile ora.

Qualcosa di simile è successo con Bitcoin nel 2019. Il CEO di Binance, Changpeng Zhao, ha considerato apertamente di fare un rollback di Bitcoin dopo che gli hacker hanno rubato 40 milioni di dollari. Ha rapidamente cambiato il suo linguaggio da "rollback" a "re-org" a causa delle polemiche.

I miner e i maxis di Bitcoin hanno respinto fortemente l'idea, criticando qualsiasi tentativo di invertire le transazioni come una violazione fondamentale dei principi di decentralizzazione.

Anche la comunità di Ethereum ha respinto le idee di rollback questa volta. Ma blockchain più piccole hanno fatto rollback con successo in passato, tipicamente dopo un attacco. È raro, ma non completamente inusuale.

Zach ha annunciato per primo il massiccio furto di Bybit lo scorso venerdì. Ha notato attività on-chain sospette che coinvolgevano oltre 1,47 miliardi di dollari che fluivano rapidamente fuori da Bybit. Zach ha osservato gli attaccanti che scambiavano rapidamente token avvolto come mETH e stETH in token Ethereum regolari attraverso exchange decentralizzati, cercando aggressivamente di oscurare i fondi rubati.