- Si sostiene che il gruppo Lazarus abbia drenato 3,2 milioni di dollari da diversi wallet Solana il 16 maggio 2025, per poi trasferire gli asset rubati su Ethereum prima di riciclarli.
- Il 25 e il 27 giugno, gli attaccanti hanno depositato tranche da 400 ETH (per un totale di circa 1,6 milioni di dollari) in Tornado Cash per oscurare le tracce.
- Circa 1,25 milioni di dollari rimangono bloccati all'indirizzo Ethereum "0xa5…d528" in DAI ed ETH.
Gli investigatori crypto stanno lanciando allarmi dopo che 3,2 milioni di dollari sono stati drenati da più wallet Solana il 16 maggio 2025, che secondo loro portano i segni del Gruppo Lazarus legato alla Corea del Nord. Le attività rubate sono state rapidamente vendute on-chain e bridgate su Ethereum prima che una parte di esse venisse riciclata attraverso Tornado Cash.
Il 16 maggio, gli indirizzi Solana della vittima sono stati svuotati di token e le attività sono state poi convertite in Ethereum tramite un bridge prima che una parte di esse fosse depositata su Tornado Cash.
Il ricercatore blockchain ZachXBT ha pubblicamente segnalato l'exploit, tracciando parallelismi con le attività precedenti di Lazarus.
Gli hacker hanno bridgate i fondi rubati
Gli investigatori blockchain hanno lanciato l'allarme per la prima volta dopo aver osservato grandi trasferimenti dall'indirizzo “C4WY…e525” su Solana.
Queste transazioni, collegate al noto Gruppo Lazarus, hanno coinvolto il movimento dei token rubati attraverso un bridge e la loro conversione in Ethereum. ZachXBT ha segnalato l'attacco monitorando l'attività del bridge e tracciando i fondi che alla fine sono finiti in una rete di wallet su Ethereum.
Il 25 giugno e di nuovo il 27 giugno, 400 ETH sono stati inviati a Tornado Cash in due depositi separati. Quelle transazioni da 800 ETH, per un totale di circa 1,6 milioni di dollari, si allineano con le ben documentate tattiche di riciclaggio di Lazarus Group.
Seguendo hack di alto profilo come Bybit, dove sono stati rubati 1,5 miliardi di dollari nel febbraio 2025, e 100 milioni di dollari da Harmony’s Horizon bridge nel 2022, tra altri hack notevoli, Lazarus ha ripetutamente utilizzato Tornado Cash, insieme a decentralizzati exchanges e cross-chain bridges, per riciclare fondi offuscando le tracce delle transazioni.
Circa 1,25 milioni di dollari risiedono ancora in un indirizzo del wallet identificato come “0xa5…d528” su Ethereum, detenuti in una combinazione di DAI ed ETH. Gli analisti ipotizzano che questi fondi possano essere parcheggiati per un futuro riciclaggio o essere mantenuti intenzionalmente dormienti per mitigare il rischio di rilevamento.
Il Gruppo Lazarus è attivo da 2017
Lazarus Group si è guadagnata la reputazione di organizzazione di cybercriminalità statale più prolifica, con le sanzioni della Corea del Nord che li designano come una Minaccia Persistente Avanzata legata alle unità di intelligence militare d'élite di Pyongyang. Nel corso degli anni, hanno rubato miliardi in crypto dal 2017.
Il loro modus operandi inizia spesso con il phishing o l'infiltrazione basata su malware del personale chiave, sfruttando le vulnerabilità dei contratti intelligenti o dei wallet. Una volta ottenuti i fondi, vengono rapidamente convertiti in attività liquide, suddivisi in più wallet e riciclati attraverso le catene utilizzando mixer come Tornado Cash e servizi che forniscono swap istantanei senza requisiti Know Your Customer (KYC).
Tornado Cash rimane centrale nella strategia di riciclaggio di Lazarus. Sebbene le sanzioni degli Stati Uniti siano state imposte nel 2022, l'hosting decentralizzato e l'immutabilità hanno permesso al servizio di evitare lo spegnimento permanente. Nel gennaio 2025, un tribunale d'appello degli Stati Uniti ha revocato quelle sanzioni, citando considerazioni sulla libertà di espressione, nonostante le crescenti prove che collegano Lazarus all'uso continuato del mixer.
I regolatori e gli scambi potrebbero ora intraprendere misure per contrassegnare gli indirizzi segnalati come sospetti. Tuttavia, con la velocità e la complessità del pipeline di riciclaggio di Lazarus, i servizi di mixing continuano a rivelarsi sufficienti per nascondere il movimento dei loro fondi rubati.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
