Investigadores estabelecem conexão entre a KelpDAO e hackers da Humanity na blockchain

O ataque de US$ 292 milhões à ponte KelpDAO em abril e o roubo da chave privada do Protocolo da Humanidade em junho já eram suspeitos de estarem relacionados, pois ambos osdentapresentavam características de operações ligadas à Coreia do Norte, com suspeitas recaindo sobre o notório grupo Lazarus. 

Agora, as evidências on-chain mostram que os lucros desses ataques estão sendo direcionados para carteiras compartilhadas, um padrão consistente com um único canal de lavagem de dinheiro, de acordo com o analista de blockchain Specter.

Como os atacantes movimentaram os fundos do Kelp DAO e do protocolo Humanity?

Segundo a Specter, o atacante do Humanity Protocol movimentou 15.403 ETH, o equivalente a cerca de US$ 23,6 milhões, para um Ethereum endereço 

Os fundos foram então transferidos para a rede Bitcoin , onde se misturaram com os lucros que foram tracaté a exploração da vulnerabilidade KelpDAO.

Essa ação é uma técnica bem documentada do Lazarus Group, na qual eles consolidam os lucros de operações separadas em carteiras Bitcoin unificadas antes de encaminhá-los por meio de mixers e mesas de negociação de balcão.

Qual a ligação entre as duas explorações?

De acordo com a investigação da Chainalysis, os atacantes por trás da exploração da vulnerabilidade KelpDAO em 18 de abril comprometeram nós RPC internos operados pela LayerZero Labs e lançaram um ataque DDoS contra nós externos simultaneamente.

Os atacantes enganaram otracda ponte Ethereum para liberar 116.500 rETH sem uma queima de tokens correspondente na cadeia de origem.

O ataque foi atribuído ao Lazarus Group. O Arbitrum Security Council congelou mais de 30.000 ETH dos fundos do atacante, e a pausa de emergência da KelpDAO também impediu que outros US$ 95 milhões fossem perdidos.

Embora a violação do Protocolo de Humanidade não tenha seguido o mesmo padrão do ataque à Kelp DAO, os relatórios de análise posterior mostram agora que agentes mal-intencionados ligados à Coreia do Norte estiveram envolvidos. 

Um relatóriodent da Quantstamp, preparado para o Humanity Protocol em 11 de junho, constatou que o atacante realizou um ataque de phishing contra um diretor da empresa, Chong Yee Wai, com um e-mail malicioso se passando pela corretora coreana Bithumb. 

A Quantstamp afirmou que o ataque foi "característico de intrusões da Coreia do Norte"

O malware concedeu ao atacante acesso remoto à área de trabalho do computador Windows de Chong. A partir daí, o atacante copiou as chaves da carteira MetaMask e as utilizou para cunhar e vender tokens $H não autorizados nas redes Ethereum e BNB Smart Chain. Isso causou uma queda de aproximadamente 89% no valor do token.

De acordo com as descobertas da Quantstamp, os lucros obtidos em endereços conhecidos de atacantes somam mais de US$ 21 milhões em ETH.

Complicações legais adicionam um novo desafio aos esforços de recuperação

Atualmente, os demandantes detêm mais de US$ 877 milhões em sentenças judiciais não pagas nos EUA contra a Coreia do Norte. Em maio, eles notificaram a Arbitrum DAO com uma liminar para que o valor fosse retido em 30 de abril, buscando a apreensão de aproximadamente 30.766 ETH (cerca de US$ 71 milhões) em fundos congelados.

O demandante alegou que, como os fundos estavam ligados à Coreia do Norte, tinha o direito de confiscar quaisquer fundos de grupos ligados ao país como parte do pagamento de dívidas judiciais não quitadas.

A Arbitrum já tinha em andamento uma proposta de governança para transferir os fundos congelados para uma iniciativa de recuperação apoiada pela Aave Labs, KelpDAO, LayerZero, EtherFi e Compound, que compensaria os usuários afetados.

Posteriormente, um tribunal aprovou a decisão do Arbitrum de transferir os fundos da Kelp de volta para a Aave. Ainda não se sabe como o demandante reagirá a essa nova confirmação do envolvimento da Coreia do Norte, mas, considerandodentanteriores, é bem provável que a perda e a possível recuperação do Protocolo de Humanidade também sejam objeto de litígio.