O Grupo Lazarus da Coreia do Norte está travando uma ciberguerra contra as criptomoedas — e os desenvolvedores são o novo alvo

O Grupo Lazarus, a infame unidade de hacking da Coreia do Norte, realizou novos ciberataques no setor de criptomoedas, com um foco crescente em desenvolvedores. 

Pesquisadores de segurança descobriram nos últimos meses que o grupo tem sabotado pacotes maliciosos do npm que roubam credenciais, exfiltram dados de carteiras de criptomoedas e criam uma porta dos fundos persistente em ambientes de desenvolvimento. Isso marca uma grande escalada em sua ciberguerra de anos, que já testemunhou alguns dos maiores roubos de criptomoedas da história.

De acordo com uma nova investigação do Socket Research Team, uma filial do Grupo Lazarus penetrou no repositório npm, um dos gerenciadores de pacotes mais populares para desenvolvedores JavaScript. 

Os hackers então usaram técnicas de typosquatting para publicar versões maliciosas de pacotes npm populares, enganando desenvolvedores desavisados para que baixassem os programas. Os pacotes incluem is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency e auth-validator. 

Quando executados, os pacotes comprometidos instalam o malware BeaverTail. Esta ferramenta “avançada” pode roubar credenciais de login, procurar arquivos do navegador por senhas salvas e despejar arquivos de carteiras de criptomoedas, como Solana e Exodus.

Pesquisadores de segurança observaram que os dados roubados foram enviados para o servidor de comando e controle (C2) codificado, uma modus operandi comum empregada pelo Grupo Lazarus para transmitir dados confidenciais de volta aos seus agentes. 

Seu objetivo é roubar e transmitir dados comprometidos sem ser detectado, e isso é particularmente ameaçador no mundo dos desenvolvedores que criam aplicações financeiras e de blockchain, afirma Kirill Boychenko, analista de inteligência de ameaças na Socket Security.

Lazarus lançou uma ofensiva contra a Bybit, roubando quase US$ 1,46 bilhão

Além desses ataques à cadeia de suprimentos, o Grupo Lazarus também está ligado a um dos maiores roubos de criptomoedas registrados. Acredita-se que sua primeira ação tenha ocorrido em 21 de fevereiro de 2025, quando hackers ligados ao grupo invadiram a Bybit, uma das maiores exchanges de criptomoedas do mundo, levando cerca de US$ 1,46 bilhão em ativos cripto.

O ataque foi extremamente sofisticado e foi supostamente lançado a partir de um dispositivo comprometido de um funcionário da Safe{Wallet}, parceira tecnológica da Bybit. Os hackers exploraram uma vulnerabilidade na infraestrutura da carteira Ethereum da Bybit e alteraram a lógica do contrato inteligente para redirecionar fundos para suas carteiras.

Embora a Bybit tenha resolvido o problema imediatamente, uma declaração do CEO Ben Zhou revelou que 20% do dinheiro roubado já havia sido lavado por meio de serviços de mistura e era irrecuperável.

Esta nova série de ataques faz parte do esforço mais amplo da Coreia do Norte para evadir sanções internacionais contra o país, roubando e lavando criptomoedas.

De acordo com um relatório das Nações Unidas de 2024, cibercriminosos norte-coreanos foram responsáveis por mais de 35% dos roubos globais de criptomoedas no ano passado, acumulando mais de US$ 1 bilhão em ativos roubados. O Grupo Lazarus não é apenas um sindicato de cibercrime, mas também uma ameaça geopolítica, pois o dinheiro roubado é supostamente direcionado diretamente para os programas de armas nucleares e mísseis balísticos da nação.

Os ataques do Grupo Lazarus também evoluíram ao longo dos anos, passando de hacks diretos em exchanges para ataques à cadeia de suprimentos e até mesmo ataques a desenvolvedores e repositórios de software.

Ao adicionar portas dos fundos a plataformas de código aberto como npm, PyPI e GitHub, o grupo expande seu potencial alcance de ataque para muitos sistemas, eliminando a necessidade de hackear diretamente as exchanges de criptomoedas.

Especialistas em segurança estão pedindo proteções mais rigorosas para desenvolvedores de criptomoedas 

Percebendo esses riscos crescentes, especialistas em cibersegurança estão pressionando por uma segurança mais rigorosa para desenvolvedores e usuários de criptomoedas, bem como proteção contra hackers. Uma das melhores práticas é verificar a autenticidade dos pacotes npm antes da instalação, pois o typosquatting continua sendo um dos métodos mais comuns usados por cibercriminosos. 

O Socket AI Scanner também rastreia anomalias em suas dependências de software ou no npm audit, informando se algum pacote comprometido está em uso e permitindo que você os remova de sua aplicação antes que causem danos reais.

O guia recomenda que usuários e desenvolvedores tomem a iniciativa de se proteger habilitando a autenticação multifator (MFA) para carteiras de exchanges, plataformas de desenvolvedores como GitHub e outras contas. 

A monitoração de rede é agora considerada a primeira linha de defesa, pois o sistema comprometido geralmente enviará mensagens de volta a um servidor externo de comando e controle (C2), que então carrega as atualizações maliciosas no computador infectado. Bloquear o tráfego de saída ilegítimo pode cortar o acesso dos hackers a esses dados roubados.

Bybit lança recompensa de recuperação enquanto a batalha de segurança de criptomoedas se intensifica

Após o hack da Bybit, a exchange também iniciou um Programa de Recompensa de Recuperação, recompensando qualquer pessoa que ajudar a encontrar os ativos roubados. O programa permite recompensas de até 10% do dinheiro recuperado.

Ao mesmo tempo, o ecossistema maior de criptomoedas está ocupado intensificando as práticas de segurança e alertando os desenvolvedores para se protegerem contra as mesmas práticas que podem levar a esse caminho ameaçador.

Mas à medida que as táticas do Grupo Lazarus avançam cada vez mais rápido, os defensores da rede dizem que a guerra contra as criptomoedas acabou de começar.