Grupo Lazarus lança meme coin ‘QinShihuang’ para lavar mais US$ 26 milhões do estoque da Bybit

O Grupo Lazarus, da Coreia do Norte, lançou na manhã de domingo uma meme coin chamada QinShihuang na plataforma Pump Fun para lavar US$ 26 milhões dos quase US$ 1,5 bilhão que roubaram da exchange de criptomoedas Bybit.

Investigador on-chain ZachXBT primeiro exposto isso, como de costume, confirmando que a carteira envolvida (5STkQy…95T7Cq) enviou exatamente 60 tokens SOL para outra carteira (9Gu8v6…aAdqWS) antes de lançar meio milhão de tokens QinShihuang.

Em cerca de três horas, esses tokens foram negociados intensamente, e o volume de transações rapidamente ultrapassou US$ 26 milhões.

Zach rastreou os fundos de volta claramente. Ele disse que os atacantes moveram US$ 1,08 milhão em USDC roubados da Bybit para o endereço da carteira 0x363908df2b0890e7e5c1e403935133094287d7d1 em 22 de fevereiro.

Os atacantes da Bybit pontilharam esses fundos da Ethereum para a blockchain Solana, usando a carteira EFmqz8PTTShNsEsErMUFt9ZZx8CTZHz4orUhdz8Bdq2P.

Como o Lazarus está conseguindo isso

Depois disso, o Lazarus moveu o USDC para a Binance Smart Chain (BSC), onde o rastreamento de Zach mostrou que duas carteiras separadas dividiram automaticamente o USDC roubado em mais de trinta endereços diferentes, fragmentando os fundos em transferências menores e mais difíceis de rastrear.

Uma vez divididos, o Lazarus então recombinou esses lotes menores de fundos em uma única carteira: 0x0be9ab85f399a15ed5e8cbe5859f7a882c7b55a3. Zach confirmou que a carteira 0x0be9 dividiu os fundos ainda mais, enviando 106.000 USDC uniformemente para dez novas carteiras.

Essas dez carteiras novamente pontilharam tudo de volta para a Solana, completando um ciclo completo de blockchain projetado especificamente para confundir os rastreadores de blockchain. Não é apenas um pouco impressionante?

Zach também notou algo mais estranho. Muitos desses endereços da Solana receberam transações minúsculas de “poeira” de meme coins de golpistas aleatórios.

O Lazarus, em vez de ignorar essa poeira, começou a trocar ativamente essas meme coins de volta para SOL. Eles limparam o SOL sujo, misturaram-no e moveram os fundos através de negociações no Pump Fun — exatamente como com a QinShihuang.

Zach publicou os endereços envolvidos — cerca de 920 carteiras —, mas removeu carteiras específicas das interfaces de software de rastreamento para impedir que o Lazarus escondesse rapidamente os rastros novamente. Você pode encontrá-los aqui.

O dinheiro roubado da Bybit então acabou em várias exchanges de criptomoedas e plataformas de troca, desaparecendo silenciosamente atrás de negociações que parecem legítimas.

O CEO da Helius Labs, Mert, comentou diretamente sobre os riscos, dizendo que as equipes que constroem aplicativos descentralizados sem filtros ou proteções estão cometendo um grande erro. Ele comparou os aplicativos de cripto ao e-mail, onde a tecnologia subjacente é neutra, mas o software voltado para o usuário — como o Gmail — bloqueia atores maliciosos conhecidos.

De acordo para Mert, os aplicativos de cripto devem implementar o mesmo filtro básico se souberem que endereços de carteira específicos pertencem a grupos criminosos como o Lazarus. Mert acrescentou claramente que ele não verificou pessoalmente se o Lazarus emitiu as moedas diretamente, mas fez seus comentários para alertar os desenvolvedores em geral sobre riscos como esses.

Mert questionou especificamente por que o Pump Fun não colocou na lista negra as carteiras associadas ao Lazarus. Com o volume de negociações do Pump Fun sendo tão alto, o Lazarus facilmente comprou moedas em carteiras limpas, inflacionou os preços usando SOL roubado e depois vendeu tudo de volta para essas carteiras limpas. Através de negociações simples de pump-and-dump, o Lazarus transformou cripto roubado claramente rastreável em lucros limpos e não rastreáveis.

Não é a primeira vez do Lazarus

As descobertas de Zach mostraram que o Lazarus já fez isso antes. Alguns endereços do esquema atual de lavagem de dinheiro lançaram anteriormente outros tokens meme no Pump Fun. Isso significa que o Lazarus explorou repetidamente a atividade de negociação do Pump Fun para lavagem de dinheiro.

A SlowMist, uma empresa de pesquisa de segurança, apontou que o Lazarus usou intensamente a plataforma de mistura de criptomoedas eXch. O eXch recusou-se diretamente a ajudar quando a Bybit pediu cooperação.

Em vez disso, o eXch publicou o pedido de interceptação da Bybit publicamente e o rejeitou com raiva. A SlowMist explicou claramente que o eXch ataca abertamente o pessoal de segurança, expondo informações pessoais online.

Eles instaram fortemente as plataformas de cripto a aumentarem as medidas de segurança contra fundos provenientes do eXch, que o Lazarus usa regularmente para converter ETH roubado em criptomoedas mais difíceis de rastrear, como Bitcoin e Monero.

Arthur Hayes, co-fundador da exchange de criptomoedas BitMEX, perguntou abertamente a Vitalik Buterin no X se a Ethereum poderia considerar reverter a blockchain para reverter o grande hack na Bybit, que resultou em cerca de 400.000 ETH sendo roubados.

A publicação de Arthur desencadeou um debate imediato entre os usuários de cripto. Ele reforçou sua posição, dizendo claramente que acreditava que a Ethereum abandonou a imutabilidade após o hack do DAO em 2016 — quando os desenvolvedores da Ethereum reverteram um roubo de US$ 60 milhões usando uma hard fork controversa.

Arthur disse que a Ethereum “parou de ser dinheiro” naquele ponto. Ele argumentou abertamente que, se a Ethereum fez uma reversão antes, não deveria haver resistência em fazê-lo novamente agora para recuperar os fundos da Bybit.

Vitalik ainda não respondeu publicamente ao pedido de Arthur. Mas muitos na comunidade estão criticando a sugestão de Arthur, com alguns até achando que ele está provocando Vitalik.

O tweet de Arthur também reacendeu os debates sobre a imutabilidade da blockchain, a descentralização e se reversões devem acontecer novamente em blockchains principais.

Analistas de blockchain explicaram claramente por que a Ethereum provavelmente não considerará uma reversão agora. A rede Ethereum atualmente usa um modelo “baseado em contas” para armazenar fundos, assim como os bancos regulares.

Quando os desenvolvedores da Ethereum reverteram o hack do DAO, os nós atualizaram as versões do software e moveram os fundos ETH para novos endereços. Hoje, reverter um hack semelhante exigiria um consenso massivo dos usuários da Ethereum, nós e desenvolvedores — um consenso quase impossível agora.

Algo meio parecido aconteceu com Bitcoin em 2019. O CEO da Binance, Changpeng Zhao, considerou abertamente reverter o Bitcoin depois que hackers roubaram US$ 40 milhões. Ele rapidamente mudou sua linguagem de “reversão” para “re-org” devido à reação negativa.

Os mineradores e maxis do Bitcoin rejeitaram fortemente a ideia, criticando qualquer tentativa de reverter transações como uma violação fundamental dos princípios de descentralização.

A comunidade da Ethereum também rejeitou as ideias de reversão desta vez. Mas blockchains menores fizeram reversões com sucesso no passado, tipicamente após um ataque. É raro, mas não completamente incomum.

Zach anunciou primeiro o enorme roubo da Bybit na última sexta-feira. Ele detectou atividade on-chain suspeita envolvendo mais de US$ 1,47 bilhão fluindo rapidamente para fora da Bybit. Zach observou os atacantes trocando rapidamente tokens embalados como mETH e stETH por tokens Ethereum regulares por meio de exchanges descentralizadas, tentando agressivamente obscurecer os fundos roubados.