A Lazarus concluiu a lavagem de todo o Ethereum que roubou da Bybit

Cada um dos 499.000 ETH — equivalentes a US$ 1,39 bilhão — roubados da Bybit pelo notório Grupo Lazarus foi totalmente lavado, e eles levaram apenas 10 dias para que as criptomoedas roubadas desaparecessem no blockchain, de acordo com a EmberCN on X.

Nesse processo, o preço do Ethereumdespencou 23%, caindo de US$ 2.780 para US$ 2.130, à medida que os fundos roubados eram movimentados por meio de mixers e exchanges.

A busca da Bybit por recompensas por fundos roubados falhou?

O grupo de hackers norte-coreano Lazarus, apoiado pelo Estado, é conhecido por suas táticas de engenharia social e exploração de vulnerabilidades de dia zero. O grupo é supostamente liderado por Park Jin Hyok, que é procurado pelo FBI, mas a Coreia do Norte já negou repetidamente a existência dele e do Lazarus.

De qualquer forma, os notórios hackers usaram a THORChain como seu principal serviço de lavagem de dinheiro, movimentando US$ 5,9 bilhões pela rede. A plataforma arrecadou US$ 5,5 milhões em taxas de transação enquanto Lazarus movimentava os fundos, tornando-se a maior operação de lavagem de dinheiro da história das criptomoedas.

O dinheiro agora está disperso, impossível de recuperar. Enquanto isso, a Bybit está na ofensiva, oferecendo milhões em recompensas por qualquer pista sobre os ativos roubados. Há apenas uma semana, Ben Zhou, CEO e cofundador da exchange, anunciou um programa de recompensas massivo para traco ETH desaparecido.

A recompensa, oferecida no site lazarusbounty.com, já pagou mais de US$ 4 milhões a pessoas que ajudaram tractransações ligadas ao roubo.

“Não vamos parar até que Lázaro ou outros agentes mal-intencionados do setor sejam eliminados”, disse Zhou em uma publicação no X. “No futuro, também incluiremos outras vítimas de Lázaro.”

O sistema de recompensas funciona assim: se alguémdente reportar uma transação na blockchain relacionada ao ataque à Bybit, receberá 5% das criptomoedas recuperadas. Qualquer exchange ou serviço de mistura que auxilie na recuperação também receberá 5%. No total, cerca de US$ 140 milhões em recompensas estão disponíveis.

Zhou também anunciou a criação de uma “plataforma HackBounty”, um novo esforço de toda a indústria projetado para combater o roubo de criptomoedas. “Estou entusiasmado com a incrível camaradagem on-chain e na vida real. Este pode ser um momento transformador para o nosso setor se fizermos tudo certo. Juntos, podemos construir um sistema de defesatronforte contra ameaças cibernéticas”, disse Zhou.

O ataque à Bybit ocorreu em 21 de fevereiro às 12h30 UTC. Os fundos estavam sendo transferidos de uma carteira fria (armazenamento offline) para uma carteira quente (armazenamento online). Foi nesse momento que o ataque de Lazarus aconteceu.

A investigação interna da Bybit descobriu que hackers alteraram a lógica dotracinteligente, sequestrando a transferência. Em vez de serem enviados para a carteira online pretendida, mais de 400.000 ETH e stETH, no valor de mais de US$ 1,5 bilhão, foram redirecionados para uma carteira misteriosa controlada pelos atacantes.

A Sygnia Labs e a Verichains traca violação até a SafeWallet, o software que a Bybit usava para gerenciar suas transações, e acreditam que a Lazarus modificou o código JavaScript da plataforma, o que permitiu que eles redirecionassem o ETH para suas próprias contas.

O ataque provavelmente começou com uma violação da infraestrutura em nuvem. O SafeWallet estava hospedado no AWS S3 e no CloudFront, e uma dessas contas foi comprometida. O provedor de software confirmou posteriormente que uma de suas máquinas de desenvolvimento havia sido infectada, o que levou à injeção de código malicioso no sistema.

"A análise forense do ataque direcionado realizado pelo Grupo Lazarus contra a Bybit concluiu que o ataque teve como alvo o cofre da Bybit e foi realizado por meio de uma máquina comprometida de um desenvolvedor da SafeWallet, resultando na proposta de uma transação maliciosa disfarçada", afirmou a SafeWallet em seu relatório de investigação.