Группа Lazarus из Северной Кореи начинает взламывать частных инвесторов: трейдер теряет более $5,2 млн в криптовалюте

Группа Lazarus из Северной Кореи была связана с кибератакой, в результате которой 24 мая было украдено более $5,2 млн у крипто-трейдера, согласно данным блокчейн-расследователя ZackXBT. Кража произошла через сложную атаку вредоносного ПО, при которой средства были выведены из нескольких типов кошельков, включая мультиподписные, внешние владеемые счета (EOA) и биржевые кошельки. 

Инцидент, раскрытый в Telegram-канале ZackXBT канал во вторник, намекает на то, что группа может менять свой фокус с лиц с высоким уровнем дохода и компаний на внутридневных частных трейдеров. 

После ограбления примерно 1 000 ETH были переведены в Tornado Cash, сервис смешивания криптовалют, часто используемый для сокрытия происхождения украденных цифровых активов. Затем украденные активы были быстро ликвидированы на открытом рынке.

Адреса отслежены, Tornado Cash использовался для отмывания средств

В канале ZachXBT были перечислены три адреса Ethereum, связанные с ограблением. Наряду с незначительными балансами токенов QBX, Blocklords, Astra Protocol и DAI, составляющими около $1 340, основной адреса кошелек имел более 40 ETH, что составляет около $107 000 по текущим рыночным ценам. Считается, что эти средства были частью прибыли от атаки вредоносного ПО.

На прошлых выходных через второй адрес, который, казалось, был новым, было обработано всего девять транзакций. Он отправил более 200 ETH на основной адрес. Наконец, на момент публикации другой крипто-адрес содержал около $2,7 млн DAI, что составляло большую часть украденных средств.

Эта модель поведения соответствует тому, что было обнаружено в недавнем исследовании TRM Labs, которое описывает всемирную паутину российских преступных организаций и китайских внебиржевых брокеров, которых использует Северная Корея для отмывания своей незаконной прибыли.

В отчете утверждается, что Lazarus предоставляет технические знания, но их партнеры обеспечивают каналы для легальной интеграции украденных средств на рынки.

Отмывание денег продолжается в Q2 2025 

В апреле блокчейн-аналитическая компания SpotOnChain сообщила, что кошелек, предположительно связанный с Lazarus, продал 40,78 Wrapped Bitcoin (WBTC) за $3,51 млн. Биткоин, изначально купленный в феврале 2023 года примерно за $999 900, когда WBTC торговался по $24 521, был продан по $83 459 за монету, что принесло прибыль в 251% за два года. 

Сегодня группа Lazarus (северокорейские хакеры) продала 40,78 $WBTC ($3,51 млн) с прибылью $2,51 млн (+251%) — после того как купила их 2 года назад.

Они потратили 999,9K $USDT на приобретение $WBTC по цене около $24 521 в феврале 2023 года и продали их за 1 857 $ETH по цене около $86 170 всего 12 часов назад.

Затем хакеры… pic.twitter.com/KYQmqnJnIC

— Spot On Chain (@spotonchain) апреля 3, 2025

Полученные средства были конвертированы в 1 847 ETH и позже разделены между тремя кошельками. Крупнейшая транзакция в размере 1 865 ETH была отслежена до другого кошелька, предположительно управляемого группой. Вместо того чтобы удерживать конвертированный ETH, Lazarus распределил 2 507 ETH между несколькими адресами.

Хакеры, связанные с КНДР, также были причастны к знаменитому взлому криптобиржи Bybit на сумму $1,5 млрд. В результате взлома группа, как утверждается, отмыла почти 500 000 ETH, что эквивалентно примерно $1,39 млрд, в рамках нескольких транзакций всего за десять дней. 

Хакеры уже полностью отмыли 49.9 тыс. ETH ($13.9 млрд), украденные с Bybit, на что у них ушло 10 дней.

Цена ETH за это время упала на 23% (с $2,780 до текущих $2,130).

А основной канал, используемый хакерами для отмывания денег, THORChain, также получил от хакерского отмывания $59 млрд объема торгов и $550 млн комиссионных доходов.

Эта статья спонсируется #Bitget｜@Bitget_zh https://t.co/osoKNzFhkG pic.twitter.com/QUWuMmV6zH

— 余烬 (@EmberCN) марта 4, 2025

По крайней мере $605 млн было направлены пропущено через децентрализованный протокол ликвидности THORChain за один день. Тем не менее, платформа блокчейн-аналитики Arkham Intelligence оценивает, что кошельки, связанные с Lazarus, все еще удерживают примерно $1,1 млрд крипто-резервов, включая значительные holdings в Bitcoin, Ethereum и Tether.

Финансирование ядерных амбиций через киберпреступность

Расследователи Организации Объединенных Наций, контролирующие санкции , особенно при необходимости проведения скрининга санкций в реальном времени, а не только пакетной обработки транзакций и проверки счетов. считают, что доходы от этих кибератак направляются в программы разработки оружия Северной Кореи. Между 2017 и 2023 годами страна, как сообщается, использовала источники дохода на основе криптовалют для улучшения своей ракетной технологии, увеличив свою способность поражать цели далеко за пределами Корейского полуострова.

В отчете, опубликованном в декабре прошлого года, Chainalysis подтвердила указала, что хакеры, связанные с режимом, украли более $1,3 млрд криптовалюты в 2024 году в ходе 47 инцидентов.

“Хакеры, связанные с Северной Кореей, стали известны своим сложным и неумолимым мастерством”, — говорится в отчете Chainalysis, отмечая, что эти усилия используются для обхода международных санкций и финансирования незаконных операций государства.