Северокорейская группа Lazarus ведет кибервойну против криптовалюты — и разработчики становятся новой мишенью

Группа Lazarus, печально известная хакерская группировка Северной Кореи, совершила новые кибератаки в сфере криптовалюты, уделяя все больше внимания разработчикам. 

Исследователи безопасности обнаружили за последние несколько месяцев, что группировка саботировала вредоносные пакеты npm, которые крадут учетные данные, извлекают данные кошельков криптовалют и создают постоянный бэкдор в средах разработки. Это означает серьезную эскалацию их многолетней кибервойны, в ходе которой уже произошли некоторые из крупнейших краж криптовалют в истории.

Согласно новому расследованию Socket Research Team, одна из ветвей группы Lazarus проникла в репозиторий npm, одного из самых популярных менеджеров пакетов для разработчиков JavaScript. 

Затем хакеры использовали техники тайпсквоттинга для публикации вредоносных версий популярных пакетов npm, обманывая неосведомленных разработчиков, заставляя их скачивать программы. Пакеты включают is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency и auth-validator. 

При выполнении скомпрометированные пакеты устанавливают вредоносное ПО BeaverTail. Этот «продвинутый» инструмент может красть учетные данные для входа, искать сохраненные пароли в файлах браузера и выгружать файлы из кошельков криптовалют, таких как Solana и Exodus.

Исследователи безопасности отметили, что украденные данные отправлялись на зашитый в код сервер командования и управления (C2), что является распространенным методом, используемым группой Lazarus для передачи конфиденциальных данных своим агентам. 

Его цель — красть и передавать скомпрометированные данные, оставаясь незамеченным, и это особенно опасно в мире разработчиков, создающих финансовые и блокчейн-приложения, говорит Кирилл Бойченко, аналитик разведки угроз в Socket Security.

Lazarus начала наступление на Bybit, украв почти 1,46 млрд долларов

В дополнение к этим атакам на цепочку поставок, группа Lazarus также связана с одной из крупнейших краж криптовалют в истории. Первое действие, как предполагается, произошло 21 февраля 2025 года, когда хакеры, связанные с группой, взломали Bybit, одну из крупнейших в мире криптовалютных бирж, похитив криптовалютные активы на сумму около 1,46 млрд долларов.

Атака была чрезвычайно сложной и, по утверждениям, была запущена с скомпрометированного устройства сотрудника Safe{Wallet}, технологического партнера Bybit. Хакеры использовали уязвимость в инфраструктуре Ethereum-кошелька Bybit и изменили логику смарт-контракта, чтобы перенаправить средства на свои кошельки.

Хотя Bybit немедленно устранила проблему, заявление генерального директора Бена Чжоу раскрыло, что 20% украденных денег уже были отмыты через миксеры и не подлежат отслеживанию.

Эта последняя серия атак является частью более широких усилий Северной Кореи по обходу международных санкций путем кражи и отмывания криптовалюты.

Согласно докладу ООН за 2024 год, северокорейские киберпреступники были ответственны за более чем 35% глобальных краж криптовалют за прошлый год, накопив более 1 млрд долларов украденных активов. Группа Lazarus — это не просто преступный синдикат, но и геополитическая угроза, поскольку украденные деньги, как сообщается, напрямую направляются на программы разработки ядерного оружия и баллистических ракет страны.

Атаки группы Lazarus также эволюционировали с годами: от прямых взломов бирж до атак на цепочки поставок и даже атак на разработчиков и репозитории программного обеспечения.

Добавляя бэкдоры в платформы с открытым исходным кодом, такие как npm, PyPI и GitHub, группировка расширяет свой потенциальный диапазон атак на многие системы, устраняя необходимость прямого взлома криптовалютных бирж.

Эксперты по безопасности призывают к более строгим мерам защиты для разработчиков криптовалют 

Отмечая эти растущие риски, киберспециалисты выступают за более строгую безопасность для разработчиков и пользователей криптовалют и защиту от хакеров. Одна из таких лучших практик — проверка подлинности пакетов npm перед установкой, поскольку тайпсквоттинг остается одним из самых распространенных методов, используемых киберпреступниками. 

Сканер Socket AI также отслеживает аномалии в ваших программных зависимостях или в npm audit, информируя вас о том, используются ли какие-либо скомпрометированные пакеты, и позволяя удалить их из вашего приложения до того, как они нанесут реальный ущерб.

Руководство рекомендует пользователям и разработчикам проявлять инициативу в защите себя, включая многофакторную аутентификацию (MFA) для кошельков бирж, платформ разработчиков, таких как GitHub, и других учетных записей. 

Мониторинг сети теперь считается первой линией обороны, поскольку скомпрометированная система обычно отправляет сообщения обратно на внешний сервер командования и управления (C2), который затем загружает вредоносные обновления на зараженный компьютер. Блокирование нелегального исходящего трафика может лишить хакаторов доступа к этим украденным данным.

Bybit запускает программу вознаграждений за восстановление после взлома, поскольку битва за безопасность криптовалют обостряется

После взлома Bybit биржа также инициировала программу вознаграждений за восстановление, поощряя любого, кто поможет найти украденные активы. Программа предусматривает вознаграждения в размере до 10% от восстановленных средств.

В то же время более широкая экосистема криптовалют занимается усилением практик безопасности и предупреждением разработчиков о защите от тех же практик, которые могут привести к этой угрожающей ситуации.

Но по мере того как тактика группы Lazarus становится все более быстрой, защитники сетей говорят, что война против криптовалюты только начинается.