Группа Lazarus запускает мем-коин «Цинь Шихуанди» для отмывания еще $26 млн из средств Bybit

Северокорейская группа Lazarus в воскресенье утром выпустила мем-коин под названием QinShihuang на платформе Pump Fun для отмывания $26 млн из почти $1,5 млрд, украденных у криптобиржи Bybit.

Ончейн-расследователь ZachXBT первым подверженными риску заметил это, как обычно, подтвердив, что связанный кошелек (5STkQy…95T7Cq) отправил ровно 60 токенов SOL на другой кошелек (9Gu8v6…aAdqWS) перед запуском полумиллиона токенов QinShihuang.

В течение примерно трех часов эти токены активно торговались, и объем транзакций быстро превысил $26 млн.

Зак проследил происхождение средств. Он заявил, что злоумышленники перевели $1,08 млн USDC, украденных у Bybit, на адрес кошелька 0x363908df2b0890e7e5c1e403935133094287d7d1 22 февраля.

Атакующие с Bybit перевели эти средства из сети Ethereum в блокчейн Solana, используя кошелек EFmqz8PTTShNsEsErMUFt9ZZx8CTZHz4orUhdz8Bdq2P.

Как Lazarus это делает

После этого Lazarus перевел USDC в сеть Binance Smart Chain (BSC), где отслеживание Зака показало, что два отдельных кошелька автоматически разделили украденный USDC между более чем тридцатью разными адресами, разбив средства на более мелкие, трудные для отслеживания переводы.

После разделения Lazarus снова объединил эти мелкие партии средств в один кошелек: 0x0be9ab85f399a15ed5e8cbe5859f7a882c7b55a3. Зак подтвердил, что кошелек 0x0be9 затем еще больше разделил средства, отправив 106 000 USDC поровну между десятью новыми кошельками.

Эти десять кошельков снова перевели все средства обратно в Solana, завершив полный цикл блокчейна, специально разработанный для того, чтобы запутать ончейн-трекеры. Разве это не впечатляет?

Зак также заметил еще одну странность. Многие из этих адресов Solana получили крошечные транзакции с «пылью» мем-коинов от случайных мошенников.

Lazarus, вместо того чтобы игнорировать эту пыль, начал активно обменивать эти мем-коины обратно на SOL. Они очистили «грязный» SOL, перемешали его и перевели средства через сделки на Pump Fun — точно так же, как с QinShihuang.

Зак опубликовал адреса, вовлеченные в процесс, — около 920 кошельков, — но удалил конкретные кошельки из интерфейсов программного обеспечения для отслеживания, чтобы предотвратить быстрое сокрытие следов Lazarus. Вы можете найти их здесь.

Украденные у Bybit средства затем оказались на различных криптобиржах и платформах обмена, тихо исчезнув за легитимно выглядящими сделками.

Генеральный директор Helius Labs Мерт прокомментировал риски напрямую, заявив, что команды, создающие децентрализованные приложения без фильтров или защитных механизмов, совершают огромную ошибку. Он сравнил крипто-приложения с электронной почтой, где базовая технология нейтральна, но пользовательское программное обеспечение — например, Gmail — блокирует известных злоумышленников.

Согласно по Мерту, крипто-приложения должны внедрять те же базовые фильтры, если они знают, что определенные адреса кошельков принадлежат преступным группам, таким как Lazarus. Мерт четко добавил, что он лично не проверял, выпустил ли Lazarus эти монеты напрямую, но сделал свои комментарии, чтобы предупредить разработчиков в целом об таких рисках.

Мерт конкретно спросил, почему Pump Fun не внес в черный список кошельки, связанные с Lazarus. Учитывая такой высокий объем торгов на Pump Fun, Lazarus легко покупал монеты на чистых кошельках, разгонял цены с помощью украденного SOL, а затем продавал все обратно на эти чистые кошельки. Посредством простой торговли «накачка-слив» Lazarus превратил четко отслеживаемые украденные криптовалюты в чистые, не поддающиеся отслеживанию прибыли.

Не первый опыт Lazarus

Открытия Зака показали, что Lazarus делал это раньше. Некоторые адреса из текущей схемы отмывания ранее запускали другие мем-токены на Pump Fun. Это означает, что Lazarus неоднократно эксплуатировал торговую активность Pump Fun для отмывания денег.

SlowMist, компания по исследованию безопасности, отметила, что Lazarus активно использовал платформу смешивания криптовалют eXch. eXch прямо отказал в помощи, когда Bybit запросил сотрудничество.

Вместо этого eXch публично опубликовал запрос на перехват от Bybit и гневно отклонил его. SlowMist четко объяснила, что eXch открыто нацелен на сотрудников служб безопасности, раскрывая их личную информацию в сети.

Они настоятельно призвали криптоплатформы усилить меры безопасности против средств, поступающих от eXch, который Lazarus регулярно использует для конвертации украденного ETH в криптовалюты, труднее поддающиеся отслеживанию, такие как Bitcoin и Monero.

Артур Хейс, сооснователь криптобиржи BitMEX, открыто спросил Виталика Бутерина в X, не рассмотрит ли Ethereum возможность отката блокчейна для отмены масштабной взлома на Bybit, в результате которого было украдено около 400 000 ETH.

Пост Артура вызвал немедленные дебаты среди пользователей криптовалюты. Он усилил свою позицию, четко заявив, что считает, что Ethereum отказался от неизменяемости после взлома DAO в 2016 году, когда разработчики Ethereum отменили кражу на сумму $60 млн с помощью противоречивого хардфорка.

Артур сказал, что Ethereum «перестал быть деньгами» в тот момент. Он открыто утверждал, что если Ethereum сделал откат раньше, то не должно быть сопротивления его повторению сейчас для возврата средств Bybit.

Виталик пока не отвечал публично на запрос Артура. Но многие в сообществе критикуют предложение Артура, некоторые даже считают, что он троллит Виталика.

Твит Артура также возродил дебаты о неизменяемости блокчейна, децентрализации и о том, должны ли когда-либо снова происходить откаты на крупных блокчейнах.

Аналитики блокчейна четко объяснили, почему Ethereum, вероятно, не рассмотрит откат сейчас. Сеть Ethereum в настоящее время использует «аккаунтную» модель для хранения средств, аналогично обычным банкам.

Когда разработчики Ethereum отменили взлом DAO, узлы обновили версии программного обеспечения и перевели средства ETH на новые адреса. Сегодня отмена аналогичного взлома потребовала бы массового консенсуса среди пользователей Ethereum, узлов и разработчиков — консенсуса, который сейчас практически невозможен.

Что-то подобное произошло с Биткоин в 2019 году. Генеральный директор Binance Чанпэн Чжао открыто рассматривал возможность отката Bitcoin после того, как хакеры украли $40 млн. Он быстро сменил формулировку с «откат» на «реорганизация» из-за негативной реакции.

Майнеры и максималисты Bitcoin сильно отвергли эту идею, критикуя любые попытки отменить транзакции как фундаментальное нарушение принципов децентрализации.

Сообщество Ethereum также отвергло идеи об откате на этот раз. Но более мелкие блокчейны успешно совершали откаты в прошлом, обычно после атаки. Это редкость, но не совсем неслыханное явление.

Зак впервые объявил о масштабном краже на Bybit в прошлую пятницу. Он заметил подозрительную ончейн-активность, связанную с быстрым выводом более $1,47 млрд из Bybit. Зак наблюдал, как атакующие быстро обменивали обернутые токены, такие как mETH и stETH, на обычные токены Ethereum через децентрализованные биржи, агрессивно пытаясь скрыть украденные средства.