Lazarus завершил отмывание всего Ethereum, который он украл у Bybit

Каждый последний 499 000 ETH — на сумму 1,39 млрд долларов — украденный у Bybit известной группировкой Lazarus Group, был полностью отмыт, и им потребовалось всего 10 дней, чтобы украденная криптовалюта исчезла в блокчейне, согласно EmberCN в X.

В процессе цена Ethereum рухнула на 23%, упав с 2780 долларов до 2130 долларов, поскольку украденные средства перемешивались через миксеры и биржи.

Не провалился ли охотничий розыск Bybit украденных средств?

Lazarus, поддерживаемая государством северокорейская хакерская группа, известна своими тактиками социальной инженерии и эксплойтами нулевого дня. Группа, как сообщается, возглавляется Парком Джин Хёком, который находится в розыске ФБР, но Северная Корея многократно отрицала его и существование Lazarus.

В любом случае, известные хакеры использовали THORChain в качестве своей основной услуги для отмывания, пропустив через сеть 5,9 млрд долларов. Платформа собрала 5,5 млн долларов в виде комиссий за транзакции, когда Lazarus переводил средства, что сделало это крупнейшей операцией по отмыванию в истории крипто.

Деньги теперь разбросаны, их невозможно вернуть. Тем временем Bybit переходит в наступление, предлагая миллионы в качестве вознаграждения за любую информацию о похищенных активах. Всего неделю назад Бен Чжоу, генеральный директор и сооснователь биржи, объявил о масштабной программе вознаграждений для поиска пропавшего ETH.

Вознаграждение, размещенное на lazarusbounty.com, уже выплатило более 4 млн долларов лицам, которые помогли отследить транзакции, связанные с кражей.

«Мы не остановимся, пока Lazarus или злоумышленники в отрасли не будут устранены», — сказал Чжоу в посте в X. «В будущем мы также откроем его для других жертв Lazarus».

Система вознаграждения выглядит так: если кто-то идентифицирует и сообщит о блокчейн-транзакции, связанной с взломом Bybit, он получит 5% от восстановленной криптовалюты. Любая биржа или миксер, который поможет в извлечении, также получит 5%. Всего доступно около 140 млн долларов вознаграждений.

Чжоу также объявил о создании «платформы HackBounty», новых усилий во всей отрасли, направленных на борьбу с кражей криптовалюты. «Я воодушевлен невероятным товариществом в блокчейне и в реальной жизни. Это может стать трансформирующим моментом для нашей отрасли, если мы сделаем это правильно. Вместе мы можем построить более сильную систему защиты от киберугроз», — сказал Чжоу.

Взлом Bybit произошел 21 февраля в 12:30 UTC. Средства переводились с холодного кошелька (офлайн-хранилища) на горячий кошелек (онлайн-хранилище). Именно тогда и ударил Lazarus.

Внутреннее расследование Bybit выявило, что хакеры изменили логику смарт-контракта, перехватив перевод. Вместо того чтобы переместиться на предназначенный горячий кошелек, более 400 000 ETH и stETH, стоимостью более 1,5 млрд долларов, были перенаправлены на загадочный кошелек, контролируемый злоумышленниками.

Sygnia Labs и Verichains отследили нарушение до SafeWallet, программного обеспечения, которое Bybit использовал для управления своими транзакциями, и эти ребята считают, что Lazarus модифицировал JavaScript-код платформы, что позволило им перенаправить ETH на свои собственные счета.

Взлом, вероятно, начался с нарушения облачной инфраструктуры. SafeWallet размещался на AWS S3 и CloudFront, и один из этих аккаунтов был скомпрометирован. Позже поставщик программного обеспечения подтвердил, что одна из его машин разработчиков была заражена, что привело к внедрению вредоносного кода в систему.

«Результаты криминалистического расследования целевой атаки группы Lazarus на Bybit показали, что эта атака была направлена на Bybit Safe и была осуществлена через скомпрометированную машину разработчика SafeWallet, что привело к предложению замаскированной вредоносной транзакции», — говорится в отчете SafeWallet о расследовании.