朝鲜的“ Lazarus Group”正在对加密货币发动网络战——开发人员成为新目标

朝鲜臭名昭著的黑客组织“ Lazarus Group”近期在加密货币领域实施了新的网络攻击，并越来越侧重于开发人员。 

安全研究人员在过去几个月发现，该组织一直在破坏恶意的npm软件包，这些软件包会窃取凭据、泄露加密货币钱包数据，并在开发环境中创建持久后门。这标志着其多年网络战的重大升级，此前该组织已制造了历史上一些最大的加密货币盗窃案。

根据 Socket研究团队的一项新调查，Lazarus Group的一个分支渗透了npm存储库，这是JavaScript开发人员最常用的软件包管理器之一。 

随后，黑客利用域名抢注技术发布了恶意版本的流行npm软件包，欺骗 unsuspecting 开发人员下载这些程序。这些软件包包括is-buffer-validator、yoojae-validator、event-handle-package、array-empty-validator、react-event-dependency和auth-validator。 

执行后，被篡改的软件包会安装BeaverTail恶意软件。这种“高级”工具可以窃取登录凭据，搜索浏览器文件中保存的密码，并转储来自加密货币钱包（如Solana和Exodus）的文件。

安全研究人员指出，被盗数据被发送到硬编码的命令与控制（C2）服务器，这是Lazarus Group用来将机密数据传回其行动者的常见作案手法。 

Socket Security威胁情报分析师Kirill Boychenko表示，其目的是在不被检测到的情况下窃取和传输受损数据，这对于构建金融和区块链应用程序的开发人员世界来说尤其具有威胁性。

Lazarus对Bybit发起进攻，窃取了近14.6亿美元

除了这些供应链攻击外，Lazarus Group还与有记录以来最大的加密货币盗窃案之一有关。据信其首次行动发生在2025年2月21日，当时与该组织有关的黑客入侵了全球最大的加密货币交易所之一Bybit，窃取了价值约14.6亿美元的加密货币资产。

这次攻击极其复杂，据称是从Safe{Wallet}员工的一台被入侵设备发起的，Safe{Wallet}是Bybit的技术合作伙伴。黑客利用了Bybit以太坊钱包基础设施中的漏洞，并篡改了智能合约逻辑，将资金重定向到他们的钱包。

虽然Bybit立即解决了这个问题，但 首席执行官Ben Zhou 的一份声明显示，20%的被盗资金已经通过混合服务洗钱，无法追踪。

这一系列最新攻击是朝鲜更广泛努力的一部分，旨在通过盗窃和洗钱加密货币来逃避国际制裁。

根据2024年联合国的一份报告，朝鲜网络犯罪分子在过去一年中负责了全球超过35%的加密货币盗窃案，累计窃取资产超过10亿美元。Lazarus Group不仅是一个网络犯罪集团，也是一个地缘政治威胁，因为据报道，被盗资金直接流入该国的核武器和弹道导弹计划。

多年来，Lazarus Group的攻击方式也在不断演变，从直接入侵交易所到供应链攻击，甚至针对开发人员和软件存储库的攻击。

通过在npm、PyPI和GitHub等开源平台添加后门，该组织将其潜在的攻击范围扩大到许多系统，从而无需直接入侵加密货币交易所。

安全专家呼吁加强对加密货币开发人员的保护 

注意到这些日益增长的风险，网络专家正在推动为开发人员和加密货币用户提供更严格的安全保护，并防范黑客攻击。其中一项最佳实践是在安装前验证npm软件包的真实性的，因为域名抢注仍然是网络犯罪分子最常用的方法之一。 

Socket AI Scanner还会跟踪软件依赖项或npm审计中的异常，告知您是否正在使用任何受损的软件包，并允许您在它们造成任何实际损害之前将其从应用程序中移除。

该指南建议用户和开发人员采取主动措施保护自己，为交易所钱包、GitHub等开发人员平台以及其他账户启用多因素身份验证（MFA）。 

网络监控现在被视为第一道防线，因为受损系统通常会将消息发送回外部命令与控制（C2）服务器，然后在该受感染的计算机上上传恶意更新。阻止非法出站流量可以切断黑客获取这些被盗数据的途径。

Bybit推出恢复悬赏，随着加密货币安全战升温

在Bybit被黑客攻击后，该交易所还启动了一项恢复悬赏计划，奖励任何帮助找到被盗资产的人。该计划允许最高获得追回资金10%的奖励。

与此同时，更大的加密货币生态系统正忙于加强安全实践，并提醒开发人员防范可能导致这一威胁路径的相同做法。

但随着Lazarus Group的策略不断快速推进，网络防御者表示，对加密货币的战争才刚刚开始。