Phân tích các phương pháp tấn công và rửa tiền của nhóm hacker Lazarus ở Triều Tiên trong lĩnh vực tài sản tiền điện tử

Gần đây, một báo cáo bí mật của Liên Hợp Quốc đã tiết lộ hoạt động mới nhất của nhóm hacker Triều Tiên Lazarus Group. Theo thông tin, nhóm này đã rửa tiền 147,5 triệu USD thông qua một nền tảng tiền ảo vào tháng 3 năm nay, sau khi đã đánh cắp tiền từ một sàn giao dịch Tài sản tiền điện tử vào năm ngoái.

Các thanh tra của Ủy ban Trừng phạt Hội đồng Bảo an Liên Hợp Quốc đang điều tra 97 vụ tấn công mạng nghi ngờ của hacker Triều Tiên nhắm vào các công ty tài sản tiền điện tử diễn ra từ năm 2017 đến 2024, với số tiền khoảng 3,6 tỷ USD. Trong số đó có vụ trộm 147,5 triệu USD tại một sàn giao dịch tài sản tiền điện tử vào cuối năm ngoái, số tiền này sau đó đã hoàn thành quá trình rửa tiền vào tháng 3 năm nay.

Năm 2022, Hoa Kỳ đã áp đặt lệnh trừng phạt đối với nền tảng tiền điện tử này. Năm sau, hai người đồng sáng lập của nền tảng bị cáo buộc đã hỗ trợ rửa tiền hơn 1 tỷ USD, trong đó một phần liên quan đến các tổ chức tội phạm mạng có liên quan đến Triều Tiên.

Theo nghiên cứu của các chuyên gia điều tra tài sản tiền điện tử, Nhóm Lazarus đã chuyển đổi tài sản tiền điện tử trị giá 200 triệu USD thành tiền pháp định trong khoảng thời gian từ tháng 8 năm 2020 đến tháng 10 năm 2023.

Nhóm Lazarus nổi tiếng với các chiến lược tấn công và kỹ thuật phức tạp, với các mục tiêu tấn công trải rộng toàn cầu, bao gồm hệ thống ngân hàng, sàn giao dịch Tài sản tiền điện tử, cơ quan chính phủ và doanh nghiệp tư nhân.

Phương pháp tấn công điển hình của Nhóm Lazarus

Kỹ thuật xã hội và cuộc tấn công lừa đảo qua mạng

Nhóm Lazarus đã tấn công các công ty quân sự và hàng không vũ trụ ở châu Âu và Trung Đông. Họ đã đăng quảng cáo tuyển dụng giả trên các nền tảng mạng xã hội nghề nghiệp, lừa đảo những người tìm việc tải xuống các tệp PDF chứa mã độc, từ đó thực hiện các cuộc tấn công lừa đảo.

Cách tấn công này tận dụng sự thao túng tâm lý, khiến nạn nhân lơ là cảnh giác, thực hiện các hành vi nguy hiểm như nhấp vào liên kết hoặc tải xuống tệp. Bằng cách cài đặt phần mềm độc hại, Hacker có thể nhắm vào các lỗ hổng trong hệ thống của nạn nhân để đánh cắp thông tin nhạy cảm.

Trong cuộc tấn công kéo dài sáu tháng nhằm vào một nhà cung cấp thanh toán cho một Tài sản tiền điện tử, Nhóm Lazarus đã sử dụng phương pháp tương tự, gửi cho các kỹ sư những cơ hội việc làm giả, đồng thời thực hiện các cuộc tấn công kỹ thuật như từ chối dịch vụ phân tán và cố gắng bẻ khóa mật khẩu, cuối cùng dẫn đến việc công ty này chịu thiệt hại 37 triệu USD.

Nhiều vụ tấn công vào các sàn giao dịch Tài sản tiền điện tử

Từ tháng 8 đến tháng 10 năm 2020, Nhóm Lazarus đã lần lượt tấn công nhiều sàn giao dịch và dự án tài sản tiền điện tử, bao gồm một sàn giao dịch của Canada, một dự án blockchain và một nền tảng giao dịch. Những cuộc tấn công này đã dẫn đến việc đánh cắp tài sản mã hóa trị giá từ hàng trăm nghìn đến hàng triệu đô la.

Qua phân tích dòng tiền, có thể phát hiện ra rằng các khoản tiền bị đánh cắp này cuối cùng đã tập trung vào một số địa chỉ cụ thể. Kẻ tấn công sau đó đã sử dụng một dịch vụ trộn tiền để thực hiện việc làm mờ tiền, gửi và rút Ethereum qua nhiều lần. Sau nhiều lần chuyển đổi và quy đổi, các khoản tiền này cuối cùng đã được gửi đến một số địa chỉ rút tiền cố định.

Tấn công định hướng nhằm vào mục tiêu có độ nổi tiếng cao

Vào tháng 12 năm 2020, người sáng lập một dự án bảo hiểm tiền điện tử nổi tiếng đã gặp phải một cuộc tấn công của hacker, mất đi các đồng token trị giá 8,3 triệu đô la. Kẻ tấn công đã sử dụng một loạt các phương thức chuyển tiền phức tạp, thao tác liên chuỗi và rửa tiền để che giấu dấu vết tài chính.

Một phần số tiền bị đánh cắp đã được chuyển vào mạng Bitcoin, sau đó lại chuyển trở lại Ethereum, và được làm mờ qua nền tảng trộn coin. Cuối cùng, số tiền này được chuyển theo từng đợt vào một số địa chỉ gửi tiền cụ thể, để rút tiền hoặc đổi thành tiền tệ pháp định.

Ví dụ tấn công mới nhất

Năm 2023, Nhóm Lazarus lại tấn công hai dự án mã hóa, đánh cắp hàng trăm đồng Ethereum. Những khoản tiền bị đánh cắp này cũng đã được xử lý qua dịch vụ trộn coin, sau đó được rút về một loạt các địa chỉ trung gian, cuối cùng tập trung về một địa chỉ thống nhất.

Sau đó, số tiền này đã được gửi đến địa chỉ rút tiền giống như trong các trường hợp tấn công trước đó thông qua nhiều lần chuyển nhượng và đổi tiền.

Tóm tắt

Phương pháp hoạt động của Nhóm Lazarus thể hiện một số mô hình cố định: trước tiên, họ xâm nhập vào hệ thống mục tiêu thông qua kỹ thuật xã hội hoặc lỗ hổng kỹ thuật, đánh cắp tài sản tiền điện tử; sau đó, họ sử dụng các hoạt động xuyên chuỗi và dịch vụ trộn coin để làm mờ nguồn gốc của tiền; cuối cùng, họ tập trung tiền vào một địa chỉ rút tiền cụ thể, thông qua giao dịch OTC và các phương thức khác để đổi tài sản tiền điện tử thành tiền tệ hợp pháp.

Cuộc tấn công quy mô lớn liên tục này đã mang đến những thách thức nghiêm trọng về an ninh cho ngành Web3. Các cơ quan liên quan đang theo dõi sát sao động thái của băng nhóm hacker này và nỗ lực theo dõi dòng tiền của họ, với hy vọng có thể hiệu quả chống lại những hành vi tội phạm như vậy và thu hồi tài sản bị đánh cắp càng nhiều càng tốt.