Hack na 130 milionów dolarów: czy stoi za nim północnokoreańska grupa Lazarus?

130 milionów dolarów zostało skradzione w cyberataku na giełdę kryptowalut Poloniex.

130 milionów dolarów zostało skradzione w cyberataku na giełdę kryptowalut Poloniex. Trop prowadzi do Korei Północnej, a konkretnie do niesławnej grupy hakerskiej Lazarus.

W miniony piątek firmy zajmujące się bezpieczeństwem podniosły alarm: na giełdę kryptowalut Poloniex przeprowadzono cyberatak. Według obecnych szacunków skradziono kryptowaluty o wartości 130 milionów dolarów. Analizy ponownie wskazują na północnokoreańską grupę hakerską Lazarus. Ten niesławny kolektyw ukradł już cyfrowe aktywa o wartości kilku miliardów dolarów amerykańskich. Pieniądze, które według Organizacji Narodów Zjednoczonych trafiają do programów broni jądrowej Korei Północnej.

Sektor kryptowalut, a przede wszystkim platformy handlowe zarządzające dużymi kwotami, jest obecnie uznawany za najbardziej lukratywny cel. Ekspert ds. kryptoforensyki Albert Quehenberger z A|Q Forensics zrekonstruował charakterystyczny przebieg ataku dla niemieckiego BTC Echo. Po raz kolejny widać, że Lazarus jest jednym z największych zagrożeń dla sektora kryptowalut.

Miliony aktywów kryptograficznych nagle odpłynęły, a pierwsi komentatorzy na X próbowali wyjaśnić sytuację. Kilka dni później układanka wokół ataku na Poloniex zaczyna się stopniowo składać. Do włamania doszło przez hot wallet giełdy kryptowalut i, według Alberta Quehenbergera z A|Q Forensics, najprawdopodobniej było ono "spowodowane wyciekiem klucza prywatnego". Ekspert ds. kryptoforensyki dostrzega podobieństwa do "wcześniejszego ataku na Stake.com". Platforma kasyna kryptowalutowego została we wrześniu zaatakowana w cyberataku. Straty wyniosły około 40 milionów dolarów. FBI obwiniło Lazarus.

Wyciek z własnych szeregów?

Pytanie, które teraz się nasuwa, brzmi: jak hakerzy zdobyli klucz prywatny? Podejrzenie wydaje się oczywiste: mógł nastąpić wyciek, pracownik, który nieświadomie umożliwił Lazarus dostęp. Grupa hakerska coraz częściej stosuje taktyki polegające na manipulowaniu pracownikami firmy w celu uzyskania dostępu do wrażliwych informacji. Metoda ta, znana jako social engineering, jest równie trudna do wykrycia, co podstępna.

"Grupa Lazarus mogłaby w szczególności identyfikować osoby w obrębie giełdy kryptowalut, które mają dostęp do kluczowych systemów lub informacji" - wyjaśnia Quehenberger. Skupienie miałoby się na "pracownikach na wysokich stanowiskach z uprawnieniami administracyjnymi". Hakerzy mogliby skrupulatnie prowadzić "rozległe rozpoznanie", aby "gromadzić informacje o osobistym i zawodowym tle pracowników".

Nikt nie jest bezpieczny

Media społecznościowe odgrywają tu coraz ważniejszą rolę jako publicznie dostępne źródło informacji. Dochodzą do tego ataki phishingowe, w których hakerzy infiltrują złośliwe oprogramowanie, pozyskują dane i stopniowo przedostają się do słabych punktów. Hakerzy stają się coraz bardziej przebiegli i dostosowują fałszywe wiadomości e-mail do "konkretnych zainteresowań lub aktywności celu" - wyjaśnia Quehenberger.

Gdy napastnicy znajdą się już w systemie, pozostaje kwestia "rozszerzania uprawnień dostępu i uzyskiwania wyższych autoryzacji w celu dostępu do krytycznych systemów i informacji" - mówi ekspert blockchain. Potem wszystko dzieje się szybko. "Po udanej infiltracji grupa mogłaby próbować przechwycić, ukraść kryptowaluty lub manipulować transakcjami." Na ten moment możemy jednak jedynie spekulować. Poloniex nie skomentował jeszcze swojego podejścia.

Co dzieje się ze środkami?

Tymczasem Justin Sun, który kupił Poloniex w 2019 roku, stara się ograniczyć szkody wizerunkowe. Część "środków powiązanych z adresami hakerów" została już "z powodzeniem zidentyfikowana i zamrożona". Według założyciela Trona straty były "kontrolowane". Systemy zostały "przywrócone", a "istotny materiał dowodowy" jest obecnie zabezpieczany. Po ujawnieniu sprawy przedsiębiorca z branży kryptowalut zaoferował hakerom część skradzionych pieniędzy jako okup.

Pozostaje jeszcze zobaczyć, jak wysoka ostatecznie będzie szkoda. I kto stoi za atakiem. Jednak wiele przemawia za Lazarus. Podobnie jak w przypadku ataku na Stake.com, "różne tokeny były przechowywane na różnych adresach, następnie przenoszone na adresy pośrednie i ostatecznie wymieniane na natywne waluty (ETH, TRX)" - stwierdza Quehenberger.