Ataques cibernéticos y métodos de blanqueo de capital del grupo de hackers de Corea del Norte Lazarus Group

Recientemente, un informe confidencial de la ONU reveló las últimas actividades del grupo de hackers de Corea del Norte, Lazarus Group. Se informa que esta organización blanqueó 147.5 millones de dólares a través de una plataforma de criptomonedas en marzo de este año, después de robar fondos de un intercambio de criptomonedas el año pasado.

Los inspectores del Comité de Sanciones del Consejo de Seguridad de las Naciones Unidas han revelado que están investigando 97 ataques cibernéticos sospechosos de hackers norcoreanos dirigidos a empresas de criptomonedas, ocurridos entre 2017 y 2024, por un monto total de hasta 3.600 millones de dólares. Esto incluye el robo de 147,5 millones de dólares que sufrió un intercambio de criptomonedas a finales del año pasado, fondos que luego completaron el proceso de blanqueo de capital en marzo de este año.

Es importante señalar que el gobierno de Estados Unidos impuso sanciones a esta plataforma de criptomonedas en 2022. En 2023, dos cofundadores de la plataforma fueron acusados de ayudar en el blanqueo de capitales de más de 1,000 millones de dólares, incluidos los ingresos ilegales relacionados con el grupo de cibercriminales de Corea del Norte, Lazarus Group.

Según una encuesta de expertos en análisis de criptomonedas, el Lazarus Group logró convertir criptomonedas por un valor de 200 millones de dólares a moneda fiduciaria entre agosto de 2020 y octubre de 2023.

El Grupo Lazarus ha sido acusado durante mucho tiempo de llevar a cabo ataques cibernéticos a gran escala y delitos financieros. Sus objetivos abarcan todo el mundo, desde sistemas bancarios hasta intercambios de criptomonedas, desde agencias gubernamentales hasta empresas privadas, no dejan nada por fuera. A continuación, analizaremos varios casos de ataques típicos, revelando cómo el Grupo Lazarus ha logrado implementar estos asombrosos ataques a través de sus complejas estrategias y técnicas.

Ataques de ingeniería social y phishing del Grupo Lazarus

Según medios europeos, Lazarus ha tenido como objetivo a empresas militares y aeroespaciales en Europa y Medio Oriente. Publicaron anuncios de trabajo falsos en plataformas sociales para engañar a los solicitantes de empleo a descargar documentos PDF que contenían archivos ejecutables maliciosos, llevando a cabo así ataques de phishing.

Este tipo de ingeniería social y ataques de phishing intentan aprovechar la manipulación psicológica para inducir a las víctimas a bajar la guardia y realizar operaciones peligrosas, como hacer clic en enlaces o descargar archivos, poniendo así en riesgo su seguridad. Los Hackers, al implantar malware, pueden atacar las vulnerabilidades en el sistema de la víctima y robar información sensible.

Lazarus también ha utilizado métodos similares en una campaña de seis meses contra un proveedor de pagos de criptomonedas, lo que resultó en el robo de 37 millones de dólares de la empresa. A lo largo del ataque, enviaron ofertas de trabajo falsas a ingenieros, lanzaron ataques técnicos de denegación de servicio distribuido, y probaron múltiples combinaciones de contraseñas para realizar ataques de fuerza bruta.

Análisis de los incidentes de ataque de CoinBerry, Unibright, etc.

El 24 de agosto de 2020, la billetera de un intercambio de criptomonedas en Canadá fue hackeada. El 11 de septiembre de 2020, debido a la filtración de claves privadas, se produjeron transferencias no autorizadas por un valor de 400,000 dólares en múltiples billeteras controladas por el equipo de Unbright. El 6 de octubre de 2020, una plataforma de criptomonedas transfirió sin autorización activos criptográficos por un valor de 750,000 dólares en su billetera caliente debido a una vulnerabilidad de seguridad.

A principios de 2021, estos fondos de los incidentes de ataque se concentraron en una sola dirección. Posteriormente, los atacantes depositaron una gran cantidad de ETH a través de un servicio de mezcla y lo retiraron nuevamente en un corto período de tiempo. Para 2023, después de múltiples transferencias e intercambios, estos fondos finalmente se agruparon en direcciones de otros incidentes de seguridad y fueron enviados a ciertos depósitos específicos.

El fundador de una plataforma de ayuda mutua fue atacado por hackers

El 14 de diciembre de 2020, el fundador de una plataforma de mutualidad sufrió el robo de 370,000 NXM (aproximadamente 8.3 millones de dólares) de su billetera personal. Los fondos robados fueron transferidos entre varias direcciones y cambiados por otros activos. El Grupo Lazarus realizó operaciones de confusión, dispersión y recolección de fondos a través de estas direcciones. Parte de los fondos se trasladó a la red de Bitcoin a través de una cadena cruzada, luego se devolvió a la red de Ethereum y, finalmente, se confundió a través de una plataforma de mezclado, antes de ser enviados a la plataforma de retiro.

A mediados de diciembre de 2020, una de las direcciones del hacker envió una gran cantidad de ETH a un servicio de mezcla. Unas horas después, otra dirección asociada comenzó a realizar operaciones de retiro. El hacker transfirió y cambió parte de los fondos a la dirección de retiro de fondos consolidada mencionada anteriormente.

De mayo a julio de 2021, los atacantes transfirieron 11 millones de USDT a la dirección de depósito de una plataforma de intercambio. De febrero a junio de 2023, los atacantes enviaron nuevamente una gran cantidad de USDT a las direcciones de depósito de otras plataformas de intercambio a través de diferentes direcciones.

Steadefi y el ataque de Hacker de CoinShift

En agosto de 2023, 624 ETH robados en el incidente de Steadefi y 900 ETH robados en el incidente de CoinShift fueron transferidos a un servicio de mezcla de monedas. Posteriormente, estos fondos fueron retirados a varias direcciones específicas.

El 12 de octubre de 2023, los fondos extraídos del servicio de mezcla de monedas se enviarán a una nueva dirección. Para noviembre de 2023, esa dirección comenzará a transferir fondos, que finalmente se enviarán a ciertas direcciones de depósito específicas a través de intermediación y cambio.

Resumen

El Grupo Lazarus, después de robar activos criptográficos, principalmente utiliza operaciones entre cadenas y servicios de mezcla para ocultar el origen de los fondos. Una vez mezclados, extraen los activos robados a una dirección objetivo y los envían a un grupo de direcciones fijas para su retiro. Los activos criptográficos robados suelen ser depositados en direcciones de depósito específicas y luego se intercambian por moneda fiduciaria a través de servicios de comercio extrabursátil.

Frente a los ataques continuos y a gran escala del Lazarus Group, la industria Web3 enfrenta retos de seguridad severos. Las instituciones relevantes están monitorizando de cerca las actividades de este Hacker y rastreando en profundidad sus métodos de Blanqueo de capital, para ayudar a los desarrolladores de proyectos, organismos reguladores y fuerzas del orden a combatir este tipo de delitos y recuperar los activos robados.