Nordkoreanska hackare sitter på otvättad krypto för 170 miljoner dollar 

Cyberkriminella för Demokratiska Folkrepubliken Korea (DPRK) bekräftade att de var ett avancerat ihållande hot mot kryptovalutaindustrin 2021, Chainalysis rapporterade.

Enligt den blockchain-baserade dataplattformen som stöder statliga och privata sektorer i att upptäcka och förhindra olaglig användning av kryptovalutor, stal nordkoreanska hackare krypto för 400 miljoner dollar förra året, medan mängden totala otvättade medel lagrades till en rekordnivå. (ATH).

"Lazarus Group"

Nordkoreanska hackare riktade sig främst mot värdepappersföretag och centraliserade börser och inledde minst sju attacker på kryptovalutaplattformar – och utvann krypto för nästan 400 miljoner dollar 2021.

Medan antalet attacker, jämfört med 2020, hoppade från fyra till sju, ökade det extraherade värdet med 40 %.

För att hämta pengar från dessa organisationers "heta" plånböcker till DPRK-kontrollerade adresser använde cyberbrottslingar nätfiske, kodexploater, skadlig programvara och avancerad social ingenjörskonst.  

När Nordkorea fick vårdnaden om den stulna krypton använde de noggranna tvättmetoder för att täcka upp och ta ut pengarna. 

"Dessa komplexa taktik och tekniker har fått många säkerhetsforskare att karakterisera cyberaktörer för Nordkorea som avancerade persistenta hot (APTs)", noterade rapporten, och tillade att detta särskilt gäller APT 38, alias "Lazarus Group", ledd av Nordkoreas primära underrättelsetjänsten, USA och FN-sanktionerade Reconnaissance General Bureau

Från 2018 och framåt stal och tvättade Lazarus Group enorma summor kryptovalutor varje år – vanligtvis över 200 miljoner dollar. 

"De mest framgångsrika enskilda hackningarna, ett på KuCoin och ett annat på en icke namngiven kryptovalutabörs, gav var och en enbart mer än 250 miljoner dollar", läs rapporten och noterade att, enligt FN:s säkerhetsråd, intäkterna från hacken stöder Nordkoreas massförstörelsevapen. och program för ballistiska missiler.

Tvättprocess

År 2021, i termer av dollarvärde, Ethereum för första gången någonsin stod för majoriteten av krypton som stulits av Nordkorea, medan Bitcoin svarade för endast 20 %, och ERC-20-tokens och altcoins stod för 22 % av medlen. 

Det växande utbudet av stulna kryptovalutor ledde till den ökade komplexiteten i Nordkoreas kryptotvätt, enligt Chainalysis, som bröt ner den sofistikerade processen i flera steg, och observerade en ökad användning av "mixers" bland nordkoreanska hackare 2021.

Dessa mjukvaruverktyg gör det möjligt för hackare att slå samman och blanda kryptovalutor från tusentals adresser och komplicera spårningen av transaktioner avsevärt.

Chainalysis förklarade den för närvarande använda taktiken baserad på en av de senaste årens attacker – resulterade i 91.35 miljoner dollar i kryptotvätt.

I augusti rapporterade Liquid.com att en obehörig användare hade fått tillgång till några av de plånböcker som hanteras av kryptobörsen. I attacken flyttades 67 olika ERC-20-tokens, tillsammans med stora summor Ethereum och Bitcoin, från dessa kryptoplånböcker till adresser som kontrolleras av en part som arbetar på uppdrag av Nordkorea. 

I en typiskt använd tvättprocess byts ERC-20-tokens och altcoins mot Ethereum vid DEX.

I nästa steg blandas Ethereum och byts ut mot Bitcoin på DEX och CEX.

Slutligen blandas Bitcoin och konsolideras till nya plånböcker – varefter det skickas till insättningsadresser på krypto-till-fiat-börser baserade i Asien.

Enligt rapporten tvättades mer än 65 % av Nordkoreas stulna medel genom blandare 2021, upp från 42 % 2020.

Chainalysis beskriver Nordkoreas användning av flera mixers som ett "kalkylerat försök att dölja ursprunget till deras illa anskaffade kryptovalutor samtidigt som de går in i fiat." 

Samtidigt tar DPRK-hackare till DeFi-plattformar som DEXs för att "tillhandahålla likviditet för ett brett utbud av ERC-20-tokens och altcoins som annars kanske inte kan konverteras till kontanter." 

Att byta ut dessa kryptos mot Ethereum eller Bitcoin gör dem inte bara mer flytande, utan öppnar upp för ett större urval av blandare och utbyten. 

Eftersom DeFi-plattformar inte är frihetsberövade samlar de ofta inte in vet-din-kund-information (KYC), vilket gör det möjligt för hackare att använda deras tjänster utan att få sina tillgångar frysta eller deras identiteter exponerade, enligt Chainalysis.

Lagring av obetvättade medel

"Chainalysis har identifierat 170 miljoner dollar i nuvarande saldon – som representerar de stulna medlen från 49 separata hack som sträcker sig från 2017 till 2021 – som kontrolleras av Nordkorea men som ännu inte har tvättats genom tjänster", läser rapporten.

Rapporten avslöjade massiva otvättade saldon så mycket som sex år gamla – ungefär 35 miljoner dollar av Nordkoreas totala innehav kom från attacker 2020 och 2021, medan mer än 55 miljoner dollar kom från attacker som utfördes 2016.

"Det är oklart varför hackarna fortfarande skulle sitta på dessa pengar, men det kan vara så att de hoppas att brottsbekämpande intressen i fallen kommer att dö ut, så att de kan ta ut pengar utan att bli övervakade", läser rapporten och tillade att oavsett anledningen "den tid som Nordkorea är villiga att hålla fast vid dessa medel är upplysande eftersom det föreslår en noggrann plan, inte en desperat och förhastad sådan."