Исследователи Elliptic напомнили: 21 февраля 2025 года биржа Bybit пережила крупнейшую атаку в истории криптовалютной индустрии. Всего за 2 транзакции злоумышленники вывели $1,46 млрд в ETH и токенах стандарта ERC-20. Компания по безопасности тогда была одной из первых, кто связал этот инцидент с хакерами из Северной Кореи (DPRK).
По данным zeroShadow, более $1 млрд уже удалось отмыть за эти полгода. При этом, судя по отчетам, значительную часть операций была осуществлена руками профессионалов из компаний «отмыватели как услуга», а не самими северокорейскими хакерами. Схема предполагала, что представители Lazarus получали деньги за вычетом комиссии.
Эксперты отметили: процедура «лаундринга» в случае с Bybit отличалась скоростью и масштабом. Если ранее похищенные цифровые активы могли месяцами и годами лежать без движения, то здесь средства начали перемещаться почти сразу. Это связывают с высокой публичностью атаки: к расследованию подключились профессиональные аналитики, правоохранители и даже члены криптосообщества, а сама биржа объявила программу вознаграждения.
Денежные средства прошли через сложные многоуровневые цепочки с использованием мультичейна, обфускации, малоизвестных блокчейнов и сервисов, а также множества миксеров. Интересным элементом стала тактика использования refund address — возврат отклоненных транзакций направлялся не на исходный адрес, а на новый, что разрывало след. Также фиксировались эксперименты с бессмысленными токенами, созданными специально для запутывания правоохранителей.
«В отличие от прежних атак, DPRK активно использовала Wasabi Wallet и целый ряд других CoinJoin-решений вместо Tornado Cash, что стало заметным сдвигом в их тактике», — подчеркнули эксперты. В конечном счете значительная часть криптовалют оказалась в сети Tron и была конвертирована в USDT через китайские OTC-площадки, многие из которых связаны с группой Huione.
Эксперты отмечают, что хакеры КНДР не только извлекла огромную выгоду из взлома, но и продолжает атаковать проекты криптосектора. С начала 2025 года зафиксировано более 10 новых атак с общим ущербом свыше $1,75 млрд. В арсенале злоумышленников — внедрение ИТ-специалистов в команды стартапов, фишинговые видеозвонки с установкой Malware и атаки на разработчиков через «тестовые задания».