100 天「狂揽」3 亿美元，朝鲜黑客组织 Lazarus 瞄准了中心化机构
在 2020 年之前，也就是 DeFi 生态系统迅速崛起之前，中心化交易所曾是 Lazarus 的主要目标。
原文作者：Elliptic
原文来源：Elliptic
原文标题：How the Lazarus Group is stepping up crypto hacks and changing its tactics
编译：Babywhale，Foresight News
朝鲜黑客组织 Lazarus 最近似乎加大了行动力度，自 6 月 3 日以来已确认进行了四次针对加密货币公司的攻击，而近期针对加密货币交易所 CoinEx 的攻击很可能也是 Lazarus 所为。对此，CoinEx 发布了多条推文，表示可疑钱包地址仍在识别中，因此被盗资金的总价值尚不明确，但可能已达到 5400 万美元。
在过去 100 多天里，Lazarus 已被确认从 Atomic Wallet（1 亿美元）、CoinsPaid（3730 万美元）、Alphapo（6000 万美元）和 Stake.com（4100 万美元）窃取了价值近 2.4 亿美元的加密资产。
如上图所示，Elliptic 分析，从 CoinEx 窃取的部分资金被发送到 Lazarus 组织用来存放从 Stake.com 窃取的资金的地址，尽管是在不同的区块链上。此后，资金通过 Lazarus 之前使用的跨链桥跨链至以太坊，然后发送回已知由 CoinEx 黑客控制的地址。Elliptic 曾在 Lazarus 事件中观察到这种来自不同黑客的资金混合情况，最近一次是从 Stake.com 窃取的资金与从 Atomic 钱包窃取的资金存在混合。这些来自不同黑客的资金被合并的情况在下图中以橙色表示。
100 多天内实施了五次攻击
2022 年，几起备受瞩目的黑客攻击被认为是 Lazarus 所为，其中包括Harmony 的 Horizon 桥被攻击和Axie Infinity 的 Ronin 桥被攻击，这两起事件都发生在去年上半年。从那时起到今年 6 月，没有任何重大加密货币盗窃案被公开归咎于 Lazarus。因此，过去 100 多天的各种黑客攻击表明朝鲜黑客组织又开始活跃了起来。
2023 年 6 月 3 日，非托管去中心化加密货币钱包 Atomic Wallet 的用户损失超过 1 亿美元。Elliptic 在确定多个因素表明朝鲜黑客组织对此负责后，于 2023 年 6 月 6 日正式认定此次黑客攻击归咎于 Lazarus，后来得到了联邦调查局（FBI）的证实。
2023 年 7 月 22 日，Lazarus 通过社会工程攻击获得了属于加密支付平台 CoinsPaid 的热钱包的访问权限。此访问权限允许攻击者创建授权请求，从平台的热钱包中提取约 3730 万美元的加密资产。7 月 26 日，CoinsPaid 发布报告称 Lazarus 对此次攻击负责，并得到了 FBI 的证实。
同一天，即 7 月 22 日，Lazarus 又进行了一次攻击，这次是针对中心化加密支付提供商 Alphapo，窃取了 6000 万美元的加密资产。攻击者可能通过之前泄露的私钥获得了访问权限。FBI 此后再度证实了 Lazarus 是此次事件的攻击者。
关于【100 天「狂揽」3 亿美元，朝鲜黑客组织 Lazarus 瞄准了中心化机构】的延伸阅读
AI换脸、插件陷阱，OKX、币安用户损失千万，交易所真的安全吗？
匿名币圈发生多起安全事件，造成巨额损失。黑客利用对敲交易盗走账户资金，币安和OKX都遭受影响。币安被指存在风控不作为，但被盗者后来向币安道歉。OKX也发生账户被AI换脸盗窃事件。加密社区讨论交易所安全改进，建议增加密码锁和2FA验证。警方提醒加密资产交易存在高风险，受害人朱先生跟随大佬炒币血本无归。在加密世界，安全比效率和盈利更重要，这也是难以离开中心化的原因之一。
Mt.Gox 重演？从近期日本巨额加密货币盗窃案看黑客的最新诈骗手段
日本DMM旗下加密资产交易所发生3亿美元的盗窃案，可能是因为交易人员中了假地址陷阱。黑客利用计算机生成大量公钥地址，其中一个与交易所常用地址相似，导致资产转移到错误的地址。DMM已向警方报案，第三方公司也查明了涉案地址。与Mt.Gox相比，DMM采取了更稳妥的措施，保护了市场信心，得益于政府监管和平台合规建设的提升。
2023 年 9 月 4 日，线上加密货币博彩平台 Stake.com 遭受攻击，价值约 4100 万美元的加密货币被盗，原因可能是私钥被盗。FBI 于 9 月 6 日发布公告，确认 Lazarus 组织是此次攻击的幕后黑手。
最后，2023 年 9 月 12 日，中心化加密货币交易所 CoinEx 成为黑客攻击的受害者，5400 万美元被盗。如上文所述，多项证据表明 Lazarus 对此次攻击负责。
Lazarus 改变了「战术」？
对 Lazarus 最新活动的分析表明，自去年以来，他们已将重点从去中心化服务转向中心化服务。前面讨论的最近五次黑客攻击中有四次是针对中心化加密资产服务提供商的。在 2020 年之前，也就是 DeFi 生态系统迅速崛起之前，中心化交易所曾是 Lazarus 的主要目标。
对于 Lazarus 的注意力再次转向中心化服务的原因，有多种可能的解释。
更加关注安全性：Elliptic 之前对 2022 年 DeFi 黑客攻击的研究发现，2022 年间平均每四天就会发生一次攻击，每次攻击平均窃取 3260 万美元。跨链桥在 2022 年成为最常被黑客攻击的 DeFi 协议类型之一。这些趋势可能促进了智能合约审计和开发标准的改进，从而缩小了黑客识别和利用漏洞的范围。
对社会工程的敏感性：在多次黑客攻击中，Lazarus Group 选择的攻击方法是社会工程。例如，Ronin Bridge 价值 5.4 亿美元的黑客攻击就是通过 LinkedIn 的虚假工作机会找出的「缺口」。然而，去中心化的服务往往没有很多的员工，而且——顾名思义——在不同程度上是去中心化的。因此，获得对开发人员的恶意访问可能并不一定等于获得对智能合约的管理访问权限。
与此同时，中心化交易所则可能会雇用相对更多的劳动力，从而扩大可能的目标范围。他们还可能使用中心化的内部信息技术系统进行操作，从而使 Lazarus 恶意软件有更大的机会渗透到业务中去。
免责声明：本文仅代表作者个人观点，不代表链观CHAINLOOK立场，不承担法律责任。文章及观点也不构成投资意见。请用户理性看待市场风险，以及遵守所在国家和地区的相关法律法规。
图文来源：Elliptic，如有侵权请联系删除。转载或引用请注明文章出处！
标签：黑客
