Nhóm hacker khét tiếng Lazarus của Triều Tiên đã trốn thoát khỏi vụ trộm tiền điện tử bằng cách nào?

Nhóm hacker khét tiếng Lazarus đã sử dụng kế hoạch lừa đảo tinh vi và các công cụ rửa tiền hiện đại để đánh cắp tiền điện tử.

Các cuộc tấn công mạng hầu hết đều hướng tới các sàn giao dịch phổ biến. Vào tháng 3 năm ngoái, sàn giao dịch DragonEx có trụ sở tại Singapore đã bị đánh cắp 7 triệu đô la.

Các hacker đã lên kế hoạch rất cẩn thận, chúng đã tạo ra các trang web và các bot giao dịch tiền điện tử giả và sau đó nhanh chóng rửa tiền. Dường như tất cả các hacker này đều làm việc cho chính phủ.

Theo báo cáo của công ty phân tích blockchain Chainalysis, các hacker ngày càng tinh vi và rất khó đối phó. Người ta cho rằng các hacker này hoạt động dưới sự chỉ huy của chính phủ và đây dường như là một phần trong chiến lược sinh tồn của Triều Tiên sau khi bị cắt đứt khỏi hệ thống tài chính toàn cầu bởi các lệnh trừng phạt kinh tế quốc tế nhằm ngăn chặn chương trình vũ khí hạt nhân.

DragonEx không phải là nạn nhân đầu tiên của Lazarus. Nhóm này dường như đã hoạt động từ năm 2017 tập trung vào các tổ chức tài chính lớn. Vào tháng 8, một nhóm các chuyên gia đã báo cáo với Liên Hợp Quốc rằng Triều Tiên đã tạo ra khoảng 2 tỷ đô la cho chương trình tên lửa bằng cách đánh cắp tiền từ các ngân hàng và các sàn giao dịch.

Nhóm Lazarus được cho là thủ phạm đứng sau nhiều vụ hack lớn, bao gồm cả sự vi phạm của Sony Pictures năm 2014 và vụ hack ransomware WannaCry năm 2017, ảnh hưởng đến hàng trăm nghìn máy tính ở 150 quốc gia. Vụ hack 81 triệu đô la từ ngân hàng trung ương Bangladesh vào năm 2016 là điềm báo cho thấy mục tiêu cuối cùng của các hacker là các sàn giao dịch. Theo FBI, những kẻ tấn công đã dành ra hơn một năm để thăm dò và tìm hiểu hệ thống máy tính, sau đó thực hiện chiến dịch lừa đảo công phu.

Priscilla Moriuchi, trưởng nhóm nghiên cứu quốc gia tại Recorded Future cho biết việc bảo mật trong hệ sinh thái tiền điện tử vẫn còn rất lỏng lẻo, chính vì vậy các hacker mới có thể dễ dàng thâm nhập vào các tổ chức tài chính.

Theo Chainalysis, để thỏa hiệp với DragonEx, Lazarus đã tạo ra một công ty giả để quảng cáo cho một bot giao dịch tiền điện tử tự động có tên Worldbit-bot. Công ty này cũng tạo ra một trang web fake, giới thiệu bản dùng thử miễn phí phần mềm giao dịch cho nhân viên DragonEx, dẫn dụ họ tải phần mềm độc hại về máy tính chứa các khóa riêng tư của sàn giao dịch.

Trong nghiên cứu được công bố đầu tháng này, Kaspersky Labs cho biết mục tiêu của nhóm Lazarus là các doanh nghiệp tiền điện tử. Trong trường hợp này, những kẻ tấn công đã tạo ra các công ty giả mạo và sau đó dụ dỗ các mục tiêu tải phần mềm độc hại bằng ứng dụng Telegram.

Trong năm vừa qua, nhóm này đã thay đổi cách thức hoạt động. Năm ngoái, kỹ thuật rửa tiền của nó vẫn chưa quá phức tạp, thường tiền bị đánh cắp trong vòng 12 đến 18 tháng và được rút bằng cách sử dụng một sàn giao dịch không theo dõi khách hàng.

Sau vụ hack DragonEx vào tháng 3 năm ngoái, nhóm này hoạt động ngày càng tinh vi hơn. Chúng sử dụng nhiều bước trung gian hơn, bao gồm các sàn giao dịch và nhiều loại ví kỹ thuật số. Các coin được lưu trữ trong một loại ví đặc biệt sử dụng công nghệ bảo mật tương thích với Bitcoin có tên CoinJoin. Theo Chainalysis, gần như toàn bộ số tiền đã được chuyển sang “dịch vụ thanh khoản” trong vòng 60 ngày.

Trưởng nhóm nghiên cứu của Chainalysis, Kim Grauer, nói rằng vào năm 2019, các tổ chức tội phạm đã có một bước tiến lớn trong cơ sở hạ tầng rửa tiền. Nói cách khác, ngay cả những tên tội phạm không am hiểu về blockchain cũng có thể sử dụng các phương thức tinh vi để che đậy dấu vết sau khi đánh cắp tiền điện tử. Dù thế nào đi nữa, một khi các sàn giao dịch có lỗ hổng bảo mật thì các nhóm như Lazarus sẽ tiếp tục thực hiện hành vi phạm tội.

• Các chuyên gia pháp lý của Liên Hợp Quốc cảnh báo tránh xa hội nghị tiền điện tử của Triều Tiên
• Kho bạc hoa Kỳ ban hành lệnh trừng phạt đối với hacker Triều Tiên về các cuộc tấn công mạng

Thùy Ngân

Tạp chí Bitcoin | Technologyreview