28 de abril de 2022

El grupo norcoreano Lazarus mueve fondos a través de Tornado Cash

Mediante una designación de sanciones discreta el 14 de abril, el Departamento del Tesoro de EE.UU. anunció que Corea del Norte, conocida oficialmente como República Popular Democrática de Corea ("RPDC"), estaba detrás del hackeo del puente Ronin del mes pasado, el mayor hackeo de criptomonedas hasta la fecha. En concreto, la Oficina de Control de Activos Extranjeros publicó una lista de entidades asociadas con el grupo de piratas informáticos patrocinado por el Estado norcoreano Lazarus, incluida esta dirección de cripto Ethereum:

0x098B716B8Aaf21512996dC57EB0615e2383E2f96

El FBI anunció más tarde el mismo día que era, "capaz de confirmar Lazarus Group y APT38, actores cibernéticos asociados con la RPDC, son responsables del robo de 620 millones de dólares en Ethereum informó el 29 de marzo."

El 22 de abril, la OFAC añadió otras tres direcciones de Ethereum asociadas al hackeo a su lista de direcciones especialmente designadas (SDN). Las direcciones designadas por la OFAC habían interactuado con la dirección sancionada originalmente y en un momento dado albergaron aproximadamente 50.000 de los ETH robados.

Los fondos se movieron a través de Tornado Cash, el mezclador más popular de la blockchain Ethereum, que recientemente anunció esfuerzos para utilizar herramientas de detección de sanciones.

A pesar de ello, el grupo de hackers Ronin/Lazarus ha seguido depositando decenas de miles de ETH desde el 4 de abril. Sin embargo, las cantidades en cuestión son tan grandes que han puesto a prueba la capacidad de Tornado Cash; el flujo casi continuo de fondos ha permitido a todo el mundo, desde detectives aficionados de blockchain hasta empresas de análisis profesionales, buscar en los flujos de salida del mezclador pistas sobre el destino de los fondos. Algunos de estos esfuerzos han tenido éxito.

‍

Corea del Norte lleva mucho tiempo realizando ciberataques contra empresas de criptomoneda con el fin de recaudar fondos para financiar sus programas de armamento, la proliferación nuclear y otras actividades desestabilizadoras. Para lograr sus objetivos, Corea del Norte ha creado varios equipos profesionales -conocidos colectivamente por observadores externos como el Grupo Lazarus- para llevar a cabo los ciberataques y blanquear los fondos robados.

En febrero de 2020, el sitio web estadounidense Department of Justice dio a conocer una acusación contra hackers norcoreanos que, línea por línea, describía los sofisticados esfuerzos de Corea del Norte para utilizar la ingeniería social, las estafas de ICO y otros métodos para violar los sistemas de seguridad cibernética, infiltrarse en empresas de criptomoneda y robar fondos a una velocidad y escala sin precedentes. Los incentivos económicos para Corea del Norte son poderosos; cientos de millones de dólares en puros beneficios representan una parte enorme de los ingresos totales en divisas de Corea del Norte, especialmente en su periodo posterior a la crisis de COVID de mayor aislamiento comercial. Para más información sobre los ataques del Grupo Lazarus a empresas de criptomonedas, consulta aquí y aquí.

Como demostró el hackeo de Ronin, el Grupo Lazarus utiliza ahora habitualmente múltiples servicios de mezcla y otras sofisticadas técnicas de ofuscación. Dado que a Corea del Norte en última instancia no le preocupa ser descubierta, Lazarus a menudo mueve los fondos rápidamente a una rampa de salida en lugar de dedicarse a largas y costosas técnicas de ofuscación. Para más detalles sobre los ciberataques de Corea del Norte a empresas de criptomoneda, consulte este informe de febrero del Center for New American Security, en colaboración con TRM, y eche un vistazo a esta serie de TRM Talks con expertos de Corea del Norte sobre el grupo Lazarus y los continuos ataques a empresas de criptomoneda.

Acerca de TRM Labs

TRM ofrece Inteligencia en Blockchain para ayudar a las instituciones financieras, las empresas de criptomoneda y los organismos públicos a detectar, investigar y gestionar el fraude y los delitos financieros relacionados con las criptomonedas. La plataforma de gestión de riesgos de TRM incluye soluciones para la supervisión de transacciones y la detección de carteras, la puntuación de riesgos de entidades -incluida la diligencia debida de VASP- y el rastreo del origen y el destino de los fondos. Estas herramientas permiten a una cohorte cada vez mayor de organizaciones de todo el mundo adoptar con seguridad transacciones, productos y asociaciones relacionados con la criptomoneda.

‍

¿Quieres más contenidos como éste?