Министерство юстиции США предъявило обвинения трём гражданам Северной Кореи в предполагаемом участии в масштабной международной киберпреступной операции.
Дело связано с кражами криптовалют, кибератаками и попытками вымогательства на сумму более 1,3 миллиарда долларов.
Но кто эти люди и что нам действительно известно о группах, связанных с этими операциями?
Когда речь заходит о безопасности на рынке криптовалют, в расследованиях крупных кибератак часто фигурирует одно имя:
Lazarus Group.
Власти и исследователи кибербезопасности связывают эту группу с операциями цифрового шпионажа, атаками на финансовые учреждения и кражами цифровых активов.
В феврале 2021 года Министерство юстиции США (DOJ) объявило о предъявлении федеральных обвинений трём гражданам Северной Кореи, предположительно связанным с военными разведывательными подразделениями страны.
Обвинительное заключение привлекло международное внимание не только именами фигурантов, но и масштабом описанных операций.
Давайте рассмотрим факты, не путая обвинения с обвинительными приговорами.
1. Кто эти трое лиц, названных Министерством юстиции?
В федеральном обвинительном заключении 2021 года названы три человека:
Джон Чан Хёк
Ким Ир
Пак Чин Хёк
По данным Министерства юстиции США, все трое были членами подразделений Главного разведывательного управления (RGB) — военной разведывательной службы Северной Кореи.
В обвинительном заключении утверждается, что эти подразделения участвовали в киберпреступных операциях, направленных на взлом компьютерных систем, кражу информации, получение денег и перемещение криптовалют.
В документе предполагаемые участники также связываются с группами, известными в сфере кибербезопасности как Lazarus Group и APT38.
Важно подчеркнуть: это обвинения, выдвинутые властями США. Сам факт предъявления официального обвинения не означает, что эти лица были осуждены.
2. Что такое Lazarus Group?
Lazarus Group — название, используемое исследователями кибербезопасности для обозначения совокупности кибератак и операций, связанных с Северной Кореей.
Эту группу часто связывают с атаками на компании, финансовые учреждения и организации из различных отраслей.
К числу приписываемых ему видов деятельности относятся:
Взлом сетей и компьютерных систем;
Кража информации и учётных данных;
Атаки на финансовые учреждения;
Кража криптовалют;
Использование вредоносного программного обеспечения;
Отмывание и перемещение украденных средств.
Lazarus Group также связывают с другими названиями, используемыми различными исследовательскими организациями, например APT38.
Однако названия, используемые компаниями и властями, не всегда обозначают одну и ту же оперативную структуру.
Поэтому точнее говорить о связанных группах или видах деятельности, а не считать, что все названия относятся к одной чётко очерченной команде.
3. Более 1,3 миллиарда долларов: о чём говорится в обвинительном заключении?
По данным Министерства юстиции США, описанный в обвинительном заключении заговор включал попытки похитить и вымогать у финансовых учреждений и компаний более 1,3 миллиарда долларов в виде денежных средств и криптовалют.
В документе упоминаются различные виды операций, в том числе:
Кибератаки на компании;
Попытки похищения средств у финансовых учреждений;
Создание и распространение вредоносных приложений, связанных с криптовалютами;
Разработка и мошенническое продвижение блокчейн-платформы;
Кампании вымогательства и атаки с использованием программ-вымогателей.
В обвинительном заключении также упоминаются более ранние операции, включая атаку на Sony Pictures в 2014 году и распространение программы-вымогателя WannaCry в 2017 году.
Важно различать: 1,3 миллиарда долларов — это сумма, которая, по заявлениям властей, стала объектом попыток кражи или вымогательства в рамках описанного заговора.
Не следует представлять её как сумму, полностью украденную тремя обвиняемыми.
4. ФБР продолжает отслеживать средства?
Да. Конкретный пример появился в августе 2023 года.
В официальном сообщении ФБР заявило, что отследило около 1 580 $BTC , которые тогда оценивались более чем в 40 миллионов долларов и были связаны с северокорейскими участниками, причастными к TraderTraitor.
ФБР предупредило, что эти участники могут попытаться обменять биткоины на наличные деньги или другие активы.
Расследование связало эти средства с несколькими предыдущими атаками, в том числе:
Alphapo: цифровые активы примерно на 60 миллионов долларов;
CoinsPaid: примерно 37 миллионов долларов;
Atomic Wallet: примерно 100 миллионов долларов.
Эти суммы соответствуют оценкам ФБР по каждому из случаев кражи.
Ведомство призвало компании отрасли отслеживать указанные кошельки и проявлять осторожность при проведении транзакций, связанных с этими адресами.
Этот эпизод демонстрирует одну из наиболее интересных особенностей технологии блокчейн: хотя пользователям может быть неизвестна реальная личность владельца кошелька, перемещения активов в публичных сетях можно анализировать и отслеживать.
5. Как можно отследить украденные средства?
Одно из ошибочных представлений о криптовалютах — вера в то, что все транзакции полностью анонимны.
На самом деле такие сети, как #Bitcoin и #Ethereum , хранят публичные записи о транзакциях.
Это означает, что специалисты-расследователи могут отслеживать:
Адрес, с которого отправлены средства;
Адреса, получившие активы;
Переведённые суммы;
Время совершения транзакций;
Связи между разными кошельками.
Компании, занимающиеся анализом блокчейна, используют эту информацию для выявления закономерностей и возможных связей между операциями.
Но есть важное ограничение: отслеживание кошелька не обязательно означает, что известна личность его владельца.
Исследователи могут выявить технические связи между транзакциями, не имея возможности сразу доказать, кто получил средства или извлёк из них выгоду.
Поэтому анализ блокчейна часто дополняют разведывательной информацией, полицейскими расследованиями и сотрудничеством между компаниями.
6. Почему эти операции вызывают беспокойство на крипторынке?
Атаки, приписываемые группам, связанным с Северной Кореей, вызывают обеспокоенность во всей отрасли.
Биржа может вложить миллионы в безопасность, но всё равно оставаться уязвимой к рискам, связанным с сотрудниками, скомпрометированными устройствами, внутренними системами и социальной инженерией.
Кроме того, когда похищают крупные суммы в криптовалюте, последствия могут выйти за пределы пострадавшей платформы.
Это может подорвать доверие, создать нагрузку на механизмы безопасности и затруднить выявление активов или их замораживание.
Важно не только предотвратить атаку. Необходимо также уметь выявлять подозрительные перемещения средств, сотрудничать с другими организациями и уменьшать ущерб для пользователей.
7. Чему нас могут научить эти случаи?
Тем, кто пользуется криптовалютными биржами или инвестирует в криптовалюты, эти случаи преподносят несколько практических уроков:
Защищайте свои учётные записи: используйте двухфакторную аутентификацию и не повторяйте пароли.
Остерегайтесь неожиданных сообщений: фишинговые атаки могут маскироваться под сообщения известных компаний, чтобы украсть учётные данные.
Защищайте свои устройства: своевременно обновляйте системы и не устанавливайте приложения из неизвестных источников.
Не сообщайте фразу восстановления: ни одной легитимной бирже не нужна ваша seed-фраза, чтобы помочь вам.
Понимайте риски централизованных платформ: хранить активы на бирже удобно, но это означает, что нужно доверять её системам безопасности и управления.
Заключение: обвинения, расследования и угроза, за которой продолжают следить
Дело трёх граждан Северной Кореи показывает, какого масштаба могут достигать международные расследования киберпреступлений.
Министерство юстиции США предъявило официальные обвинения Джону Чан Хёку, Ким Иру и Пак Чин Хёку, заявив, что они участвовали в международном заговоре, связанном с кибератаками и финансовыми преступлениями.
ФБР, в свою очередь, продолжает публиковать информацию о цифровых средствах, связанных с операциями, приписываемыми северокорейским участникам.
Но важно сохранять точность: лиц, упомянутых в обвинительном заключении, не следует считать виновными без обвинительного приговора, а приписывание атак необходимо сопровождать указанием соответствующих источников и ограничений.
На крипторынке безопасность зависит не только от технологий.
Она также зависит от способности расследовать инциденты, сотрудничать и защищать пользователей.
А вы уже слышали о Lazarus Group?
Как вы считаете, достаточно ли хорошо криптовалютные биржи и компании подготовлены к атакам такого масштаба?
Поделитесь своим мнением в комментариях. Информация — сила!
Официальные источники для дальнейшего изучения
Министерство юстиции США (17 февраля 2021 года): Обвинения против трёх граждан Северной Кореи в предполагаемом участии в глобальных киберпреступных операциях
ФБР (22 августа 2023 года): Выявление средств в биткоинах, связанных с северокорейскими участниками
ФБР (6 сентября 2023 года): Приписывание Lazarus Group кражи 41 миллиона долларов с платформы Stake.com
Министерство юстиции США (6 сентября 2018 года): Первоначальное обвинительное заключение против Пак Чин Хёка