黑客攻击如今已然成为加密生态中的常态化事件，据Chainalysis2022年Q1报告显示，黑客在2021年盗取价值32亿美元的加密资产，但在2022年前三个月，黑客从交易所、DeFi协议和普通用户盗取约13亿美元加密资产，其中97%来自DeFi协议。
而在一众黑客组织中，又以朝鲜黑客组织LazarusGroup近期最受关注。根据美国财政部报告，该组织正是损失高达6.2亿美元的Ronin跨链桥被盗事件的幕后黑手，其以太坊地址已经纳入美国制裁名单。此前，该组织被认为是Bithumb、KuCoin等诸多加密货币交易所被盗事件的主导者，并且手法多为钓鱼攻击。
如今，LazarusGroup俨然正在成为加密生态最具破坏性的黑客组织之一。那么这个组织究竟是如何形成的？它们通常优势如何作案的？
LazarusGroup简介
据维基百科资料，LazarusGroup成立于2007年，隶属于北韩人民军总参谋部侦察总局第三局旗下的110号研究中心，专门负责网络战。该组织从国内挑选最聪明的学生接受六年的特殊教育，培养其将各种类型的恶意软件部署到计算机和服务器的能力，朝鲜国内的金日成大学、KimChaek科技大学和Moranbong大学提供相关教育。
联合国报告：朝鲜黑客2022年盗取的加密货币为历年最多:2月7日消息，联合国一份机密报告显示，到目前为止，朝鲜黑客在2022年盗取的加密资产比以往任何一年都多。据路透社报道，这份联合国报告已于上周提交给由15名成员组成的朝鲜制裁委员会。
调查发现，去年与朝鲜有关联的黑客盗取了6.3亿美元至10亿多美元的加密资产，并将外国航空航天和国防公司的网络作为攻击目标。
这份联合国报告还指出，网络攻击比前几年更加复杂，使得追踪被盗资金比以往任何时候都更加困难。
独立制裁监督机构在提交给联合国安理会委员会的报告中表示：“（朝鲜）利用日益复杂的网络技术，进入涉及网络金融的数字网络，并窃取有潜在价值的信息，包括对其武器计划的信息。”
此前消息，据区块链分析公司Chainalysis最新报告表示，整体加密货币损失从2021年的33亿美元增至2022年的38亿美元，2022年为有史以来加密货币被盗损失规模最大的一年。其中，DeFi协议损失占黑客窃取的所有加密货币的82.1%（约31亿美元），远高于2021年的73.3%。在这31亿美元中，64%来自跨链桥接协议。此外，朝鲜网络犯罪集团Lazarus Group于2022年共窃取价值约17亿美元的加密货币，创历史纪录。（Cointelegraph）[2023/2/7 11:51:56]
该组织分为2个部门，一个是大约1700名成员的BlueNorOff，负责通过伪造SWIFT订单进行非法转账，专注于利用网络漏洞谋取经济利益或控制系统来实施金融网络犯罪，此部门针对金融机构和加密货币交易所。另一个是大约1600名成员的AndAriel，以韩国为攻击目标。
韩国金融服务委员会称其对朝鲜黑客窃取加密货币不负责:韩国金融服务委员会(FSC)在回复国民议会事务委员会的书面质询时表示，他们对由朝鲜政权支持的黑客在加密交易所平台上发起的攻击中窃取的加密货币不负责。根据这份报告，该监管机构辩称，加密交易所不属于他们的管辖范围，但没有提供有关此事的更多细节。他们把责任转交给韩国外交部和韩国通信委员会(KCC)。但是，外交部和韩国通信委员会都认为，FSC仍然要对加密公司遭受的任何损失负责，因为这些都与金融有关。这两个机构指出，FSC的职务是“负责管理和监督虚拟资产提供商”。(Fn News)[2020/10/24]
已知LazarusGroup最早的攻击活动是2009年其利用DDoS技术来攻击韩国政府的“特洛伊行动”。而最著名的一次是2014年对索尼影业的攻击，原因是索尼上映关于暗杀朝鲜领导人金正恩的喜剧。
该组织旗下机构BlueNorOff的一次知名攻击是2016年的孟加拉国银行攻击案，他们试图利用SWIFT网络从属于孟加拉国中央银行的纽约联邦储备银行账户非法转移近10亿美元。在完成了几笔交易后，纽约联邦储备银行以拼写错误引起的怀疑为由阻止了其余交易。
自2017年以来，该组织开始对加密行业进行攻击，并获利至少达10亿美元。
LazarusGroup加密攻击事件
2017年2月从韩国交易所Bithumb盗取700万美元的数字资产。?
安全公司：朝鲜黑客组织Lazarus设计网络钓鱼攻击计划，涉及500万人:互联网安全研究公司Cyfirma最近的一份报告称，朝鲜黑客组织Lazarus设计了一个网络钓鱼计划，涉及美国、英国、新加坡、日本、印度和韩国等国的约500万个人和企业。Cyfirma预计，这次袭击将在这个周末进行，为期两天，不仅会影响到各国公民，还会影响到中小企业甚至大型企业。
注：2019年初，联合国曾援引Group IB的报告称，朝鲜黑客组织Lazarus被指控制造了五起加密货币窃案，攻击目标分别为Yapizon（韩国，损失3816 BTC，合530万美元）、Coinis（韩国，损失不详）、YouBit（韩国，损失17%资产）、Coincheck（日本，损失5.23亿NEM，合5.34亿美元）、Bithumb（韩国，损失3200万美元），五次攻击获利总额高达5.71亿美元。（Decrypt）[2020/6/20]
2017年4月从韩国交易所Youbit盗取约4000枚比特币，12月再次盗取其17%数字资产，Youbit申请破产。
2017年12月从加密货币云挖矿市场Nicehash盗取超过4500枚比特币。
2020年9月从KuCoin交易所盗取价值约3亿美元的数字资产。
2022年3月攻击Ronin跨链桥，盗取17.36万个ETH和2550万USDC被盗，累计价值约6.2亿美元。
声音 | 卡巴斯基：朝鲜黑客现通过Telegram窃取加密货币:金色财经报道，在周二发表的研究报告中，网络安全公司卡巴斯基表示，与朝鲜有联系的网络犯罪组织Lazarus Group的攻击方法已发生重大变化。新的攻击手段是通过Telegram传播恶意软件。研究人员发现，某些受害者的计算机下载了带有嵌入式恶意软件的操纵软件，该软件会在黑客不知情的情况下将敏感数据发送给黑客。一项案例研究涉及一个伪造的加密货币钱包的软件更新，该软件一旦被下载，便开始将用户数据传输给黑客。[2020/1/10]
此外，许多加密项目方负责人或者KOL也会成为LazarusGroup的目标。2022年3月22日，DefianceCapital创始人Arthur在推特表示热钱包被盗，包括17枚azuki和5枚cloneX在内的的60枚NFT，损失约170万美元。Arthur称有证据表明幕后黑手是朝鲜支持的BlueNorOff黑客组织，他们正在大力伤害加密行业。
面对外界的指控，朝鲜曾发表公告称不是LazarusGroup所为，但此后从不回应媒体的询问。
攻击特点
根据虎符智库分析，LazarusGroup通过网络钓鱼、恶意代码、恶意软件等手段盗取存储在数字钱包的加密资产，主要有以下特点：
攻击周期普遍较长，通常进行较长时间潜伏，并换不同方法诱使目标被入侵。
韩国国家情报局：朝鲜黑客盗取900万元加密货币:（首尔路透电）韩国国家情报局表示，韩国加密货币交易平台今年遭网络攻击，约76亿韩元（约900万新元）加密货币被盗窃，而幕后黑手是朝鲜黑客。韩国国家情报局透露，朝鲜黑客发动的袭击，包括今年6月潜入全球最繁忙加密货币交易所“Bitthumb”，窃取其3万6000个账户的个人资料；今年4月和9月间，从Yapizon（现称为Youbit）和Coinis交易所的账户盗取加密货币。韩国国家情报局说，朝鲜黑客也向Bitthumb发出勒索，要对方以60亿韩元，来换取他们删除外泄的客户资料。[2017/12/19]
投递的诱饵文件具有极强的迷惑性和诱惑性，导致目标无法甄别。
攻击过程会利用系统破坏或勒索应用干扰事件的分析。
利用SMB协议漏洞或相关蠕虫工具实现横向移动和载荷投放。
每次攻击使用工具集的源代码都会修改，并且网安公司披露后也会及时修改源代码。
LazarusGroup最擅长的攻击手段是滥用信任，利用目标对商业通信、同事内部聊天或者与外部交互的信任，向其发送恶意文件，并监控其日常操作伺机盗窃。在攻击者意识到找到的目标是加密大户后，会仔细观察用户数周或数月的活动轨迹，最后才制定盗窃方案。
2021年1月，谷歌安全团队也曾表示发现Lazarus长期潜伏在Twitter、LinkedIn、Telegram等社交媒体，利用虚假身份伪装成活跃的业内漏洞研究专家，博取业内信任从而对其他漏洞研究人员发动0day攻击。
据卡巴斯基的研究，今年BlueNoroff组织喜欢跟踪和研究成功的加密货币初创公司，目标是与团队管理层建立良好的个人互动关系并了解可能感兴趣的主题，甚至会雇佣或伪装成应聘者潜入公司，以便发起高质量的社会工程攻击。
美国政府的一份报告，则进一步披露，入侵往往始于在各种通信平台上发送给加密货币公司员工的大量鱼叉式网络钓鱼消息，这些员工通常从事系统管理或软件开发/IT运营(DevOps)。这些消息通常模仿招聘工作并提供高薪工作以诱使收件人下载带有恶意软件的加密货币应用程序。
把恶意文件植入目标电脑之后，如果攻击者意识到目标使用Metamask拓展来管理加密钱包之后，会将扩展源从WebStore更改为本地存储，并将核心扩展组件替换为篡改版本。下面截图显示了受病感染的Metamaskbackground.js代码，其中注入的代码行以黄色显示。在这种情况下，攻击者设置了对特定发件人和收件人地址之间交易的监控，可以在发现大额转账时触发通知。
另外，如果攻击者意识到目标用户的加密货币是储存在硬件钱包，会拦截交易过程并注入恶意逻辑。当用户将资金转移到另一个账户时，交易就会在硬件钱包上签名。但是，鉴于该操作是由用户主动发起，不会引起自身的怀疑，然而攻击者不仅修改了收款人地址，还将转账数量拉到最大值。
这听上去很简单，但需要对Metamask扩展插件进行彻底分析，该扩展包含超过6MB的JavaScript代码，并实施代码注入让用户使用扩展时按需重写交易细节。
但是，攻击者对Chrome扩展的修改会留下痕迹。浏览器必须切换到开发者模式，并且Metamask扩展是从本地目录而不是在线商店安装的。如果插件来自商店，Chrome会对代码强制执行数字签名验证并保证代码完整性，攻击者就无法完成攻击过程。
如何应对
随着加密生态规模的快速增长，LazarusGroup对行业的威胁也在急剧增长。根据美国联邦调查局、美国网络安全和基础设施安全局和美国财政部近日共同发布的联合网络安全咨询，自2020年以来，朝鲜支持的高级持续威胁就已开始针对区块链和加密行业的各种组织，包括加密交易所、DeFi协议、链游、加密贸易公司、加密风投以及持有大量代币和NFT的个人所有者。这些组织可能会继续利用加密货币技术公司、游戏公司和交易所的漏洞来产生和以支持朝鲜政权。?
为此，该报告提出的缓解措施包括应用纵深防御安全策略、强制执行凭据要求和多因素身份验证、在社交媒体和鱼叉式钓鱼中对用户进行社交工程教育等。
今日，知名加密安全组织慢雾也针对该现象发布防范建议：建议行业从业人员随时关注国内外各大威胁平台安全情报，做好自我排查，提高警惕；开发人员运行可执行程序之前，做好必要的安全检查；做好零信任机制，可以有效降低这类威胁带来的风险；建议Mac/Windows实机运行的用户保持安全软件实时防护开启，并随时更新最新病库。
在渠道方面，以太坊混币协议TornadoCash近日也发推表示，该项目正在使用合规公司Chainalysis开发的工具来阻止美国外国资产控制办公室(OFAC)批准的特定加密钱包地址访问DApp，这似乎是在对LazarusGroup的围追堵截。
不过TornadoCash联合创始人RomanSemenov此后发推称，封锁仅适用于面向用户的去中心化应用程序，而不适用于底层智能合约。也就是说，此举更多地是象征性行动，很难实质性影响资深黑客通过TornadoCash混币。
总结
LazarusGroup组织是有国家背景支持的顶尖黑客团伙，专注于针对特定目标进行长期的持续性网络攻击，以窃取资金和实现目的为出发点，是全球金融机构的最大威胁之一。
同时，此类组织对加密生态的攻击也会间接导致加密货币市场成为朝鲜政权补充资金的便捷渠道，导致加密行业的进一步恶名化，影响其合规化与规范化进程。
为了应对LazarusGroup等一系列黑客组织的攻击以及维护健康的加密行业生态，加密项目需要在应对此类攻击方面形成更加有效的预防机制，在代码审计、内控、用户教育、响应机制等层面均采取相应措施，尽可能保障用户资产安全。
作为加密用户，每个人也需要了解更多安全方面的知识，尤其是在保护个人隐私、鉴别钓鱼链接等方面，鉴于DefianceCapital创始人Arthur这般资深用户仍然被盗，任何人都不容忽视此类风险。
参考资料：1、https://en.wikipedia.org/wiki/Lazarus_Group2、https://blog.chainalysis.com/reports/2022-defi-hacks/3、https://securelist.com/the-bluenoroff-cryptocurrency-hunt-is-still-on/105488/4、https://cryptobriefing.com/north-korea-is-targeting-entire-crypto-space-top-vc-warns/
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。