Gigant krypto zaatakowany tuż przed fuzją – FBI alarmuje, łupem przestępców padło 30 mln USD!
W dniu wczorajszym największa południowokoreańska giełda kryptowalut, Upbit, padła ofiarą kolejnego potężnego ataku hakerskiego, w wyniku którego skradziono aktywa o wartości 30,4 miliona dolarów.
Lokalne media, powołując się na anonimowe źródła rządowe oraz branżowe, niemal natychmiast skierowały podejrzenia na osławioną północnokoreańską Grupę Lazarus. Choć Upbit początkowo zgłosił straty na poziomie 54 miliardów wonów, później skorygował tę kwotę do 44,5 miliarda wonów, czyli równowartości 30,4 miliona dolarów amerykańskich.
Wiadomo już, że atak polegał na nieautoryzowanych wypłatach określonych aktywów opartych na sieci Solana, co wymusiło na platformie natychmiastowe zawieszenie usług wpłat i wypłat. Co znamienne, incydent miał miejsce zaledwie kilka godzin po tym, jak Naver Financial oficjalnie potwierdził plan fuzji z Dunamu, spółką operacyjną stojącą za giełdą Upbit, co miało na celu zabezpieczenie „przyszłego impetu wzrostu opartego na aktywach cyfrowych”.
– Nieprawidłowe wypłaty miały miejsce z portfeli gorących. Portfele zimne nie zostały naruszone ani nie doszło do kradzieży – poinformował rzecznik Dunamu, spółki zarządzającej Upbit, potwierdzając, że wszystkie aktywa zostały przeniesione do portfeli zimnych „w celu zapobieżenia dalszym wypłatom” oraz że giełda „podejmuje działania w łańcuchu bloków w celu zamrożenia transakcji”.
Wśród aktywów, których dotknęła opisywana tu sytuacja, znalazły się memecoiny, takie jak Bonk (BONK), Moodeng (MOODENG), Official Trump (TRUMP), oraz zdecentralizowane tokeny finansowe, takie jak Sonic SVM (SONIC), Access Protocol (ACS), Jito (JTO), Solana (SOL) i Raydium (RAY), a także inne tokeny, takie jak Pudgy Penguin (PENGU). Na liście znajduje się również USD Coin (USDC) firmy Circle. – Skala strat spowodowanych nieprawidłowymi wypłatami została zidentyfikowana wewnętrznie natychmiast po potwierdzeniu – powiedział prezes Dunamu, Oh Kyung-seok, dodając, że Upbit „w pełni zrekompensuje całą kwotę z własnych aktywów, aby nie miało to wpływu na aktywa członków”.
Przetłumaczono z DeepL.com (wersja darmowa)
Nowa fala z Korei Północnej i historia cyberwojny
Metody wykorzystane podczas czwartkowego ataku wykazywały uderzające podobieństwo do schematów, które już wcześniej doprowadziły do gigantycznych kradzieży. Władze Korei Południowej twierdzą, że hakerzy najprawdopodobniej nie zaatakowali bezpośrednio serwerów giełdy, lecz skompromitowali konta administratorów lub podszywali się pod nich, aby autoryzować transfery środków. Ten scenariusz idealnie wpisuje się w modus operandi Grupy Lazarus, która preferuje zaawansowaną inżynierię społeczną i infiltrację.
Warto przypomnieć, że to właśnie Lazarus stał za głośną kradzieżą 342 000 ETH z Upbit w listopadzie 2019 roku, co potwierdziła ubiegłoroczna analiza południowokoreańskiej policji. Eksperci ds. cyberbezpieczeństwa podkreślają, że ataki te są często elementem szerszej strategii Pjongjangu, służącej finansowaniu programu nuklearnego i wojskowego. Amerykańskie Federalne Biuro Śledcze (FBI) wprost określiło północnokoreańskie operacje cybernetyczne jako „jedno z najbardziej zaawansowanych trwałych zagrożeń”. Skala działań Lazarus Group jest bezprecedensowa – grupa ta została powiązana z takimi incydentami jak kradzież 625 milionów dolarów z sieci Ronin w 2022 roku, a w lutym 2025 roku miała stać za gigantycznym atakiem na giełdę Bybit, gdzie łupem padło blisko 1,5 miliarda dolarów.
Cyfrowa ucieczka i niełatwe śledzenie skradzionych środków
Po udanym ataku na Upbit hakerzy natychmiast rozpoczęli proces prania skradzionych aktywów, by maksymalnie utrudnić ich odzyskanie. Dane on-chain, analizowane przez dostawców usług, takich jak Dethective, wskazują, że portfel powiązany ze złodziejami dokonywał wymiany skradzionych tokenów Solana na stablecoiny USDC, a następnie mostował fundusze do sieci Ethereum. To standardowa taktyka Lazarus Group, polegająca na szybkim przemieszczaniu aktywów między różnymi blockchainami i wykorzystywaniu zdecentralizowanych giełd (DEX) oraz mikserów kryptowalutowych. Taka aktywność ma na celu zamazanie śladów i przekształcenie trudno dostępnych dla reżimu Kimów kryptowalut w gotówkę.
Tymczasem w Korei Południowej organy ścigania, w obliczu rosnącej pewności co do odpowiedzialności Lazarus, przygotowują się do inspekcji na miejscu w siedzibie Upbit. Incydent ten stanowi poważne wyzwanie dla całego ekosystemu finansów cyfrowych w regionie, udowadniając, że nawet największe i najlepiej strzeżone giełdy pozostają na celowniku zaawansowanych, państwowych grup hakerskich, które nieustannie rozwijają swoje techniki infiltracji, wykorzystując najczęściej słaby punkt – czynnik ludzki.
