Untersuchungen bestätigen die Beteiligung der Lazarus Group am 30-Millionen-Dollar-Hack von Upbit

Südkoreanische Ermittler schreiben den Diebstahl von 30 Millionen Dollar von Upbit der nordkoreanischen Hackergruppe Lazarus zu. 

Die lokalen Behörden haben digitale Spuren identifiziert, die die berüchtigte, mit dem nordkoreanischen Regime verbundene Hacker-Organisation Lazarus direkt mit dem jüngsten Angriff auf Upbit in Verbindung bringen. Der Vorfall, bei dem Token im Wert von rund 30,4 Millionen US-Dollar aus dem Solana-Netzwerk gestohlen wurden, hat einen beispiellosen Polizeieinsatz ausgelöst und die Finanzinfrastruktur der Region sowie den Kryptomarkt in höchste Alarmbereitschaft versetzt.

Wie diese Publikation berichtete, war der Angriff auf Upbit kein Zufall. Laut ersten Berichten, die von der Börse bestätigt wurden, verschafften sich Hacker Zugang zum Hot Wallet von Upbit – der Online-Wallet für den täglichen Handel und schnelle Auszahlungen – und stahlen über 20 verschiedene Solana-Token. Dies deutet auf einen hochkomplexen Angriff hin, der tiefgreifende Kenntnisse der Funktionsweise der Plattform voraussetzt.

Die südkoreanische Polizei gibt nun an, dass die Operation die charakteristische technische Handschrift von Lazarus trägt, der Kryptowährungsbörsen zu seinem Geldautomaten gemacht hat, um internationale Sanktionen zu umgehen. 

Der ausgeklügelte Angriff der Lazarus-Gruppe auf Upbit

Laut den Behörden zeichnet sich dieser Angriff durch die Raffinesse der Exfiltrations- und Geldwäschephasen aus, da die Angreifer nicht nur die Vermögenswerte stahlen, sondern auch umgehend eine Verschleierungsmaßnahme durchführten. Nachdem sie Zugriff auf die Gelder erlangt hatten, tauschten sie die Beute schnell in Ethereum um und nutzten die Liquidität des Netzwerks, um das Geld über zahlreiche unbekannte Wallets zu verteilen. 

Mit dieser „Chain-Skipping“-Technik versuchten Hacker, die Rückverfolgbarkeit von Transaktionen zu unterbrechen und so die Arbeit von forensischen Analysten zu erschweren, die versuchten, das Geld in Echtzeit zu verfolgen.

La Forschung in situLaut Berichten der südkoreanischen Nachrichtenagentur Yonhap News wird die Durchsuchung von Sicherheitskräften in den Büros von Upbit durchgeführt und soll klären, wie die erste Verteidigungslinie der Börse durchbrochen werden konnte. 

Aktuelle Hypothesen berücksichtigen beunruhigende Szenarien, von der Ausnutzung technischer Schwachstellen bis die Möglichkeit besteht fortgeschrittenes Social EngineeringEs wird vermutet, dass die Hacker Administratorzugangsdaten kompromittiert oder sich sogar als autorisiertes Personal ausgegeben haben, um die illegalen Überweisungen zu legitimieren.

Für die Behörden bedeutet dies Verfahrensweise In den Hallen von Upbit hallt es mit beunruhigender Vertrautheit wider. Forscher haben nahezu identische Parallelen zu dem massiven Angriff festgestellt, dem die Plattform 2019 ausgesetzt war und bei dem Hunderttausende ETH verschwanden. Die Wiederholung der Taktiken deutet darauf hin, dass die Lazarus-Gruppe nicht nur erfolgreiche Strategien wiederverwendet, sondern auch die kritische Infrastruktur ihres südlichen Nachbarn permanent überwacht und auf die kleinste Schwachstelle wartet.

Unternehmensschutz gegen die Krise

Angesichts des Ausmaßes des Vorfalls war die institutionelle Reaktion entscheidend, um einen Vertrauensverlust der Anleger zu verhindern. Dunamu, die Muttergesellschaft von Upbit, ergriff die drastische, aber notwendige Maßnahme, Ein- und Auszahlungen vorübergehend auszusetzen – eine übliche Eindämmungsmaßnahme, um weitere Verluste zu verhindern, während das Ausmaß des Schadens ermittelt wurde. Die bedeutendste Maßnahme war jedoch finanzieller Natur.

Das Unternehmen hat sich öffentlich verpflichtet, alle Verluste aus seinen eigenen Rücklagen zu decken. Dieses Versprechen der vollständigen Entschädigung soll den Nutzern, die die Kosten des Sicherheitsverstoßes nicht tragen müssen, ein Signal der Zahlungsfähigkeit und Verantwortungsbereitschaft senden. 

Die Zusammenarbeit mit anderen Akteuren des Ökosystems trägt unterdessen erste Früchte. Es wurde die erfolgreiche Einfrierung eines Teils der gestohlenen Vermögenswerte gemeldet, konkret LAYER-Token im Wert von rund 8 Millionen US-Dollar. Dies zeigt, dass die Branche heute agiler auf Blacklists und Sperrungen reagiert als in den Vorjahren.