Come gli hacker nordcoreani dietro WannaCry sono riusciti a farla franca con una straordinaria rapina crittografica

Il leader nordcoreano Kim Jong Un ispeziona la prontezza al combattimento dei caccia dell'Unità 1017 della Forza aerea e antiaerea dell'esercito popolare coreano, in una località sconosciuta della Corea del Nord. Associated Press

Gli attacchi informatici contro gli scambi di criptovaluta sono ormai comuni, ma il furto di poco più di 7 milioni di dollari dall'exchange di Singapore DragonEx lo scorso marzo si distingue per almeno tre motivi.

In primo luogo c'è lo schema di phishing estremamente elaborato utilizzato dagli aggressori, che coinvolgeva non solo siti Web falsi ma anche falsi bot per il trading di criptovalute. Poi c'è il modo in cui hanno riciclato i criptovalute che hanno rubato. Ultimo ma non meno importante: sembrano aver lavorato per Kim Jong-un.

La rapina, i cui nuovi dettagli erano recentemente pubblicato della società di analisi blockchain Chainalysis, mostra quanto sono diventati bravi i rapinatori di banche digitali di oggi. E se questo e altro rapporti hanno ragione nell'indicare gli hacker nordcoreani come gli autori, sembra essere parte di una più ampia strategia di sopravvivenza del regime di Kim, che è stato tagliato fuori dal sistema finanziario globale da sanzioni economiche internazionali intese a ridurre il suo programma di armi nucleari.

DragonEx non è stato il primo scambio di criptovalute ad essere vittima di questa particolare banda di hacker, che alcuni analisti della sicurezza chiamano Lazarus Group. Il gruppo si rivolge al settore almeno dal 2017, nell'ambito di una campagna più ampia incentrata sulle istituzioni finanziarie. In agosto, ha riferito un gruppo di esperti indipendenti alle Nazioni Unite che la Corea del Nord ha generato circa 2 miliardi di dollari per il suo programma missilistico utilizzando attacchi informatici diffusi e sempre più sofisticati per rubare dalle banche e dagli scambi di criptovalute. L'uso della criptovaluta da parte del regime per eludere le sanzioni è alla base di un recente avvertimento dello stesso gruppo di esperti delle Nazioni Unite di non partecipare a una prossima conferenza sulla blockchain a Pyongyang.

È opinione diffusa che il gruppo Lazarus sia stato dietro a numerosi hack da prima pagina, tra cui la violazione di Sony Pictures nel 2014 e l'hacking ransomware WannaCry nel 2017, che ha colpito centinaia di migliaia di computer in 150 paesi. Ma è stato il furto di 81 milioni di dollari dalla banca centrale del Bangladesh nel 2016 a prefigurare il suo eventuale attacco agli scambi di criptovalute. Secondo l'FBI , gli aggressori hanno trascorso più di un anno a fare ricognizioni prima di ottenere l'accesso al sistema informatico della banca tramite un'elaborata campagna di phishing.

Afflitto da una sicurezza debole, l'ecosistema delle criptovalute era un facile bersaglio per gli hacker nordcoreani, che avevano già esperienza nel perseguire le istituzioni finanziarie, afferma Priscilla Moriuchi , capo della ricerca sullo stato-nazione presso Recorded Future, una società di sicurezza informatica. Sono molto più capaci di quanto non ottengano credito, specialmente dal lato della criminalità finanziaria, dice Moriuchi.

Per compromettere DragonEx, Lazarus ha creato una falsa azienda che pubblicizzava un bot automatizzato per il trading di criptovalute chiamato Worldbit-bot, afferma Analisi a catena . L'azienda inventata aveva un sito Web e i suoi dipendenti inventati avevano persino presenze sui social media. Quando hanno presentato una prova gratuita del software di trading ai dipendenti DragonEx, qualcuno ha morso, scaricando malware su un computer che conteneva le chiavi private per i portafogli dell'exchange.

In ricerca pubblicata all'inizio di questo mese, Kaspersky descrive un altro dei recenti schemi del Lazarus Group, che apparentemente prendeva di mira anche le attività di criptovaluta. In questo caso, gli aggressori hanno creato aziende false e poi hanno indotto gli obiettivi a scaricare malware utilizzando la popolare app di messaggistica Telegram.

Irrompere e rubare denaro non è abbastanza, però. Devono incassare. Nell'ultimo anno, il Lazarus Group ha completamente rinnovato il modo in cui lo fa, secondo Chainalysis. L'anno scorso, è apparso abbastanza poco sofisticato nelle sue tecniche di riciclaggio di denaro, in genere lasciando che i fondi rubati rimangano da 12 a 18 mesi prima di incassare utilizzando uno scambio che non tiene traccia di chi sono i suoi clienti. (Gli scambi di criptovalute nella maggior parte delle giurisdizioni sono tenuti a tenere traccia delle identità dei propri clienti, esattamente per questo motivo.)

Il modo in cui il gruppo ha spostato i suoi soldi dopo l'hacking di DragonEx lo scorso marzo era apparentemente molto più sofisticato. Hanno utilizzato molti altri passaggi intermedi, inclusi scambi e una varietà di portafogli digitali. Le monete sono finite in un tipo speciale di portafoglio che utilizza una tecnologia di privacy compatibile con Bitcoin chiamata CoinJoin, che combina le transazioni di più utenti in un modo che rende difficile dire chi ha inviato quale pagamento a quale destinatario. E gli hacker hanno incassato più rapidamente: quasi tutti i fondi sono stati trasferiti ai servizi di liquidazione entro 60 giorni, secondo Chainalysis.

I metodi nuovi e migliorati degli hacker nordcoreani potrebbero dire meno sulle proprie capacità che sugli strumenti di riciclaggio di denaro ora disponibili nel mondo delle criptovalute. Il capo della ricerca di Chainalysis, Kim Grauer, afferma che nel 2019 il suo team ha notato un grande aumento delle infrastrutture di riciclaggio avanzate a cui varie organizzazioni criminali possono semplicemente collegarsi. In altre parole, anche i criminali che non sono esperti di blockchain possono avere accesso immediato a metodi sofisticati per coprire le loro tracce dopo aver rubato le tue criptovalute. Ad ogni modo, finché gli scambi avranno falle di sicurezza, gruppi come Lazarus continueranno a derubarli.

nascondere