Аналитики нашли улики, связывающие взломы KelpDAO и Humanity Protocol

В апреле текущего года хакеры совершили взлом моста KelpDAO, похитив $292 миллиона, а в июне произошло аналогичное происшествие с Humanity Protocol, где был украден приватный ключ. Специалисты по блокчейн-аналитике начали связывать эти инциденты, обнаружив в них общие признаки, характерные для операций, связанных с КНДР, и указав на хакерскую группу Lazarus как главного подозреваемого.

Недавние исследования предоставили новые ончейн-доказательства. Блокчейн-аналитик Specter отметил, что средства, украденные в результате обоих взломов, начали поступать на одни и те же адреса кошельков. Такой метод перемещения активов часто указывает на использование единой схемы отмывания средств.

Как выяснили эксперты, злоумышленник, ответственный за атаку на Humanity Protocol, перевел 15 403 ETH, что составляет около $23,6 миллиона, на новый адрес в сети Ethereum. В дальнейшем эти средства были переведены в сеть Bitcoin, где они были смешаны с активами, связанными с взломом KelpDAO. По мнению аналитика, такая схема лишь усиливает связь между двумя атаками.

Согласно данным от ZachXBT и Specter, похищенные средства оказались на одних и тех же кошельках, что привело к выводам о характерных методах работы группы Lazarus. Эта группировка известна тем, что объединяет средства, похищенные в различных атаках, на общих биткоин-кошельках, а затем использует криптомиксеры и внебиржевые площадки для сокрытия следов.

Расследование Chainalysis показывает, что 18 апреля хакеры, стоявшие за атакой на KelpDAO, скомпрометировали внутренние RPC-ноды LayerZero Labs и одновременно осуществили DDoS-атаку на внешние ноды, что позволило им обмануть смарт-контракт моста Ethereum и вывести 116 500 rsETH без должного сжигания токенов в исходной сети. Эта атака также была связана с группировкой Lazarus. В результате экстренной паузы KelpDAO удалось предотвратить вывод еще $95 миллионов, а Arbitrum Security Council заморозил более 30 000 ETH, которые проходили через кошельки злоумышленников.

Взлом Humanity Protocol был осуществлён другими методами, однако отчеты после инцидента также указывают на возможную связь с хакерами из Северной Кореи. В отчете Quantstamp, представленном для Humanity Protocol 11 июня, было указано, что хакер отправил фишинговое письмо директору компании Чонгу Йи Ваю, замаскировав его под сообщение от корейской биржи Bithumb. Эта атака была охарактеризована как типичная для операций КНДР.

Злоумышленник смог получить удалённый доступ к компьютеру Чонга, работающему на Windows, и скопировал ключи от кошелька MetaMask, после чего выпустил и продал несанкционированные токены H в сетях Ethereum и BNB Smart Chain, что привело к падению цены токена на 89%.

По данным Quantstamp, на адресах, связанных с злоумышленником, находится более $21 миллиона в ETH.

На данный момент против Северной Кореи в судах США вынесены решения о выплате компенсаций на сумму более $877 миллионов, которые до сих пор не исполнены. В мае истцы направили в Arbitrum DAO судебное уведомление с требованием арестовать около 30 766 ETH, что составляет примерно $71 миллион, ранее замороженных после атаки. Они утверждают, что эти средства могут быть связаны с Северной Кореей и могут быть использованы для частичного погашения долгов по уже вынесенным решениям.

Arbitrum также рассматривал предложение вернуть замороженные активы в рамках программы компенсаций, поддерживаемой Aave Labs, KelpDAO, LayerZero, EtherFi и Compound, которая была направлена на возмещение убытков пострадавшим пользователям. Позже суд разрешил Arbitrum вернуть средства, связанные с взломом KelpDAO, обратно в Aave.

Пока неясно, будут ли истцы добиваться ареста средств после появления новых доказательств возможной причастности Северной Кореи. Однако, учитывая прежние случаи, расследование взлома Humanity Protocol и потенциальное распределение возвращённых средств могут стать предметом дальнейших судебных разбирательств.