उत्तर कोरिया से जुड़ी क्रिप्टो चोरी और फ़िशिंग: 2022 के अंत की स्थिति

ईरान से जुड़े सरकारी हैकरों पर रैनसमवेयर और क्रिप्टो माइनिंग करने के आरोप लगे हैं, जबकि रूस पर निजी रैनसमवेयर समूहों का उपयोग करने के आरोप लगाए गए हैं। विश्लेषणों में उत्तर कोरिया की खासियत यह बताई गई कि वित्तीय साइबर अपराध से कमाई उसके सरकारी साइबर अभियानों का प्रमुख उद्देश्य थी। इसका अर्थ यह नहीं कि दूसरे देश कभी ऐसे अपराध नहीं करते थे।

उत्तर कोरिया के साइबर अभियानों के कई पहलू थे: बैंक चोरी, रैनसमवेयर और ऑनलाइन एक्सचेंजों से क्रिप्टोकरेंसी की चोरी।

Lazarus, Kimsuky और BeagleBoyz नाम के समूहों को उत्तर कोरियाई साइबर अभियानों से जोड़ा गया है। इनके निशाने पर सैन्य, सरकारी, व्यावसायिक और रक्षा उद्योग के नेटवर्क रहे हैं। उद्देश्यों में धन की चोरी और ऐसी गोपनीय जानकारी हासिल करने के लिए जासूसी शामिल थी, जो देश के हथियार कार्यक्रमों में मदद कर सके।

हमलावर लोगों को धोखा देकर पहुँच हासिल करते थे या सुरक्षा की कमजोरियों का फायदा उठाकर इंटरनेट से जुड़े वॉलेट से धन अपने नियंत्रण वाले पतों पर भेजते थे। प्रतिबंधों का सामना कर रहे देश से जुड़े अभियानों में कई पतों के धन को मिलाने वाली सेवाओं का उपयोग करके चोरी की रकम का स्रोत छिपाने की कोशिश भी देखी गई।

फ़रवरी 2021 में अमेरिकी न्याय विभाग ने तीन उत्तर कोरियाई प्रोग्रामरों के खिलाफ अभियोग सार्वजनिक किया। उन पर विनाशकारी साइबर हमलों, 1.3 अरब डॉलर से अधिक धन और क्रिप्टोकरेंसी चुराने या वसूलने के प्रयासों, हानिकारक क्रिप्टो ऐप तथा एक ब्लॉकचेन प्लेटफ़ॉर्म के धोखाधड़ीपूर्ण विपणन की व्यापक साजिश में शामिल होने का आरोप था। अभियोग अपने आप में दोषसिद्धि या पूरी रकम वास्तव में चुराए जाने का प्रमाण नहीं था।

2022 के अंत तक कई विश्लेषणों ने उत्तर कोरिया से जुड़ी क्रिप्टो चोरी का बड़ा पैमाना दिखाया। नीचे दिए अनुमान अलग-अलग अवधियों और तरीकों पर आधारित हैं, इसलिए इन्हें सीधे जोड़ना उचित नहीं है।

2017 से लगभग 1.2 अरब डॉलर की क्रिप्टो चोरी का अनुमान

दिसंबर 2022 में दक्षिण कोरिया की राष्ट्रीय खुफिया सेवा NIS के हवाले से बताया गया कि उत्तर कोरियाई हैकरों ने 2017 से लगभग 1.5 लाख करोड़ वॉन, यानी उस समय करीब 1.2 अरब डॉलर की क्रिप्टोकरेंसी चुराई थी। आधी से अधिक रकम 2022 से जुड़ी थी। कुल में से लगभग 7.8 करोड़ डॉलर दक्षिण कोरिया के पीड़ितों से संबंधित बताए गए।

NIS के बताए अनुमान के अनुसार 2022 में 800 अरब वॉन से अधिक, यानी लगभग 62 करोड़ डॉलर की क्रिप्टो चोरी हुई। एक प्रवक्ता ने कहा कि यह हिस्सा दक्षिण कोरिया के बाहर हुई चोरी से जुड़ा था और वास्तविक पहचान वाले खातों तथा बेहतर सुरक्षा का उल्लेख किया। यह कथन उस विशेष आकलन के बारे में था, दक्षिण कोरियाई उपयोगकर्ताओं को कभी नुकसान न होने की गारंटी नहीं।

दक्षिण कोरिया ने 2021 में धनशोधन रोकने और ग्राहक की पहचान जानने, यानी KYC, के नियम कड़े किए। वॉन में कारोबार करने वाले एक्सचेंजों को ग्राहकों के वास्तविक नाम वाले खातों से जमा और निकासी के लिए बैंक से व्यवस्था करनी थी। केवल क्रिप्टो से क्रिप्टो का कारोबार करने वाले सभी प्लेटफ़ॉर्म पर यही बैंकिंग शर्त समान रूप से लागू नहीं थी।

बैंक और संबंधित एक्सचेंज ग्राहक की पहचान की जाँच करते थे। सेवा प्रदाताओं को FSC के अंतर्गत Korea Financial Intelligence Unit के पास अपनी गतिविधियाँ दर्ज कराकर पंजीकरण भी प्राप्त करना था। यह सभी निवेशों की स्वीकृति या सुरक्षा की गारंटी नहीं थी।

उत्तर कोरिया से जुड़े समूहों को 2022 की बड़ी क्रिप्टो चोरियों से जोड़ा गया, जिनमें लगभग 10 करोड़ डॉलर का Harmony हमला शामिल था। विश्लेषकों के अनुसार इन अभियानों से अंतरराष्ट्रीय प्रतिबंधों का सामना कर रहे शासन को विदेशी मुद्रा मिलती थी।

NIS ने उत्तर कोरिया की डिजिटल संपत्ति चुराने की क्षमता को मजबूत बताया। उसने इस विकास को 2017 में परमाणु और मिसाइल परीक्षणों के बाद संयुक्त राष्ट्र के प्रतिबंध कड़े होने पर साइबर अपराध की ओर बढ़ते ध्यान से जोड़ा।

दिसंबर 2022 में NIS ने 2023 में हमले तेज होने के जोखिम की चेतावनी दी। उसने हमलों के तरीकों का विश्लेषण करने और अलग-अलग घटनाओं के हानिकारक कोड की जानकारी मिलाकर उपयोगी पैटर्न खोजने की जरूरत बताई। यह जोखिम का आकलन था, निश्चित भविष्यवाणी नहीं।

तरीकों में लोगों को बहलाकर जानकारी लेना, फ़िशिंग और सॉफ़्टवेयर की कमजोरियों का फायदा उठाना शामिल था। दूसरे सरकारी हैकर और साइबर अपराधी भी इन तकनीकों का उपयोग करते हैं।

नए मालवेयर डिलीवरी तरीकों का परीक्षण

Lazarus से संबद्ध BlueNoroff व्यवसायों से धन चुराने के लिए कई प्रकार के मालवेयर और लक्षित फ़िशिंग का उपयोग करता था। धन की चोरी और उसके बाद धनशोधन अलग-अलग चरण हैं।

Kaspersky की रिपोर्ट के अनुसार, 27 दिसंबर 2022 तक BlueNoroff के निशाने पर वेंचर कैपिटल फर्म, क्रिप्टो व्यवसाय और बैंक थे। शोधकर्ताओं ने कम गतिविधि दिखने की अवधि के बाद फिर सक्रियता देखी।

Kaspersky ने समूह द्वारा उपयोग किए गए 70 से अधिक डोमेन पहचाने। कई नकली डोमेन वेंचर कैपिटल फर्मों और बैंकों की नकल करते थे, खासकर जापानी कंपनियों की। कुछ अमेरिकी और वियतनामी कंपनियों की भी नकल कर रहे थे।

समूह मालवेयर पहुँचाने के लिए नए फ़ाइल प्रारूपों और तरीकों का परीक्षण कर रहा था। इनमें ऐसी डिस्क इमेज शामिल थीं जो कुछ विशेष हमलों में Windows की Mark-of-the-Web चेतावनियों से बच सकती थीं। Kaspersky के पहले के विश्लेषणों में क्रिप्टो हस्तांतरण का प्राप्तकर्ता पता और रकम बदलने की तकनीक भी बताई गई थी। इसका अर्थ हर खाते को अपने आप खाली कर देने की क्षमता नहीं था।

Kaspersky के शोधकर्ता Seongsu Park ने अगले वर्ष गंभीर साइबर घटनाओं के जोखिम की चेतावनी दी और व्यवसायों से तैयारी मजबूत करने को कहा। संभावित बड़े प्रभाव का यह आकलन 2022 के अंत में दिया गया था, भविष्य में घटना हो चुकने का प्रमाण नहीं।

BlueNoroff से जुड़े हमलावरों को कई देशों के छोटे और मध्यम व्यवसायों पर हमलों से जोड़ा गया। NFT उपयोगकर्ता भी उन अभियानों के निशाने पर थे जिन्हें सुरक्षा शोधकर्ताओं ने उत्तर कोरिया से जुड़े समूहों का बताया।

फ़िशिंग के माध्यम से NFT चोरी

ब्लॉकचेन सुरक्षा फर्म SlowMist ने दिसंबर 2022 में एक रिपोर्ट प्रकाशित की, जिसमें NFT उपयोगकर्ताओं के खिलाफ बड़े पैमाने पर फ़िशिंग का विश्लेषण किया गया। कंपनी ने इन गतिविधियों को उत्तर कोरिया से जुड़े हमलावरों से संबद्ध बताया।

SlowMist ने ऐसी नकली NFT साइटों का वर्णन किया जो उपयोगकर्ताओं को NFT जारी करने, यानी मिंट करने, का लालच देती थीं। हानिकारक अनुमतियाँ हमलावरों को संपत्ति तक पहुँच दे सकती थीं। रिपोर्ट में OpenSea, Rarible और X2Y2 पर NFT बेचने का भी उल्लेख था; इससे इन बाज़ारों के स्वयं हैक होने का निष्कर्ष नहीं निकलता।

अमेरिकी अधिकारियों ने अप्रैल 2022 में TraderTraitor नाम से वर्णित गतिविधियों और कम से कम 2020 से देखे गए हमलों की चेतावनी जारी की। अलग से SlowMist ने NFT फ़िशिंग के अपने विश्लेषण में लगभग 500 डोमेन बताए। यह संख्या अपने आप में सभी डोमेन के एक ही औपचारिक समूह से जुड़े होने का प्रमाण नहीं थी।

SlowMist ने आगंतुकों की जानकारी दर्ज करके बाहर भेजने वाली साइटें, NFT की मूल्य सूची माँगने वाले अनुरोध और imgSrc.js फ़ाइल जैसे संकेत बताए। यह फ़ाइल उन परियोजनाओं की तस्वीरों का संदर्भ देती थी जिनकी नकली साइट नकल कर रही थी।

विश्लेषण में WETH, USDC, DAI और UNI जैसे टोकन भी आए। हमलावर भ्रामक गतिविधियों और अनुमतियों के जरिए संपत्ति पर नियंत्रण पाने की कोशिश करते थे।

Ronin पर बड़ा हमला

मार्च 2022 में 60 करोड़ डॉलर से अधिक मूल्य की क्रिप्टोकरेंसी की चोरी Ronin ब्रिज से हुई, जिसका उपयोग NFT गेम Axie Infinity करता था। बाद में अमेरिकी अधिकारियों ने हमले को Lazarus से जोड़ा। Chainalysis ने इसे उस समय की सबसे बड़ी ज्ञात क्रिप्टो चोरियों में से एक बताया।

वियतनाम के गेम स्टूडियो द्वारा बनाए गए Axie Infinity के एक समय में दस लाख से अधिक सक्रिय खिलाड़ी थे। Ronin की चोरी में ETH और USDC दोनों थे, जिनकी कुल कीमत अक्सर लगभग 62 करोड़ डॉलर बताई गई; पूरी रकम केवल ईथर नहीं थी।

सितंबर 2022 में Chainalysis ने बताया कि अधिकारियों के साथ मिलकर चोरी की लगभग तीन करोड़ डॉलर की रकम जब्त की गई थी। धन के हस्तांतरण को विकेंद्रीकृत एक्सचेंजों और मिक्सर सेवाओं से होते हुए खोजा गया। मिक्सर कई उपयोगकर्ताओं की क्रिप्टो मिलाकर उसका स्रोत छिपाने में मदद करते हैं।

अमेरिका ने 2022 में Tornado Cash पर प्रतिबंध लगाए। अमेरिकी वित्त विभाग ने उस समय कहा कि सेवा का उपयोग Lazarus से जुड़ी चोरियों के 45 करोड़ डॉलर से अधिक धन का स्रोत छिपाने में हुआ था। यह विवरण 2022 की प्रतिबंध स्थिति के बारे में है।

क्रिप्टो निवेश व्यवसाय भी निशाने पर

Microsoft ने 6 दिसंबर 2022 को क्रिप्टो निवेश व्यवसायों पर हमले करने वाले एक समूह का वर्णन किया, जिसे अस्थायी रूप से DEV-0139 कहा गया। वह Telegram पर निवेश कंपनी होने का दिखावा करके हानिकारक कोड वाली Excel फ़ाइल भेजता था, जिससे पीड़ित के सिस्टम तक दूर से पहुँच मिल सकती थी।

Microsoft ने बताया कि हमलावर तैयारी के साथ OKX कर्मचारियों की जानकारी पर आधारित नकली प्रोफ़ाइल का उपयोग करते थे। वे VIP ग्राहकों और क्रिप्टो एक्सचेंजों के बीच संपर्क वाले Telegram समूहों में शामिल होते थे।

Microsoft के अनुसार हमलावर हानिकारक कोड स्थापित करने से पहले लक्ष्य का भरोसा जीतते थे। उद्योग की जानकारी और सावधानीपूर्वक तैयारी उनके संदेशों को विश्वसनीय बनाती थी।

अक्टूबर 2022 के एक हमले में कर्मचारियों को Telegram समूह में बुलाकर Huobi, Binance और OKX की VIP फीस की तुलना वाली Excel फ़ाइल पर राय माँगी गई। उस समय नाम Huobi था, बाद का HTX नहीं। जानकारी विश्वसनीय दिखती थी, लेकिन फ़ाइल में हानिकारक मैक्रो थे और वह DLL लोड करके बैकडोर स्थापित करने वाले हमले का हिस्सा थी। बातचीत के दौरान लक्ष्य को फ़ाइल खोलने के लिए कहा गया।

Microsoft को MSI इंस्टॉलेशन पैकेज वाला एक संबंधित हमला भी मिला और उसने AppleJeus तथा Lazarus से जुड़े हमलों पर Volexity के शोध का उल्लेख किया। यह तकनीकी आकलन था; अस्थायी नाम DEV-0139 अपने आप सभी शामिल लोगों की अंतिम पहचान नहीं था।

अमेरिकी Cybersecurity and Infrastructure Security Agency (CISA) ने 2021 में AppleJeus नाम के हानिकारक क्रिप्टो ऐप परिवार का दस्तावेज़ीकरण किया था।

क्रिप्टो हमलों में निरंतर वृद्धि

Chainalysis ने 2021 के अपने विश्लेषण में उत्तर कोरिया से जुड़ी क्रिप्टो चोरियों में वृद्धि बताई। ये ऐतिहासिक अनुमान थे, 2022 का कुल आँकड़ा नहीं।

Chainalysis के अनुसार उत्तर कोरिया से जुड़े हमलावरों को 2021 में क्रिप्टो प्लेटफ़ॉर्म पर कम से कम सात हमलों से जोड़ा गया, जिनमें लगभग 40 करोड़ डॉलर चुराए गए। 2020 का अनुमान कम था और उसे अक्सर करीब 30 करोड़ डॉलर के रूप में दिया जाता था।

रिपोर्ट के अनुसार हमलों की संख्या चार से सात हुई और चोरी की रकम लगभग 40% बढ़ी। प्रतिशत विस्तृत मूल आँकड़ों पर आधारित था; उसे डॉलर के गोल किए गए अनुमानों से ठीक-ठीक निकालना संभव नहीं है।

धन पर नियंत्रण मिलने के बाद हमलावर उसे बिना पकड़े जाए नकदी में बदलने के लिए सावधानीपूर्वक धनशोधन शुरू करते थे, रिपोर्ट ने बताया।

Chainalysis ने सभी पीड़ितों के नाम सार्वजनिक नहीं किए, लेकिन अधिकांश को निवेश फर्म और केंद्रीकृत एक्सचेंज बताया। उदाहरण के लिए Liquid.com ने अगस्त 2021 में अपने कुछ वॉलेट तक अनधिकृत पहुँच की घोषणा की थी।

Chainalysis के अनुसार हमलावर फ़िशिंग, मालवेयर, कोड की कमजोरियों और लोगों को धोखा देने की तकनीकों से इंटरनेट से जुड़े वॉलेट का धन अपने नियंत्रण वाले पतों पर भेजते थे।

विश्लेषकों ने 2017–2021 के 49 हमलों से जुड़ी लगभग 17 करोड़ डॉलर की ऐसी क्रिप्टो भी पहचानी जिसका अभी धनशोधन नहीं हुआ था। उन्होंने इसे हड़बड़ी के बजाय धन को बदलने की सावधानीपूर्वक और धैर्यपूर्ण योजना का संकेत माना।

अंतिम टिप्पणी

2022 के अंत में आकलन था कि उत्तर कोरिया से जुड़े हमलावर शासन के लिए धन जुटाने और उसका स्रोत छिपाने के उद्देश्य से क्रिप्टो व्यवसायों, गेम स्टूडियो और एक्सचेंजों की कमजोरियाँ तलाशते रहेंगे।

अधिकारियों ने इन गतिविधियों को उत्तर कोरिया के हथियार कार्यक्रमों के वित्तपोषण से जोड़ा है। इस खतरे ने सरकारी समर्थन वाले हमलावरों के निशाने पर आ सकने वाले व्यवसायों और संगठनों के लिए साइबर सुरक्षा का महत्व दिखाया।

उत्तर कोरिया ने ऐसे हमलों में शामिल होने से इनकार किया है, जबकि अधिकारियों और सुरक्षा शोधकर्ताओं ने सरकारी समर्थन वाले अभियानों की ओर इशारा करने वाले प्रमाण और आकलन प्रस्तुत किए हैं। व्यवसायों और व्यक्तियों को फ़िशिंग से सतर्क रहना चाहिए और अपनी डिजिटल संपत्ति तक पहुँच की सुरक्षा करनी चाहिए।