Pencurian kripto dan phishing terkait Korea Utara pada akhir 2022

Peretas yang didukung negara Iran dikaitkan dengan ransomware dan penambangan kripto, sementara Rusia dituduh memanfaatkan kelompok ransomware swasta. Dalam berbagai analisis, Korea Utara menonjol karena menjadikan pendapatan dari kejahatan siber sebagai sasaran utama operasi ofensifnya. Ini bukan berarti negara lain tidak pernah melakukan kejahatan keuangan digital.

Operasi siber Korea Utara memiliki banyak cabang, mulai dari pencurian dana bank dan ransomware hingga pencurian aset kripto dari bursa daring.

Kelompok yang dikenal sebagai Lazarus, Kimsuky, dan BeagleBoyz dikaitkan dengan operasi Korea Utara terhadap jaringan militer, pemerintah, perusahaan, dan industri pertahanan. Tujuannya mencakup pencurian dana serta spionase untuk memperoleh informasi rahasia yang dapat mendukung program persenjataan negara tersebut.

Penyerang menipu orang agar memberikan akses atau memanfaatkan celah keamanan untuk memindahkan dana dari dompet yang terhubung ke internet ke alamat di bawah kendali mereka. Operasi terkait negara yang terkena sanksi itu juga menggunakan layanan pencampuran dana dari banyak alamat untuk menyamarkan asal aset curian.

Pada Februari 2021, Departemen Kehakiman Amerika Serikat mengumumkan dakwaan terhadap tiga pemrogram Korea Utara. Mereka dituduh terlibat dalam konspirasi luas yang meliputi serangan merusak, upaya mencuri dan memeras lebih dari US$1,3 miliar dalam bentuk uang dan kripto, aplikasi berbahaya, serta pemasaran platform blockchain secara curang. Dakwaan bukan putusan bersalah atau bukti bahwa seluruh jumlah tersebut berhasil dicuri.

Menjelang akhir 2022, beberapa analisis menunjukkan besarnya pencurian kripto yang dikaitkan dengan Korea Utara. Perkiraan di bawah menggunakan periode dan metode berbeda sehingga tidak boleh langsung dijumlahkan.

Perkiraan US$1,2 miliar dicuri sejak 2017

Pada Desember 2022, diberitakan perkiraan Badan Intelijen Nasional (NIS) Korea Selatan bahwa peretas Korea Utara telah mencuri aset kripto senilai 1,5 triliun won, sekitar US$1,2 miliar saat itu, sejak 2017. Lebih dari separuhnya dikaitkan dengan 2022. Sekitar US$78 juta dari total tersebut dikaitkan dengan korban di Korea Selatan.

Menurut perkiraan yang dikaitkan dengan NIS, lebih dari 800 miliar won, sekitar US$620 juta, dicuri pada 2022. Seorang juru bicara mengatakan bagian pencurian itu terjadi di luar Korea Selatan dan menyebut peningkatan keamanan serta rekening atas nama asli nasabah. Pernyataan tersebut menyangkut perhitungan itu, bukan jaminan bahwa pengguna Korea Selatan tidak akan pernah mengalami kerugian.

Korea Selatan memperketat aturan antipencucian uang dan pengenalan nasabah, atau KYC, pada 2021. Bursa yang melayani perdagangan dalam won membutuhkan kerja sama bank untuk setoran dan penarikan melalui rekening atas nama asli nasabah. Persyaratan rekening bank yang sama tidak berlaku secara seragam bagi semua platform yang hanya memperdagangkan kripto dengan kripto.

Verifikasi identitas menjadi bagian dari pengawasan bank dan bursa terkait. Penyedia layanan juga perlu melaporkan kegiatan dan memperoleh pendaftaran pada Korea Financial Intelligence Unit di bawah FSC. Pendaftaran ini bukan persetujuan umum atas investasi atau jaminan keamanan.

Kelompok terkait Korea Utara dikaitkan dengan pencurian kripto besar pada 2022, termasuk serangan Harmony senilai sekitar US$100 juta. Menurut analis, operasi tersebut menghasilkan devisa bagi rezim yang menghadapi sanksi internasional luas.

NIS menilai Korea Utara memiliki kemampuan besar dalam mencuri aset digital. Badan itu menghubungkan perkembangannya dengan peningkatan fokus pada kejahatan siber setelah sanksi PBB diperketat pada 2017 sebagai tanggapan atas uji coba nuklir dan rudal.

Pada Desember 2022, NIS memperingatkan risiko peningkatan serangan pada 2023. Badan tersebut menekankan perlunya menganalisis metode serangan dan menggabungkan informasi kode berbahaya dari berbagai insiden untuk menemukan pola yang berguna. Ini merupakan penilaian risiko, bukan ramalan pasti.

Teknik yang dipakai mencakup rekayasa sosial, phishing, dan pemanfaatan celah perangkat lunak. Kelompok negara lain dan penjahat siber juga menggunakan teknik tersebut.

Menguji Metode Pengiriman Malware Baru

BlueNoroff, yang dikaitkan dengan Lazarus, menggunakan berbagai malware dan phishing terarah terhadap perusahaan untuk mencuri dana. Pencurian dan pencucian uang setelahnya merupakan tahap yang berbeda.

Menurut laporan Kaspersky tertanggal 27 Desember 2022, BlueNoroff menyasar perusahaan modal ventura, bisnis kripto, dan bank. Peneliti menggambarkan aktivitas yang kembali meningkat setelah periode dengan lebih sedikit pengamatan.

Kaspersky mengidentifikasi lebih dari 70 domain yang digunakan kelompok itu. Banyak domain palsu meniru perusahaan modal ventura dan bank, terutama perusahaan Jepang, tetapi juga perusahaan Amerika Serikat dan Vietnam.

Kelompok itu menguji format berkas dan metode pengiriman malware baru, termasuk citra cakram yang dapat menghindari peringatan Windows Mark-of-the-Web dalam rangkaian serangan tertentu. Analisis Kaspersky sebelumnya juga menggambarkan manipulasi alamat penerima dan jumlah transfer kripto. Ini adalah teknik yang diamati, bukan kemampuan otomatis menguras sembarang rekening.

Peneliti Kaspersky Seongsu Park memperingatkan risiko insiden siber berat pada tahun berikutnya dan mendorong perusahaan memperkuat kesiapan. Perkiraan dampak besar itu disampaikan pada akhir 2022, bukan bukti bahwa kejadian masa depan sudah berlangsung.

Pelaku terkait BlueNoroff dikaitkan dengan serangan terhadap usaha kecil dan menengah di berbagai negara. Pengguna NFT juga menjadi sasaran kampanye yang dihubungkan peneliti dengan pelaku terkait Korea Utara.

Pencurian NFT melalui Phishing

Firma keamanan blockchain SlowMist merilis pada Desember 2022 sebuah penyelidikan tentang phishing berskala besar terhadap pengguna NFT, yang dikaitkannya dengan pelaku terkait Korea Utara.

SlowMist menggambarkan situs NFT palsu yang memancing pengguna untuk menerbitkan, atau melakukan mint, NFT. Persetujuan berbahaya dapat memberikan akses terhadap aset. Laporan itu juga menyebut penjualan NFT di OpenSea, Rarible, dan X2Y2; ini tidak membuktikan bahwa platform tersebut sendiri diretas.

Pemerintah Amerika Serikat menerbitkan peringatan pada April 2022 mengenai aktivitas yang disebut TraderTraitor dan serangan yang diamati sejak setidaknya 2020. Secara terpisah, SlowMist menggambarkan penyelidikan phishing NFT yang melibatkan hampir 500 domain. Jumlah itu tidak dengan sendirinya membuktikan semua domain berasal dari satu kelompok yang batasnya ditetapkan secara formal.

Ciri yang ditemukan SlowMist mencakup situs yang mencatat data pengunjung dan mengirimkannya ke lokasi lain, permintaan daftar harga NFT, serta berkas imgSrc.js yang merujuk gambar proyek yang ditiru oleh situs palsu.

Penyelidikan itu juga menyebut token WETH, USDC, DAI, dan UNI. Penyerang mencoba memperoleh kendali atas aset melalui interaksi dan persetujuan yang menyesatkan.

Serangan besar terhadap Ronin

Pada Maret 2022, terjadi pencurian aset kripto senilai lebih dari US$600 juta dari jembatan Ronin yang digunakan gim NFT Axie Infinity. Otoritas Amerika Serikat kemudian mengaitkan serangan itu dengan Lazarus. Chainalysis saat itu menyebutnya sebagai salah satu pencurian kripto terbesar yang diketahui.

Axie Infinity dikembangkan studio gim Vietnam dan pernah memiliki lebih dari satu juta pemain aktif. Pencurian Ronin mencakup ETH dan USDC dengan nilai gabungan yang sering diperkirakan sekitar US$620 juta; seluruh jumlah tersebut bukan hanya ether.

Pada September 2022, Chainalysis melaporkan penyitaan sekitar US$30 juta dana curian melalui kerja sama dengan penegak hukum. Dana dilacak melalui bursa terdesentralisasi dan mixer yang mencampurkan kripto banyak pengguna untuk menyamarkan jejaknya.

Amerika Serikat menjatuhkan sanksi terhadap Tornado Cash pada 2022. Departemen Keuangan saat itu mengatakan layanan tersebut dipakai untuk mencuci lebih dari US$450 juta dari pencurian terkait Lazarus. Keterangan ini menggambarkan keadaan sanksi pada 2022.

Perusahaan investasi kripto juga menjadi sasaran

Microsoft (MSFT ) pada 6 Desember 2022 menggambarkan pelaku yang sementara dilacak sebagai DEV-0139 dan menyasar perusahaan investasi kripto. Pelaku menyamar sebagai perusahaan investasi di Telegram lalu mengirim berkas Excel berkode berbahaya yang dapat memberikan akses jarak jauh ke sistem korban.

Microsoft menggambarkan pelaku yang telah mempersiapkan diri dengan baik, menggunakan profil palsu berdasarkan informasi karyawan OKX, dan memasuki grup Telegram untuk komunikasi antara nasabah VIP dan bursa kripto.

Menurut Microsoft, pelaku membangun kepercayaan sasaran sebelum mencoba memasang kode berbahaya. Pengetahuan industri dan persiapan yang teliti membuat pendekatannya lebih meyakinkan.

Dalam serangan pada Oktober 2022, karyawan diundang ke grup Telegram dan diminta menilai dokumen Excel yang membandingkan biaya VIP Huobi, Binance, dan OKX. Nama bursa saat itu adalah Huobi, bukan nama HTX yang digunakan kemudian. Informasinya tampak dapat dipercaya, tetapi berkas mengandung makro berbahaya dan menjadi bagian rangkaian serangan dengan pemuatan DLL serta pemasangan pintu belakang. Sasaran didorong membuka berkas selama percakapan.

Microsoft juga menemukan rangkaian terkait menggunakan paket pemasangan MSI dan merujuk penelitian Volexity tentang AppleJeus serta serangan terkait Lazarus. Hubungan itu merupakan penilaian teknis; sebutan sementara DEV-0139 tidak dengan sendirinya menetapkan identitas akhir semua pihak yang terlibat.

Pada 2021, Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat mendokumentasikan keluarga aplikasi kripto berbahaya AppleJeus.

Peningkatan Berkelanjutan dalam Serangan Crypto

Dalam analisis atas 2021, Chainalysis menggambarkan peningkatan pencurian kripto terkait Korea Utara. Angka-angkanya merupakan perkiraan historis, bukan total untuk 2022.

Menurut Chainalysis, pelaku terkait Korea Utara dikaitkan dengan sedikitnya tujuh serangan terhadap platform kripto pada 2021 yang mencuri hampir US$400 juta. Perkiraan 2020 lebih rendah dan sering dibulatkan menjadi sekitar US$300 juta.

Laporan menyebut jumlah serangan meningkat dari empat menjadi tujuh dan nilai curian naik sekitar 40%. Persentase itu didasarkan pada data terperinci, bukan perhitungan tepat dari nilai dolar yang sudah dibulatkan.

Setelah menguasai dana, penyerang memulai proses pencucian uang yang cermat agar dapat menukarkannya tanpa terdeteksi, menurut laporan tersebut.

Chainalysis tidak mengungkap nama semua korban, tetapi menyebut sebagian besar adalah perusahaan investasi dan bursa terpusat. Liquid.com, misalnya, mengumumkan pada Agustus 2021 bahwa pihak tanpa izin telah mengakses beberapa dompet yang dikelolanya.

Menurut Chainalysis, penyerang menggunakan umpan phishing, malware, pemanfaatan celah kode, dan rekayasa sosial untuk memindahkan dana dari dompet yang terhubung ke internet menuju alamat di bawah kendali mereka.

Analis juga mengidentifikasi sekitar US$170 juta kripto yang belum dicuci dari 49 serangan pada 2017–2021. Mereka menafsirkannya sebagai tanda perencanaan yang sabar untuk menukar dana, bukan langkah putus asa dan tergesa-gesa.

Catatan Akhir

Pada akhir 2022, pelaku terkait Korea Utara diperkirakan akan terus memanfaatkan kelemahan bisnis kripto, studio gim, dan bursa untuk memperoleh serta mencuci dana bagi rezim.

Otoritas mengaitkan kegiatan tersebut dengan pembiayaan program persenjataan Korea Utara. Ancaman itu menegaskan pentingnya keamanan siber bagi perusahaan dan organisasi yang dapat menjadi sasaran pelaku dukungan negara.

Korea Utara membantah keterlibatan dalam serangan tersebut, sementara otoritas dan peneliti menyampaikan jejak serta penilaian yang mengarah pada operasi dukungan negara. Perusahaan dan individu perlu waspada terhadap phishing dan melindungi akses ke aset digital mereka.