Roubos de criptomoedas e phishing associados à Coreia do Norte no fim de 2022

Hackers ligados ao Estado iraniano foram associados a ransomware e mineração de criptomoedas, enquanto a Rússia foi acusada de recorrer a grupos privados de ransomware. Nas análises, a Coreia do Norte se destacava por tratar a obtenção de receitas por meio do cibercrime como objetivo central de suas operações ofensivas. Isso não significava que outros Estados nunca praticassem crimes financeiros digitais.

O programa de cibercrime da Coreia do Norte tem múltiplas frentes, com táticas que vão de assaltos a bancos a implantação de ransomware e roubo de criptomoedas de exchanges online.

Grupos conhecidos como Lazarus, Kimsuky e BeagleBoyz foram associados a operações norte-coreanas contra redes militares, governamentais, empresariais e da indústria de defesa. Os objetivos incluíam roubo de dinheiro e ciberespionagem para obter informações confidenciais que pudessem apoiar os programas de armamentos do país.

Os agentes maliciosos enganaram indivíduos para obter acesso ou comprometeram a segurança para drenar fundos digitais de carteiras conectadas à internet para endereços controlados pela Coreia do Norte. A nação, sob sanções, recorreu a formas elaboradas de lavar criptomoedas roubadas, intensificando o uso de ferramentas de software que agregam e embaralham criptomoedas de milhares de endereços.

Em fevereiro de 2021, o Departamento de Justiça dos Estados Unidos divulgou uma acusação contra três programadores norte-coreanos. Eles foram acusados de uma ampla conspiração envolvendo ataques destrutivos, tentativas de roubar e extorquir mais de US$ 1,3 bilhão em dinheiro e criptomoedas, aplicativos maliciosos e a comercialização fraudulenta de uma plataforma blockchain. A acusação não equivalia a uma condenação nem comprovava o roubo efetivo de todo esse valor.

No fim de 2022, várias análises indicavam a dimensão dos roubos de criptomoedas associados à Coreia do Norte. As estimativas abaixo abrangem períodos e metodologias diferentes e não devem ser simplesmente somadas.

Estimativa de US$ 1,2 bilhão roubado desde 2017

Em dezembro de 2022, foi divulgada uma estimativa do Serviço de Inteligência Nacional (NIS) da Coreia do Sul de que hackers norte-coreanos haviam roubado 1,5 trilhão de won, cerca de US$ 1,2 bilhão na época, em criptomoedas desde 2017. Mais da metade correspondia a 2022. Aproximadamente US$ 78 milhões do total foram associados a vítimas na Coreia do Sul.

Segundo a estimativa atribuída ao NIS, mais de 800 bilhões de won, cerca de US$ 620 milhões, foram roubados em 2022. Um porta-voz disse que essa parcela dos roubos ocorreu fora da Coreia do Sul e citou o reforço da segurança e o uso de contas bancárias em nome dos próprios clientes. A declaração se referia àquela apuração, não a uma garantia de que usuários sul-coreanos jamais sofreriam perdas.

Em 2021, a Coreia do Sul reforçou os requisitos de prevenção à lavagem de dinheiro e de identificação de clientes, conhecidos como KYC. Plataformas que negociavam em won precisavam de um acordo bancário para depósitos e saques por contas em nome dos próprios clientes. Não era um requisito bancário idêntico para todas as plataformas que negociavam somente criptoativos entre si.

A verificação da identidade fazia parte dos controles de bancos e plataformas pertinentes. Os prestadores também precisavam comunicar suas atividades e obter o registro perante a Korea Financial Intelligence Unit, vinculada à FSC. Esse registro não constituía aprovação geral dos investimentos nem garantia de segurança.

Grupos associados à Coreia do Norte foram ligados a grandes roubos de criptomoedas em 2022, incluindo o ataque de aproximadamente US$ 100 milhões à Harmony. Analistas avaliaram que essas operações geravam divisas para um regime submetido a amplas sanções internacionais.

O NIS avaliou que a Coreia do Norte possuía forte capacidade de roubo de ativos digitais e relacionou essa evolução ao maior foco no cibercrime após o endurecimento das sanções da ONU em 2017, em resposta a testes nucleares e de mísseis.

Em dezembro de 2022, o NIS alertou para o risco de intensificação dos ataques em 2023. A agência destacou a necessidade de analisar os métodos de ataque e reunir informações sobre códigos maliciosos de diferentes incidentes para identificar padrões úteis. Era uma avaliação de risco, não uma previsão garantida.

As técnicas incluíam engenharia social, phishing e exploração de vulnerabilidades de software, também empregadas por outros grupos estatais e cibercriminosos.

Novas formas de distribuir malware

O BlueNoroff, associado ao Lazarus, utilizava diferentes tipos de malware e phishing direcionado contra empresas para roubar recursos. O roubo e a posterior lavagem do dinheiro são etapas distintas dessas operações.

De acordo com o relatório da Kaspersky, de 27 de dezembro de 2022, o BlueNoroff visava empresas de capital de risco, negócios de criptomoedas e bancos. Os pesquisadores descreveram uma retomada da atividade após um período com menos observações.

A Kaspersky identificou mais de 70 domínios usados pelo grupo. Muitos domínios falsos imitavam empresas de capital de risco e bancos, sobretudo japoneses, mas também empresas dos Estados Unidos e do Vietnã.

O grupo experimentava novos formatos de arquivo e métodos de distribuição de malware, incluindo imagens de disco capazes de contornar avisos do Windows Mark-of-the-Web em determinadas cadeias de ataque. Análises anteriores da Kaspersky também descreveram a manipulação do destinatário e do valor de transferências de criptomoedas. Eram técnicas observadas, não uma capacidade automática de esvaziar qualquer conta.

O pesquisador Seongsu Park, da Kaspersky, alertou para o risco de incidentes graves no ano seguinte e recomendou que as empresas reforçassem sua preparação. A previsão de consequências potencialmente amplas era uma avaliação feita no fim de 2022.

Atores associados ao BlueNoroff foram ligados a ataques contra pequenas e médias empresas em vários países. Usuários de NFTs também eram alvos de campanhas atribuídas por pesquisadores a atores relacionados à Coreia do Norte.

Roubos de NFTs via Phishing

A empresa de segurança de blockchain SlowMist publicou em dezembro de 2022 uma investigação sobre phishing em larga escala contra usuários de NFTs, que atribuiu a atores relacionados à Coreia do Norte.

A SlowMist descreveu sites falsos que atraíam usuários com a emissão, ou mintagem, de NFTs. Autorizações maliciosas podiam dar aos atacantes acesso a ativos. O relatório também mencionava vendas de NFTs em OpenSea, Rarible e X2Y2; isso não demonstrava que as próprias plataformas haviam sido comprometidas.

Autoridades dos Estados Unidos divulgaram em abril de 2022 um alerta sobre atividades chamadas TraderTraitor e ataques observados desde pelo menos 2020. Separadamente, a SlowMist descreveu uma investigação de phishing de NFTs com quase 500 domínios. Esse número não provava que todos pertencessem a um único grupo formalmente delimitado.

Entre os indícios descritos pela SlowMist estavam sites que registravam dados de visitantes e os enviavam a locais externos, solicitações de listas de preços de NFTs e o arquivo imgSrc.js, com referências às imagens dos projetos imitados.

A investigação também mencionou tokens como WETH, USDC, DAI e UNI. Os atacantes tentavam obter controle sobre ativos por meio de interações e autorizações enganosas.

O grande ataque à Ronin

Em março de 2022, foram roubados mais de US$ 600 milhões em criptomoedas da ponte Ronin, utilizada pelo jogo NFT Axie Infinity. Autoridades dos Estados Unidos posteriormente atribuíram o ataque ao Lazarus. A Chainalysis o descreveu na época como um dos maiores roubos de criptomoedas conhecidos.

Desenvolvido por um estúdio vietnamita, o Axie Infinity chegou a ter mais de um milhão de jogadores ativos. O roubo da Ronin incluiu ETH e USDC, com valor total frequentemente estimado em cerca de US$ 620 milhões; não se tratava apenas de ether.

Em setembro de 2022, a Chainalysis informou que aproximadamente US$ 30 milhões dos recursos roubados haviam sido apreendidos em colaboração com autoridades. As transferências foram rastreadas por exchanges descentralizadas e mixers, serviços que misturam criptomoedas de vários usuários para dificultar o rastreamento.

Os Estados Unidos sancionaram o Tornado Cash em 2022. O Tesouro afirmou na época que o serviço havia sido usado para lavar mais de US$ 450 milhões provenientes de roubos associados ao Lazarus. Essa descrição se refere à situação das sanções em 2022.

Empresas de investimento em criptomoedas também foram alvo

A Microsoft (MSFT ) descreveu em 6 de dezembro de 2022 um ator, provisoriamente chamado DEV-0139, que atacava empresas de investimento em criptomoedas. Ele se passava por uma empresa de investimentos no Telegram e enviava uma planilha do Excel com código malicioso capaz de permitir acesso remoto ao sistema da vítima.

A Microsoft descreveu um ator bem preparado que usava perfis falsos com informações de funcionários da OKX e ingressava em grupos do Telegram destinados ao contato entre clientes VIP e exchanges.

Segundo a Microsoft, o ator conquistava a confiança do alvo antes de tentar instalar código malicioso. O conhecimento do setor e a preparação cuidadosa tornavam as mensagens mais convincentes.

Em um ataque de outubro de 2022, funcionários foram convidados para um grupo do Telegram e receberam um pedido de avaliação de uma planilha sobre taxas VIP da Huobi, Binance e OKX. Na época, a exchange se chamava Huobi, não HTX. Os dados pareciam confiáveis, mas o arquivo continha macros maliciosas e integrava uma cadeia de ataque com carregamento de DLL e instalação de uma porta dos fundos. Durante a conversa, o alvo foi incentivado a abrir o arquivo.

A Microsoft também encontrou uma cadeia relacionada com um pacote de instalação MSI e citou a pesquisa da Volexity sobre AppleJeus e ataques associados ao Lazarus. A relação era uma avaliação técnica; a designação temporária DEV-0139 não constituía, por si só, identificação definitiva de todos os envolvidos.

Em 2021, a agência norte-americana Cybersecurity and Infrastructure Security Agency (CISA) documentou a família AppleJeus de aplicativos maliciosos de criptomoedas.

Um Crescimento Contínuo nos Ataques a Criptomoedas

Em sua análise de 2021, a Chainalysis descreveu um crescimento dos roubos de criptomoedas associados à Coreia do Norte. Os números eram estimativas históricas, não o total de 2022.

Segundo a Chainalysis, atores relacionados à Coreia do Norte foram associados a pelo menos sete ataques a plataformas de criptomoedas em 2021, com quase US$ 400 milhões roubados. A estimativa para 2020 era menor, frequentemente arredondada para cerca de US$ 300 milhões.

O número de ataques passou de quatro para sete e o valor roubado cresceu aproximadamente 40%, segundo o relatório. A porcentagem se baseava nos dados subjacentes e não pode ser calculada com precisão a partir dos valores em dólares arredondados.

Depois de obter o controle dos recursos, os atacantes iniciavam um processo cuidadoso de lavagem para convertê-los sem serem detectados, segundo o relatório.

A Chainalysis não divulgou a identidade de todas as vítimas, mas apontou sobretudo empresas de investimento e exchanges centralizadas. A Liquid.com, por exemplo, anunciou em agosto de 2021 que alguém sem autorização havia acessado algumas das carteiras que administrava.

Segundo a Chainalysis, os atacantes usaram phishing, malware, exploração de falhas de código e engenharia social para transferir recursos de carteiras conectadas à internet para endereços sob seu controle.

Os analistas também identificaram cerca de US$ 170 milhões em criptomoedas ainda não lavadas, provenientes de 49 ataques entre 2017 e 2021. Interpretaram esse saldo como sinal de planejamento paciente para converter os recursos, em vez de uma estratégia desesperada e precipitada.

Nota Final

No fim de 2022, a avaliação era de que atores associados à Coreia do Norte continuariam explorando vulnerabilidades de negócios de criptomoedas, estúdios de jogos e exchanges para obter e lavar recursos destinados ao regime.

Autoridades associaram essas atividades ao financiamento dos programas de armamentos norte-coreanos. A ameaça ressaltava a importância da cibersegurança para empresas e organizações que pudessem ser alvo de atores apoiados pelo Estado.

A Coreia do Norte negou envolvimento nesses ataques, enquanto autoridades e pesquisadores apresentaram indícios e avaliações que apontavam para operações apoiadas pelo Estado. Empresas e pessoas devem permanecer atentas ao phishing e proteger o acesso a seus ativos digitais.