慢雾：CoinsPaid、Atomic与Alphapo攻击者或均为朝鲜黑客组织Lazarus

金色财经报道，据慢雾 MistTrack 分析，1 月 16 日 Harmony 黑客从交易所提款 BTC 地址资金开始转移。经过几天的多层转移后，部分资金再次转移到交易所，另有一部分资金通过 Avalanche Bridge 跨链到 Avalanche 链，后经过多次跨链后兑换为 USDT/USDD，分别转移到 ETH/Tron 链混币网络。 此次转移 Lazarus Group 疑似使用了新的洗钱方式，跨链路径为 BTC Network -> Avalanche -> ETH Network (-> Tron Network)，跨链使用到的工具有 Avalanche Bridge、1inch limit order、BitTorrent 等。 此前，去年 6 月 23 日 Harmony 跨链桥遭到攻击，损失金额约 1 亿美元。1 月 13 日黑客开始转移 Tornado Cash 提款的资金并再次向隐私网络 railgun 充提款后将部分资金转移到交易所并提款到 BTC 网络。慢雾 MistTrack 将持续跟进并拉黑此次事件的黑客地址。

金色财经报道，网络安全公司Volexity认为受到美国政府制裁的朝鲜黑客组织Lazarus与涉及使用加密站点感染系统以从第三方窃取信息和加密货币有关。Volexity博客文章显示，Lazarus在6月注册了一个名为bloxholder.com的域名，该域名后来被建立为提供自动加密货币交易服务的企业。Lazarus使用该站点作为网页从用户的系统中窃取私钥和其他数据。 Volexity还发现，将此恶意软件传送给最终用户的技术在10月份发生了变化。该方法演变为使用Office文档，特别是包含宏的电子表格，这是一种嵌入文档中的程序，旨在在计算机中安装Applejeus恶意软件。 金色财经此前报道，Lazarus 于2021 年 2 月被美国司法部 (DOJ)正式起诉，涉及与朝鲜情报组织侦察总局 (RGB) 有关联的组织的一名特工。

金色财经报道，近日，慢雾联合合作伙伴发现朝鲜 Lazarus 团伙定向对加密货币行业进行的大规模 APT 攻击活动。攻击手法如下：首先进行身份伪装，通过实人认证骗过审核人员并成为真实客户，而后真实入金存款。在此客户身份掩护下，在之后多个官方人员和客户(攻击者)沟通时间点上针对性地对官方人员精准投放 Mac 或 Windows 定制木马，获得权限后进行内网横向移动，长久潜伏从而达到盗取资金的目的。目前慢雾已经与合作伙伴狩猎到攻击者使用的域名和木马样本。

7月15日消息，链上侦探ZachXBT表示，关于此前5月份被盗取3.05亿美元的加密交易所DMM Bitcoin，已有超3500万美元资金被洗钱至Huione Guarantee。区块链取证公司Elliptic补充道，该市场位于柬埔寨，并与该国的“统治的Hun家族”有关联。Elliptic表示，该市场已从黑客攻击、杀猪盘骗局和其他漏洞中交易了价值110亿美元的加密货币。ZachXBT表示，由于洗钱技术和链下指标的相似性，怀疑朝鲜黑客组织Lazarus集团是这次黑客攻击的背后黑手。这些资金随后被转换为USDT，并桥接到Tron，然后再转移到Huione。ZachXBT还分享了与Lazarus集团、Huione和其他与DMM比特币黑客攻击相关的538个钱包地址。

金色财经报道，据慢雾首席信息安全官23pds在社交媒体上发文表示，国家资助的朝鲜黑客组织正在使用名为KANDYKORN的macOS恶意软件通过Discord 来攻击加密工程师。

金色财经报道，慢雾在分析过程中发现 CoinEx 黑客或为朝鲜黑客团伙 Lazarus Group，具体关联如下： 1. 已知的 Alphapo Exploiter (TDrs…WVjr) 通过 TransitSwap 将 TRX 兑换为 ETH 并跨链到地址 (0x22be3b0a943b1bc0ea3aec2cb3ef511f3920a98d) ，故该地址在 ETH 链上也被标记为 Alphapo Exploiter。 2. 黑客地址 0x22be3b0a943b1bc0ea3aec2cb3ef511f3920a98d 在 ETH 链上被标记为 Alphapo Exploiter，在 BSC 链上被标记为 Stake.com Exploiter，即该地址为共用地址 3. 0x75497999432B8701330fB68058bd21918C02Ac59 在 ARB 和 OP 链上被标记为 CoinEx Exploiter，在 Polygon 链上被标记为 Stake.com Exploiter，即该地址为共用地址 因 Stake.com Exploiter 已被 FBI 关联于朝鲜黑客团伙 Lazarus Group，所以 Alphapo Exploiter，Stake.com Exploiter 和 CoinEx Exploiter 或都为朝鲜黑客团伙 Lazarus Group。