La Oficina Federal de Investigaciones de Estados Unidos (FBI) vinculó formalmente el hackeo récord de 1.500 millones de dólares a Bybit con actores de amenazas norcoreanos, mientras que el CEO de la compañía, Ben Zhou, declaró una "guerra contra Lazarus".
La agencia dijo que la República Popular Democrática de Corea (Corea del Norte) fue responsable del robo de los activos virtuales del intercambio de criptomonedas, atribuyéndolo a un grupo específico que rastrea como TraderTraitor, al que también se conoce como Jade Sleet, Slow Pisces y UNC4899.
"Los actores de TraderTraitor están actuando rápidamente y han convertido algunos de los activos robados en Bitcoin y otros activos virtuales dispersos en miles de direcciones en múltiples cadenas de bloques", dijo el FBI . "Se espera que estos activos sean lavados aún más y eventualmente convertidos en moneda fiduciaria".
Vale la pena señalar que el grupo TraderTraitor fue previamente implicado por las autoridades japonesas y estadounidenses en el robo de criptomonedas por valor de $ 308 millones de la empresa de criptomonedas DMM Bitcoin en mayo de 2024.
El actor de amenazas es conocido por atacar a empresas del sector Web3, a menudo engañando a las víctimas para que descarguen aplicaciones de criptomonedas cargadas con malware para facilitar el robo. Alternativamente, también se ha descubierto que organiza campañas de ingeniería social con temática laboral que conducen a la implementación de paquetes npm maliciosos.
Mientras tanto, ByBit ha lanzado un programa de recompensas para ayudar a recuperar los fondos robados, al tiempo que critica a eXch por negarse a cooperar en la investigación y ayudar a congelar los activos.
"Los fondos robados se han transferido a destinos imposibles de rastrear o congelables, como casas de cambio, mezcladores o puentes, o se han convertido en monedas estables que se pueden congelar", afirmó. "Necesitamos la cooperación de todas las partes involucradas para congelar los fondos o proporcionar actualizaciones sobre su movimiento para que podamos seguir rastreándolos".
La compañía con sede en Dubai también ha compartido las conclusiones de dos investigaciones realizadas por Sygnia y Verichains, que vinculan el hackeo con el Grupo Lazarus.
"La investigación forense de los hosts de los tres firmantes sugiere que la causa raíz del ataque es un código malicioso originado en la infraestructura de Safe{Wallet}", dijo Sygnia.
Verichains señaló que "el archivo JavaScript benigno de app.safe.global parece haber sido reemplazado por un código malicioso el 19 de febrero de 2025, a las 15:29:25 UTC, apuntando específicamente a Ethereum Multisig Cold Wallet de Bybit", y que el "ataque fue diseñado para activarse durante la próxima transacción de Bybit, que ocurrió el 21 de febrero de 2025, a las 14:13:35 UTC".
Se sospecha que la cuenta/clave API de AWS S3 o CloudFront de Safe.Global probablemente se filtró o se vio comprometida, allanando así el camino para un ataque a la cadena de suministro.
En una declaración aparte, la plataforma de billetera multisig Safe{Wallet} dijo que el ataque se llevó a cabo comprometiendo una de las máquinas de sus desarrolladores, lo que afectó a una cuenta operada por Bybit. La compañía señaló además que implementó medidas de seguridad adicionales para mitigar el vector de ataque.
El ataque "se llevó a cabo a través de una máquina comprometida de un desarrollador de Safe{Wallet}, lo que dio como resultado la propuesta de una transacción maliciosa disfrazada", dijo . "Lazarus es un grupo de piratas informáticos norcoreano patrocinado por el estado que es bien conocido por sus sofisticados ataques de ingeniería social a las credenciales de los desarrolladores, a veces combinados con exploits de día cero".
Actualmente no está claro cómo se vulneró el sistema del desarrollador, aunque un nuevo análisis de Silent Push descubrió que Lazarus Group registró el dominio bybit-assessment[.]com a las 22:21:57 del 20 de febrero de 2025, unas horas antes de que se produjera el robo de criptomonedas.
Los registros WHOIS muestran que el dominio fue registrado utilizando la dirección de correo electrónico "trevorgreer9312@gmail[.]com", que había sido previamente identificada como una persona utilizada por Lazarus Group en relación con otra campaña denominada Entrevista Contagiosa.
"Parece que el robo de Bybit fue llevado a cabo por el grupo de actores de amenazas de la RPDC conocido como TraderTraitor, también conocido como Jade Sleet y Slow Pisces, mientras que la estafa de la entrevista criptográfica está siendo liderada por un grupo de actores de amenazas de la RPDC conocido como Contagious Interview , también conocido como Famous Chollima", dijo la compañía .
"Las víctimas suelen ser contactadas a través de LinkedIn, donde se las convence mediante ingeniería social para que participen en entrevistas de trabajo falsas. Estas entrevistas sirven como punto de entrada para la implementación de malware dirigido, la recolección de credenciales y la posterior vulneración de activos financieros y corporativos".
Se estima que los actores vinculados a Corea del Norte han robado más de 6 mil millones de dólares en criptoactivos desde 2017. Los 1.500 millones de dólares robados la semana pasada superan los 1.340 millones de dólares que los actores de amenazas robaron en 47 robos de criptomonedas en todo 2024.
Fuente: TheHackerNews.