США предпринимают шаги по изъятию $2,7 млн от хакерских атак Lazarus, отслеженных через Tornado Cash и другие миксеры

Два недавних иска о конфискации, поданных прокурором США по округу Колумбия, раскрыли новые детали о том, как северокорейские криптохакеры отмывают свои средства, поскольку правительство США стремится конфисковать около 2,67 миллиона долларов в криптовалюте, украденной в результате двух крупных взломов. 

Иски о конфискации, впервые поданные в пятницу, направлены на возврат около 1,7 миллиона долларов в Tether (USDT), отслеженных через миксер Tornado Cash от связанной с Северной Кореей группы Lazarus, которая взломала криптовалютную биржу Deribit на 28 миллионов долларов в ноябре 2022 года, и около 15,5 биткоинов, связанных с Avalanche (BTC.b), стоимостью около 971 000 долларов по текущим ценам, от взлома онлайн-казино Stake.com на 41 миллион долларов. 

От Deribit к Tornado

Первый из двух исков касается методов отмывания денег группой Lazarus от взлома Deribit через криптомиксер Tornado Cash, сервис, который находится в центре предстоящего судебного процесса по отмыванию денег, за которым внимательно следят сторонники криптовалют. Правоохранительные органы смогли отследить часть из 28 миллионов долларов, отмытых от кражи, которая произошла после того, как северокорейские хакеры получили доступ к серверу горячего кошелька Deribit, обменяли активы на Ethereum и отправили их через Tornado Cash, чтобы в конечном итоге они оказались в виде стейблкоинов Tether на блокчейне Tron, как показано на диаграмме из иска. 

Правоохранительные органы отследили средства через Tornado, отметив сходства между определенными кошельками Ethereum. Кошельки получали переводы в одно и то же время (в течение нескольких минут друг от друга), использовали аналогичные кросс-чейн мосты, получали финансирование для оплаты транзакционных сборов с одного и того же адреса и содержали средства, которые в конечном итоге оказались на одних и тех же адресах консолидации. 

Хакеры пытались конвертировать активы Ethereum в USDT в три этапа, так как первые две попытки отмыть средства были остановлены, когда правоохранительные органы заморозили часть спорных средств. В третьей попытке хакеры успешно отмыли оставшиеся средства, оставив правоохранительным органам около 1,7 миллиона долларов в USDT, замороженных на пяти соответствующих кошельках. 

От Stake.com к Sinbad, Yonmix

Второй иск касается взлома онлайн-казино Stake.com на 41 миллион долларов группой Lazarus и их попытки отмыть средства в три этапа: конвертация средств в BTC через биткоин-мост Avalanche, перемещение украденных BTC через биткоин-миксеры Sinbad и Yonmix, и, наконец, конвертация биткоинов в стейблкоины, такие как USDT. Соответствующие средства были заморожены на первом и третьем этапах, вероятно, через запросы на заморозку активов к Avalanche Bridge. 

На первом этапе правоохранительные органы заморозили активы из семи транзакций, которые в основном включали конвертацию украденных активов в нативные токены, такие как токены MATIC от Polygon и токены BNB от Binance Smart Chain, а затем перемещение этой стоимости в биткоины через Avalanche Bridge. Однако, несмотря на вмешательство правительства, "северокорейцам удалось перевести большую часть украденных средств на блокчейн BTC", говорится в иске. 

Оказавшись на биткоине, хакеры использовали миксеры Sinbad и Yonmix, которые предоставляют услугу, аналогичную Tornado Cash на Ethereum, для дальнейшего сокрытия движения украденных средств. "Правоохранительные органы отследили поток украденных средств через оба миксера до следующего этапа процесса отмывания денег северокорейскими хакерами", говорится в иске, хотя, несмотря на идентификацию кошелька консолидации, чиновникам удалось вернуть только дополнительные 0,099 BTC, стоимостью около 6 270 долларов по текущим ценам. 

Хотя правоохранительные органы улучшили свою способность отслеживать и конфисковывать незаконную криптовалюту, группа Lazarus остается активной, и недавно ее обвинили во взломе индийской криптобиржи WazirX на 230 миллионов долларов.