Za útokem na Atomic Wallet zřejmě stojí Lazarus Group podporující autoritářský režim Kim Čong-una

Podle analytické firmy Elliptic putují prostředky ukradené z peněženek Atomic do krypto mixéru. Útok na Atomic Wallet proběhl před několika dny a jako první ho zaznamenali samotní uživatelé, kteří kontaktovali podporu ohledně mizejících prostředků. Než se podařilo hackerský útok zastavit, podařilo se zlodějům získat 35 milionů dolarů. Podle všeho teď prostředky putují na kryptoměnový mixér používaný hackerskou skupinou Lazarus. Nedávné vyšetřování také dokázalo, že ukradené prostředky skupinou Lazarus putují na financování jaderného programu Severní Koreje. O to víc jsou útoky těchto hackerů problematické, protože pomáhají autoritářskému režimu Kim Čong-una financovat vyzbrojování v době, kdy jsou napjaté vztahy mezi řadou světových vlád.

Severokorejská skupina Lazarus opět útočí

Do vyšetřování odlivu prostředků z peněženek uživatelů Atomic se pustila řada analytických firem a s prvním objasněním přišla společnost Elliptic. Vypadá to, že ukradených 35 milionů dolarů z peněženek uživatelů aktuálně putuje na kryptomixér, který je oblíbený u nejznámější hackerské skupiny v kryptoměnovém světě. Toky peněz odhalila firma Elliptic 5. června a poukázala na to, že prostředky putují na kryptomixér Sindibad.io, který často používá hackerská skupina Lazarus. Vše tedy nasvědčuje tomu, že za útokem opět stojí hackeři pomáhající financovat severokorejský jaderný program. Kryptomixér Sindibad.io byl již v minulosti skupinou použit k zahlazení stop u více než 100 milionů dolarů v kryptoměnách. Elliptic neuvedl konkrétní částku odeslanou do mixéru, z transakcí je ale vidět, že kryptoměny byly převážně převedeny do bitcoinu a následně odeslány do mixéru Sindibad.io. Tento mixér je zřejmě novou verzí mixéru Blender.io, který byl rovněž hojně využíván hackery k vyprání kryptoměn z nejrůznějších útoků skupiny Lazarus. Blender.io byl ale na sankčním seznamu amerických úřadů a jeho činnost byla přerušena.

Analysis of the ongoing Atomic Wallet hack, from our new Investigations Team account @Elliptic_Inv https://t.co/gbm3dX34JB

— Elliptic (@elliptic) June 5, 2023

K útoku na peněženky uživatelů Atomic došlo 3. června a ztratilo se přibližně 35 milionů dolarů. Společnost k útoku uvedla, že se jedná pouze o 1 % aktivních měsíčních uživatelů. Jedná se ale jen o chabou útěchu, protože majitelé největších peněženek přišli během útoku o několik milionů dolarů. Šéf marketingového oddělení společnosti Atomic Wallet Roland Säde uvedl, že jejich tým dělá vše, co je v jeho silách, aby tyto prostředky získal zpět. Vzhledem k tomu, že prostředky již ale míří na kryptomixér, je zřejmě jejich snaha předem ztracená. Nejvíce prostředků ztratil investor v podobě USDT tokenů, kterému z peněženky zmizelo 7,95 milionů dolarů. Pět největších peněženek zasažených útokem skupiny Lazarus přišlo o kryptoměny v hodnotě 17 milionů dolarů. Strukturu transakcí s ukradenými kryptoměnami jako první odhalil twitterový detektiv ZachXTB. Mezi ukradenými kryptoměnami je bitcoin, Ethereum, Tron, Binance Coin, Cardano, XRP, Polkadot, Avalanche, Stellar, Litecoin nebo Dogecoin. Krátce po útoku se objevilo na Twitteru několik falešných účtů tvářících se, že patří ke společnosti Atomic a chtějí pomoci se ztracenými kryptoměnami. 

Další podvodníci navázali na loupež Lazarus Group

Krátce po útoku a prvním vyjádření ze strany Atomic Wallet začaly falešné účty na Twitteru nabízet pomoc s ukradenými prostředky. Jednalo se o falešné účty, které se snažily od okradených uživatelů získat další osobní údaje. Účty následně rozesílaly phishingové odkazy, ve kterých uživatelé měli vyplnit údaje o vykradených peněženkách a svých účtech. Vývojáři z Atomic Wallet přitom upozorňovali uživatele, aby na nic neklikali a v případě, že byl vykraden i jejich účet pouze napsali e-mail vývojářům. Šéf marketingu Atomic také prozradil, že jsou vývojáři překvapeni, že se někdo dostal do jejich systému. Ten totiž považoval zabezpečení peněženky za neprůstřelné. Okradeným uživatelům Atomic také poradil, aby sledovali nelegální převody svých prostředků a nahlásili je velkým kryptoměnovým burzám, které by mohly platby zablokovat. V době, kdy se na útok přišlo ale bylo již příliš pozdě na to, aby kdokoliv zkoušel prostředky zablokovat, protože byly v rukou hackerů a na cestě do kryptoměnových mixérů.

Prozatím není jasné, jak se podařilo útočníkům dostat k prostředkům uživatelů. Všechny indicie ale ukazují na únik seedů peněženek, které pak mohly útočníci použít k otevření peněženek uživatelů a ukradení prostředků. Navzdory tomu, že v květnu dominovaly phishingové útoky, krádež provedená skupinou Lazarus opět ukazuje, jak nebezpečné je držení prostředků na burzách a softwarových peněženkách. V době, kdy kryptoměnové hackerské útoky nabírají na intenzitě je nejlepším řešení hardwarová peněženka. Softwarové peněženky jsou totiž snadnějším cílem pro hackery. Přestože je váš seed uložený pouze v konkrétním zařízení, jak tomu bylo i u peněženek Atomic, mohou jej hackeři získat útokem na dané zařízení. Zatímco u hardwarových peněženek, které jsou naprostou většinu času offline, je daleko náročnější získat seed. U peněženek Trezor je navíc ověřeno, že je nenapadnutelný až do chvíle, kdy má útočník samotné zařízení v ruce. Pokud tedy máte někde uloženo 8 milionů v USDT, rozhodně doporučujeme využít hardwarovou peněženku a nespoléhat se na zabezpečení softwarové peněženky.