EE. UU. se mueve para incautar $2.7 millones de los hackeos de Lazarus rastreados a través de Tornado Cash y otros mezcladores

Dos acciones recientes de decomiso presentadas por el Fiscal de los Estados Unidos para el Distrito de Columbia han revelado nuevos detalles sobre cómo los hackers de criptomonedas de Corea del Norte lavan sus fondos, mientras el gobierno de EE.UU. busca incautar aproximadamente $2.67 millones en criptomonedas robadas en dos grandes hackeos. 

Las demandas de decomiso, presentadas por primera vez el viernes, tienen como objetivo recuperar aproximadamente $1.7 millones en Tether (USDT) rastreados a través del mezclador Tornado Cash del hackeo de $28 millones del grupo Lazarus vinculado a Corea del Norte en el intercambio de opciones de criptomonedas Deribit en noviembre de 2022 y aproximadamente 15.5 Bitcoin (BTC.b) puenteados por Avalanche por un valor de aproximadamente $971,000 a precios actuales del hackeo de $41 millones del grupo en el casino de criptomonedas en línea Stake.com. 

De Deribit a Tornado

La primera de las dos presentaciones se refiere a los métodos del grupo Lazarus para lavar dinero del hackeo de Deribit a través del mezclador de criptomonedas Tornado Cash, el servicio en el centro de un próximo juicio por lavado de dinero observado de cerca por los defensores de las criptomonedas. Las fuerzas del orden pudieron rastrear algunos de los $28 millones en fondos lavados del robo, que ocurrió después de que los hackers norcoreanos obtuvieran acceso al servidor de la billetera caliente de Deribit, intercambiaran los activos a Ethereum y los enviaran a través de Tornado Cash para finalmente terminar como stablecoins Tether en la blockchain de Tron, como se muestra en un diagrama de la presentación. 

Los funcionarios de las fuerzas del orden rastrearon los fondos a través de Tornado al notar similitudes entre ciertas billeteras de Ethereum. Las billeteras recibieron transferencias en tiempos similares (dentro de minutos entre sí), utilizaron puentes de cadena cruzada similares, recibieron fondos para tarifas de transacción desde la misma dirección y mantuvieron fondos que finalmente terminaron en las mismas direcciones de consolidación. 

Los hackers intentaron convertir los activos de Ethereum a USDT en tres oleadas, ya que los dos primeros intentos de lavar los fondos fueron detenidos cuando las fuerzas del orden congelaron algunos de los fondos en cuestión. En el tercer intento, los hackers lograron lavar el resto de los fondos, dejando a las fuerzas del orden con aproximadamente $1.7 millones en USDT congelados de cinco billeteras relevantes. 

De Stake.com a Sinbad, Yonmix

La segunda presentación se refiere al hackeo de $41 millones del grupo Lazarus en el casino en línea Stake.com y su intento de lavar los fondos en tres etapas: la conversión de los fondos en BTC a través del puente de Bitcoin de Avalanche, moviendo el BTC robado a través de los mezcladores de Bitcoin Sinbad y Yonmix, y finalmente convirtiendo el Bitcoin en stablecoins como USDT. Los fondos relevantes fueron congelados durante la primera y tercera etapas, probablemente a través de solicitudes de congelación de activos al Puente Avalanche. 

Durante la primera etapa, las fuerzas del orden congelaron activos de siete transacciones que generalmente involucraban la conversión de activos robados en tokens nativos como los tokens MATIC de Polygon y los tokens BNB de Binance Smart Chain y luego puenteando ese valor a Bitcoin a través del Puente Avalanche. Sin embargo, a pesar de la intervención del gobierno, "los norcoreanos pudieron transferir la mayoría de los fondos robados a la blockchain de BTC", afirma la presentación. 

Una vez en Bitcoin, los hackers utilizaron los mezcladores Sinbad y Yonmix, que proporcionan un servicio similar al de Tornado Cash en Ethereum, para obfuscar aún más el movimiento de los fondos robados. "Las fuerzas del orden rastrearon el flujo de los fondos robados a través de ambos servicios de mezcla hasta la siguiente etapa del proceso de lavado de los hackers norcoreanos", afirma la presentación, aunque a pesar de identificar la billetera de consolidación, los funcionarios solo pudieron recuperar un adicional de .099 BTC, por un valor de aproximadamente $6,270 a precios actuales. 

Aunque las fuerzas del orden han mejorado su capacidad para rastrear e incautar criptomonedas ilícitas, el grupo Lazarus sigue activo, con el grupo recientemente culpado por el hackeo de $230 millones en el intercambio de criptomonedas indio WazirX.