Radiant Capital diz que Coreia do Norte se passou por ex-contratado para realizar hack de US$ 50 milhões

Como um pesquisador experiente com um olhar atento às ameaças à segurança cibernética, não posso deixar de sentir uma sensação de déjà vu quando leio sobre mais um hack de alto perfil no espaço DeFi. O fato de os grupos de hackers norte-coreanos estarem continuamente evoluindo suas táticas e ferramentas para atingir plataformas de criptomoedas é preocupante, para dizer o mínimo.

Oi pessoal! Você já cansou de viver na pobreza enquanto as criptomoedas estão curtindo uma vida de luxo? Então junte-se ao nosso canal @Crypnoticias no Telegram, onde compartilhamos notícias sobre criptomoedas em português - porque quem precisa de dinheiro de verdade quando você pode nadar em Dogecoins? Venha para o lado selvagem da especulação financeira, onde o único risco é perder tudo... ou ganhar um foguete para a lua! 😂💰🚀

☞ Junte-se ao Telegram

A Radiant Capital anunciou que um ataque cibernético no valor de US$ 50 milhões em sua plataforma DeFi, ocorrido em outubro, foi iniciado por um malware distribuído pelo Telegram. Acredita-se que o ataque tenha sido orquestrado por um hacker ligado à Coreia do Norte que se disfarçou de ex-funcionário da empresa.

Numa atualização de 6 de dezembro sobre a investigação em curso, a Radiant afirmou que a empresa de segurança cibernética que contrataram, a Mandiant, concluiu com forte convicção que a origem deste ataque pode ser rastreada até um grupo de ameaças cibernéticas ligado à Coreia do Norte.

Em 11 de setembro, a plataforma indicou que um desenvolvedor do Radiant recebeu um arquivo zip via Telegram de um “ex-colaborador confiável”, que estava buscando informações sobre um novo projeto em que estavam embarcando.

Depois de examinar a mensagem, parece que ela pode ter sido enviada por um hacker ligado à Coreia do Norte se passando por um contratante anterior”, observou. “Ao compartilhar este arquivo ZIP com outros programadores para feedback, ele distribuiu malware sem saber, o que permitiu futuros ataques cibernéticos.

1) Em 16 de outubro, a plataforma DeFi interrompeu temporariamente seus mercados de empréstimos devido a um hacker que assumiu o controle de chaves privadas e contratos inteligentes de vários signatários.

Em 12 de novembro, grupos cibernéticos norte-coreanos foram descobertos visando usuários do macOS por meio de uma nova campanha de malware que empregava e-mails de phishing, aplicativos de PDF falsos e técnicas para contornar as medidas de segurança da Apple.

No mês de outubro, hackers norte-coreanos também foram encontrados explorando uma vulnerabilidade no Google Chrome para roubar credenciais de carteiras de criptomoedas.

A Radiant explicou que o arquivo não levantou nenhuma preocupação adicional, já que é comum que profissionais revisem arquivos PDF, bem como desenvolvedores troquem frequentemente esses documentos.

O domínio associado ao arquivo ZIP também falsificou o site legítimo do contratante.

Durante o ataque cibernético, vários dispositivos de desenvolvimento usados pelos desenvolvedores do Radiant foram violados. Superficialmente, o front-end mostrava detalhes de transações inofensivas, mas, sub-repticiamente, transações maliciosas estavam sendo autenticadas em segundo plano.

Original: “As verificações e simulações tradicionais não mostraram inconsistências aparentes, tornando a ameaça indetectável durante os períodos de avaliação de rotina.

A Radiant afirmou que o engano foi executado de forma tão perfeita que mesmo com nossas precauções habituais, como simular transações no Tenderly, validar dados de carga útil e aderir aos procedimentos padrão da indústria em todas as etapas, os invasores ainda conseguiram violar vários dispositivos do desenvolvedor.

A Radiant Capital suspeita que o culpado por trás do ataque seja identificado como “UNC4736”, também conhecido como “Citrine Sleet”. Há rumores de que este grupo tem ligações com a principal agência de inteligência da Coreia do Norte, o Reconnaissance General Bureau (RGB), e acredita-se que seja um subconjunto do grupo de hackers conhecido como Grupo Lazarus.

Os hackers movimentaram cerca de US$ 52 milhões dos fundos roubados no incidente de 24 de outubro.

Este evento mostra que adversários sofisticados podem contornar procedimentos rigorosos, carteiras de hardware seguras, ferramentas como o Tenderly para simulações e avaliação humana meticulosa. Como a Radiant Capital afirmou em seu relatório recente.

A necessidade de assinaturas não verificadas e verificações no nível da interface do usuário que possam ser manipuladas sugere a criação de métodos mais robustos e baseados em hardware para decifrar e autenticar dados de transações, observaram.

Como analista, devo reconhecer que esta não é a primeira vez que a Radiant enfrenta uma violação de segurança este ano. Em janeiro, a plataforma teve que interromper temporariamente seus mercados de empréstimos devido a uma exploração de empréstimo instantâneo de US$ 4,5 milhões.

Como pesquisador, observei uma diminuição substancial no valor total bloqueado (TVL) da Radiant após as duas explorações deste ano. No final do ano passado, o TVL era superior a US$ 300 milhões, mas em 9 de dezembro caiu para aproximadamente US$ 5,81 milhões, conforme relatado pelo DefiLlama.

2024-12-09 05:30