گروه لازاروس کره شمالی متهم به سرقت ۳۰.۶ میلیون دلاری از صرافی آپ‌بیت کره جنوبی شد؛ خبری که دوباره نگاه‌ها را به فعالیت‌های سایبری پیونگیانگ جلب کرد و باعث شد جهان بار دیگر در مورد امنیت دارایی‌های دیجیتال و نقش بازیگران دولتی در حملات سایبری بحث‌های جدی‌تری را مطرح کند. در ساعات اولیه انتشار این خبر، گزارش‌ها نشان داد که این بار نیز همان الگوهای رفتاری دیده شده که معمولاً با عملیات‌های پیچیده گروه لازاروس همراه است.
فهرست مطالب
گروه لازاروس کره شمالی
این حمله زمانی تأیید شد که شرکت دونامو، مالک صرافی آپ‌بیت، اعلام کرد دارایی‌های مرتبط با سولانا که ارزش آن حدود ۴۴.۵ میلیارد وون بوده، مورد نفوذ قرار گرفته است. مقامات کره جنوبی اعلام کردند تمام زیان کاربران از ذخایر داخلی صرافی جبران خواهد شد و برای جلوگیری از هرگونه انتقال غیرمجاز، تمام تراکنش‌ها به‌طور موقت متوقف شده است.
جزئیات سرقت و دارایی‌های سولانا
بر اساس اعلام دونامو، دارایی‌های مرتبط با سولانا که ارزش آن حدود ۴۴.۵ میلیارد وون بوده، هدف نفوذ قرار گرفته است. تمرکز حمله بر دارایی‌های یک شبکه خاص نشان می‌دهد که مهاجمان پیش از اجرا، زیرساخت و مسیرهای انتقال را بررسی کرده‌اند. چنین هدف‌گیری معمولاً نیازمند شناخت دقیق از کیف‌پول‌ها، کلیدها و فرایندهای داخلی صرافی است.
واکنش صرافی نیز سریع بود. مقامات کره جنوبی اعلام کردند تمام زیان کاربران از ذخایر داخلی صرافی جبران خواهد شد و برای جلوگیری از هرگونه انتقال غیرمجاز، تمام تراکنش‌ها به‌طور موقت متوقف شده است. این تصمیم اگرچه از نظر حمایت از کاربران اهمیت دارد، اما نشان می‌دهد که صرافی برای جلوگیری از گسترش خسارت، ناچار به محدود کردن فعالیت عادی خود شده است.
آیا این حمله تکرار سناریوی ۲۰۱۹ است؟
طبق گزارش خبرگزاری یونهاپ، تیم‌های بازرسی در حال آماده‌سازی برای انجام بررسی حضوری از سرورهای آپ‌بیت هستند. در تحلیل‌های اولیه، کارشناسان امنیتی اشاره کردند که نوع نفوذ، مسیر خروج دارایی‌ها و سرعت انتقال آنها، شباهت زیادی با حمله سال ۲۰۱۹ دارد. این شباهت، پرسش‌های جدی درباره میزان بهبود زیرساخت امنیتی صرافی در سال‌های گذشته ایجاد کرده است.
گزارش‌ها تأکید می‌کنند که این حمله از همان ساختارهای فنی استفاده کرده که لازاروس در سرقت ۵۸ میلیارد وونی اتریوم از آپ‌بیت به کار برده بود. تکرار چنین الگویی می‌تواند به معنای آن باشد که برخی آسیب‌پذیری‌ها هنوز به‌طور کامل بسته نشده‌اند. البته بررسی دقیق‌تر نیازمند داده‌های فنی است و ارزیابی نهایی پس از پایان بازرسی‌ها انجام می‌شود.
روش نفوذ؛ جعل هویت یا دسترسی داخلی؟
تحقیقات نشان می‌دهد هکرها احتمالاً از روش جعل هویت مدیران داخلی، یا دسترسی به حساب‌هایی استفاده کرده‌اند که در سیستم صرافی سطح دسترسی بالایی داشته‌اند. چنین روشی یکی از خطرناک‌ترین انواع نفوذ است، زیرا مهاجم نیازی به شکستن لایه‌های امنیتی از بیرون ندارد و از اعتماد موجود در سیستم سوءاستفاده می‌کند.
همین موضوع باعث شده فشار افکار عمومی بیشتر شود. بسیاری می‌پرسند چگونه ممکن است برای دومین بار در شرایطی مشابه و با شیوه‌های تقریباً یکسان، گروه لازاروس دوباره موفق به نفوذ شود. پاسخ به این پرسش نیازمند بررسی فرایندهای احراز هویت، مدیریت دسترسی و نظارت بر رفتار حساب‌های پراختیار است؛ حوزه‌هایی که در بسیاری از سازمان‌ها کمتر از حملات بیرونی مورد توجه قرار می‌گیرند.
پراکندگی وجوه و شکستن مسیر ردیابی
طبق اعلام مقامات، وجوه سرقت‌شده فوراً به کیف‌پول‌های ناشناس منتقل شده و سپس از طریق پلتفرم‌های متصل به بلاک‌چین‌های مختلف توزیع شده‌اند. این الگوی پراکندگی دقیقاً همان چیزی است که لازاروس سال‌ها برای گم‌کردن رد تراکنش‌ها استفاده کرده است. هر انتقال، مسیر ردیابی را پیچیده‌تر می‌کند و زمان لازم برای توقیف دارایی‌ها را افزایش می‌دهد.
یکی از مقامات امنیتی در این باره اعلام کرد: «رویکرد استاندارد آنها پراکنده کردن دارایی در شبکه‌های متعدد است تا مسیر ردیابی شکسته شود.» این جمله نشان می‌دهد که مقابله با چنین حملاتی تنها به شناسایی لحظه نفوذ محدود نمی‌شود و باید شامل رصد سریع تراکنش‌ها و همکاری با صرافی‌ها و تحلیل‌گران بلاک‌چین باشد.
واکنش دیپلماتیک و نگرانی منطقه‌ای
در بخش دیپلماتیک نیز واکنش‌ها سریع بود. کیم جی‌نا، معاون دوم وزیر امور خارجه کره جنوبی، هشدار داد که در چنین پرونده‌هایی همکاری نزدیک با ایالات متحده ضروری است. او تأکید کرد که این سرقت‌ها می‌تواند به‌طور مستقیم منبع مالی برای برنامه‌های هسته‌ای و موشکی کره شمالی باشد؛ موضوعی که ابعاد امنیتی پرونده را از یک جرم سایبری فراتر می‌برد.
او در ادامه افزود که این حملات تنها تهدیدی برای صرافی‌ها نیست، بلکه می‌تواند ثبات اکوسیستم دیجیتال شرق آسیا را به خطر بیندازد. به گفته او، امنیت سایبری باید در اولویت قرار گیرد، زیرا گروه‌هایی مانند لازاروس با هدف ایجاد بی‌ثباتی اقتصادی در سطح منطقه عمل می‌کنند. چنین موضعی نشان می‌دهد که پاسخ به این حملات دیگر یک مسئله شرکتی نیست و همکاری بین‌المللی را می‌طلبد.
درس‌های امنیتی برای صرافی‌ها
کارشناسان تأکید کردند که حرکت‌های اخیر دولت کره جنوبی برای تقویت زیرساخت‌های امنیتی ضروری است؛ چرا که تکرار حملات نشان می‌دهد خطر حملات سایبری دولتی هر روز گسترده‌تر می‌شود. برای صرافی‌ها، این به معنای سرمایه‌گذاری مستمر در کنترل دسترسی، آموزش کارکنان و نظارت بر تراکنش‌های غیرعادی است.
علاوه بر این، صرافی‌ها باید برای سناریوی نفوذ داخلی نیز آماده باشند. جعل هویت مدیران و سوءاستفاده از دسترسی بالا، تهدیدی است که با ابزارهای صرفاً بیرونی قابل مهار نیست. ترکیب احراز هویت چندلایه، تفکیک وظایف و پایش رفتاری می‌تواند احتمال چنین نفوذهایی را کاهش دهد، هرچند حذف کامل ریسک در این حوزه ممکن نیست.
بیشتر بخوانید: هکرهای کره شمالی خطرناک‌تر از همیشه؛ پای هوش مصنوعی به حملات کریپتویی باز شد
برای مطالعه گزارش‌های بین‌المللی درباره حملات سایبری مرتبط با کره شمالی، بخش امنیت سایبری رویترز را ببینید.
پرسش‌های متداول
چه مقدار از صرافی آپ‌بیت سرقت شد؟
گروه لازاروس به سرقت ۳۰.۶ میلیون دلار از صرافی آپ‌بیت کره جنوبی متهم شده است.
چه دارایی‌هایی هدف حمله قرار گرفتند؟
شرکت دونامو اعلام کرد دارایی‌های مرتبط با سولانا به ارزش حدود ۴۴.۵ میلیارد وون مورد نفوذ قرار گرفته است.
آیا زیان کاربران جبران می‌شود؟
بله، مقامات کره جنوبی اعلام کردند تمام زیان کاربران از ذخایر داخلی صرافی جبران خواهد شد و تراکنش‌ها موقتاً متوقف شده‌اند.
این حمله چه شباهتی با سال ۲۰۱۹ دارد؟
کارشناسان می‌گویند نوع نفوذ، مسیر خروج دارایی‌ها و سرعت انتقال، شباهت زیادی با حمله ۲۰۱۹ دارد و از همان ساختارهای فنی استفاده شده است.
جمع‌بندی
اتهام سرقت ۳۰.۶ میلیون دلاری از آپ‌بیت، گروه لازاروس کره شمالی را بار دیگر در مرکز توجه قرار داده است. نفوذ به دارایی‌های سولانا، جبران زیان از ذخایر صرافی، توقف موقت تراکنش‌ها و شباهت روش حمله به سال ۲۰۱۹، ابعاد اصلی ماجرا هستند. پراکندگی وجوه در شبکه‌های مختلف و هشدار درباره تأمین مالی برنامه‌های هسته‌ای، نشان می‌دهد که این پرونده ترکیبی از امنیت سایبری، مالی و دیپلماسی است.