Die USA beschlagnahmen 2,7 Millionen Dollar aus Lazarus-Hacks, die über Tornado Cash und andere Mixer verfolgt wurden

Zwei kürzlich vom U.S. Attorney für den District of Columbia eingereichte Einziehungsmaßnahmen haben neue Details darüber aufgedeckt, wie nordkoreanische Krypto-Hacker ihre Gelder waschen, während die US-Regierung versucht, Kryptowährungen im Wert von etwa 2,67 Millionen US-Dollar zu beschlagnahmen, die bei zwei großen Hacks gestohlen wurden. 

Die Einziehungsbeschwerden, die erstmals am Freitag eingereicht wurden, zielen darauf ab, etwa 1,7 Millionen US-Dollar in Tether (USDT) zurückzugewinnen, die durch den Tornado Cash Mixer aus dem 28-Millionen-Dollar-Hack der nordkoreanisch verbundenen Lazarus-Gruppe auf die Krypto-Optionsbörse Deribit im November 2022 zurückverfolgt wurden, sowie etwa 15,5 Avalanche-überbrückte Bitcoin (BTC.b) im Wert von etwa 971.000 US-Dollar zu aktuellen Preisen aus dem 41-Millionen-Dollar-Hack der Gruppe auf das Online-Krypto-Casino Stake.com. 

Von Deribit zu Tornado

Die erste der beiden Einreichungen betrifft die Methoden der Lazarus-Gruppe zur Geldwäsche aus dem Deribit-Hack durch den Krypto-Mixer Tornado Cash, den Dienst im Mittelpunkt eines bevorstehenden Geldwäscheprozesses, der von Krypto-Befürwortern genau beobachtet wird. Die Strafverfolgungsbehörden konnten einige der 28 Millionen US-Dollar an Geldern zurückverfolgen, die aus dem Diebstahl gewaschen wurden, der stattfand, nachdem nordkoreanische Hacker Zugang zum Hot-Wallet-Server von Deribit erlangt hatten, die Vermögenswerte in Ethereum umtauschten und sie durch Tornado Cash schickten, um schließlich als Tether-Stablecoins auf der Tron-Blockchain zu landen, wie in einem Diagramm aus der Einreichung gezeigt. 

Die Strafverfolgungsbehörden verfolgten die Gelder durch Tornado, indem sie Ähnlichkeiten zwischen bestimmten Ethereum-Wallets feststellten. Die Wallets erhielten ähnlich zeitlich abgestimmte Überweisungen (innerhalb von Minuten voneinander), nutzten ähnliche Cross-Chain-Brücken, erhielten Finanzierung für Transaktionsgebühren von derselben Adresse und hielten Gelder, die schließlich in denselben Konsolidierungsadressen landeten. 

Die Hacker versuchten, die Ethereum-Vermögenswerte in drei Wellen in USDT umzuwandeln, da die ersten beiden Versuche, die Gelder zu waschen, gestoppt wurden, als die Strafverfolgungsbehörden einige der fraglichen Gelder einfrieren ließen. Beim dritten Versuch gelang es den Hackern, den Rest der Gelder erfolgreich zu waschen, wobei etwa 1,7 Millionen US-Dollar in USDT aus fünf relevanten Wallets eingefroren wurden. 

Von Stake.com zu Sinbad, Yonmix

Die zweite Einreichung betrifft den 41-Millionen-Dollar-Hack der Lazarus-Gruppe auf das Online-Casino Stake.com und ihren Versuch, die Gelder in drei Phasen zu waschen: die Umwandlung der Gelder in BTC über die Bitcoin-Brücke von Avalanche, das Verschieben der gestohlenen BTC durch die Bitcoin-Mixer Sinbad und Yonmix und schließlich die Umwandlung der Bitcoin in Stablecoins wie USDT. Die relevanten Gelder wurden während der ersten und dritten Phase eingefroren, wahrscheinlich durch Anfragen zum Einfrieren von Vermögenswerten an die Avalanche Bridge. 

Während der ersten Phase fror die Strafverfolgung Vermögenswerte aus sieben Transaktionen ein, die im Allgemeinen die Umwandlung gestohlener Vermögenswerte in native Token wie Polygons MATIC-Token und Binance Smart Chains BNB-Token und dann die Überbrückung dieses Wertes zu Bitcoin über die Avalanche Bridge beinhalteten. Trotz des Eingreifens der Regierung "konnten die Nordkoreaner den Großteil der gestohlenen Gelder auf die BTC-Blockchain übertragen", heißt es in der Einreichung. 

Sobald sie auf Bitcoin waren, nutzten die Hacker die Mixer Sinbad und Yonmix, die einen ähnlichen Dienst wie Tornado Cash auf Ethereum bieten, um die Bewegung der gestohlenen Gelder weiter zu verschleiern. "Die Strafverfolgungsbehörden verfolgten den Fluss der gestohlenen Gelder durch beide Mischdienste bis zur nächsten Stufe des Geldwäscheprozesses der nordkoreanischen Hacker", heißt es in der Einreichung, obwohl die Konsolidierungs-Wallet identifiziert wurde, konnten die Beamten nur zusätzliche 0,099 BTC, im Wert von etwa 6.270 US-Dollar zu aktuellen Preisen, wiederherstellen. 

Obwohl die Strafverfolgungsbehörden ihre Fähigkeit zur Rückverfolgung und Beschlagnahme illegaler Kryptowährungen verbessert haben, bleibt die Lazarus-Gruppe aktiv, wobei die Gruppe kürzlich für den 230-Millionen-Dollar-Exploit unter anderen Angriffen .