مجموعة لازاروس المرتبطة بكوريا الشمالية تغسل 1.95 مليون دولار من العملات المشفرة بعد سرقة سولانا
هزت عملية سرقة خفية للعملات المشفرة تعود إلى مجموعة Lazarus Group في كوريا الشمالية نظامي Solana وEthereum، بعد أن قام قراصنة بسرقة أصول رقمية بقيمة 3.2 مليون دولار ونقل الأموال من خلال واحدة من أكثر أدوات الخصوصية المثيرة للجدل في مجال العملات المشفرة - Tornado Cash.
نقل الأموال من سولانا إلى إيثريوم في هجوم منسق
في 16 مايو 2025، تم استنزاف محافظ شبكة Solana في خرق مستهدف.
أشار محللو Blockchain إلى التدفق الخارجي الأولي من عنوان Solana الذي تم تحديده باسم "C4WY…e525".
ولم يتأخر المهاجمون، ففي غضون ساعات، قاموا بربط الأصول المسروقة بشبكة إيثريوم، وهي شبكة معروفة بسيولتها ومجموعة أدواتها الواسعة لمبادلات الأصول.
وفقًا للمحقق ZachXBT الموجود على السلسلة، فإن هذه المناورة تحمل تشابهًا مذهلاً مع الاستغلالات السابقة المرتبطة بـ Lazarus.
مصدر: تحقيقات بواسطة ZachXBT
تم تبادل الأموال المسروقة ونقلها بسرعة من خلال جسر عبر سلسلة، مما أدى إلى إزالة آثار واضحة للأصل.
أموال الإعصار تُستخدم لإخفاء مسار بقيمة 1.95 مليون دولار
بمجرد وصولهم إلى Ethereum، بدأ المهاجمون عملية غسيل أموال مألوفة.
في يومي 25 و27 يونيو، تم إيداع مبلغين منفصلين بقيمة 400 ETH - بإجمالي حوالي 1.6 مليون دولار - في Tornado Cash.
تتوافق هذه المعاملات مع الطريقة النموذجية التي يتبعها لازاروس: تقسيم المبالغ الكبيرة إلى أجزاء، ونقلها عبر خلاطات الخصوصية، وتوزيعها عبر البورصات اللامركزية.
وقد أشار ZachXBT، الذي يتتبع منذ فترة طويلة عمليات استغلال التشفير عالية المستوى، إلى النمط في وقت مبكر.
وأشار إلى أوجه تشابه واضحة بين نمط المعاملات والاختراقات السابقة المرتبطة بمجموعة لازاروس، مستشهدًا بكيفية ربط الأموال وتقسيمها إلى مبالغ أصغر وتوجيهها عبر تورنادو كاش - وهي الأساليب التي استخدمتها المجموعة عدة مرات في الماضي.
على الرغم من العقوبات المفروضة على Tornado Cash منذ عام 2022، إلا أن عقودها الذكية لا تزال نشطة على Ethereum.
وقد أدى قرار محكمة الاستئناف الأمريكية في يناير/كانون الثاني 2025 بإلغاء العقوبات ــ مستشهدة بحماية حرية التعبير ــ إلى جعل عملية التنفيذ أكثر غموضا.
الأموال غير المنقولة لا تزال محفوظة على الإيثريوم
لا يزال هناك ما يقرب من 1.25 مليون دولار من الأموال المسروقة غير منفقة في محفظة على Ethereum تحمل علامة "0xa5…d528".
يتم الاحتفاظ بالرصيد في ETH وDAI، مما أثار تكهنات من قبل المحللين.
ويعتقد البعض أن الأموال تُركت خاملة عمداً لتجنب اكتشافها؛ ويشير آخرون إلى أنه من الممكن إعادة تنشيطها من خلال طبقات غسيل جديدة.
ومن المرجح أن تستمر السلطات وأدوات مراقبة blockchain في مراقبة العنوان، على الرغم من أن قدرة Tornado Cash على محو سجل المعاملات من شأنها أن تعقد الجهود المستقبلية.
مجرم متكرر في أكبر عمليات سرقة العملات المشفرة
ارتبطت مجموعة لازاروس منذ فترة طويلة بجرائم إلكترونية عالية المخاطر.
من استغلال جسر Horizon بقيمة 100 مليون دولار في عام 2022 إلى خرق Bybit الذي تم الإبلاغ عنه بقيمة 1.5 مليار دولار في وقت سابق من هذا العام، تظهر بصماتهم في بعض من أبرز سرقات العملات المشفرة.
تظل تكتيكاتهم دون تغيير إلى حد كبير: اختراق المحافظ أو العقود الذكية من خلال التصيد الاحتيالي أو الاستغلال، وسحب الأموال بسرعة، ونقل الأموال عبر سلاسل الكتل، ثم تنظيفها باستخدام الخلاطات والبورصات غير المرتبطة بمعرفة العميل.
وأشار الباحثون إلى أن مجموعة Lazarus تميل إلى تجنب البورصات المركزية، حيث يمكن لفرق الامتثال تجميد المحافظ المشبوهة.
وبدلاً من ذلك، تفضل المجموعة المنصات اللامركزية والجسور عبر السلسلة، والتي تسمح للأموال بالتحرك بحرية دون التحقق من الهوية - مما يجعل التحقيقات أكثر صعوبة بشكل كبير.
هل البنية التحتية للعملات المشفرة جاهزة للتهديدات المدعومة من الدول القومية؟
لقد أثبت الاعتماد المتزايد على أدوات السلسلة المتقاطعة والجسور الآلية وبروتوكولات الخصوصية غير المنظمة أنه طريق هروب فعال لمجموعات القرصنة الممولة جيدًا.
عندما يتم استغلال نفس الثغرات الأمنية مرارا وتكرارا - على الرغم من العقوبات والتدقيق والدفاعات المحسنة - فإن هذا يثير سؤالا أساسيا: هل أنظمة التشفير الحالية مرنة بما يكفي للتعامل مع التهديدات المدعومة من قبل أنظمة بأكملها؟
مع استمرار عمل الخلاطات على الإنترنت وعمليات التبادل عبر السلسلة التي تُركت دون حماية إلى حد كبير، فإن Lazarus لا تكشف عن ثغرات في البنية التحتية فحسب - بل إنها تستغل نظامًا لم يتم بناؤه أبدًا للحرب السيبرانية على نطاق وطني.