Hàn Quốc điều tra vụ hack Upbit, nghi do nhóm Lazarus của Triều Tiên

Phát hiện giao dịch bất thường và thiệt hại hơn 44 tỷ won

Ngày 28/11, Upbit thông báo đã phát hiện các hoạt động rút tiền bất thường liên quan đến một số tài sản trên hệ Solana. Sàn ngay lập tức tạm ngừng dịch vụ nạp/rút và tiến hành kiểm tra nội bộ.

Ban đầu, Upbit ước tính thiệt hại khoảng 54 tỷ won (36,8 triệu USD), nhưng sau đó điều chỉnh lại xuống còn 44,5 tỷ won (30,4 triệu USD) sau khi rà soát kỹ hơn.

Việc tạm dừng giao dịch on-chain và triển khai quy trình giám sát khẩn cấp cho thấy mức độ nghiêm trọng của sự cố đối với hệ thống bảo mật của sàn.

Dấu vết tấn công giống vụ hack năm 2019 của Lazarus

Theo hãng tin Yonhap, nhiều nguồn tin trong chính phủ và ngành công nghiệp cho biết phương thức tấn công lần này giống với vụ hack năm 2019, khi hacker đánh cắp 342.000 ETH từ Upbit. Cảnh sát Hàn Quốc sau đó đã kết luận rõ ràng rằng Lazarus – nhóm hacker bị cáo buộc liên quan Triều Tiên là thủ phạm.

Các yếu tố gợi nghi bao gồm:

Phương thức tấn công tương đồng (không tấn công máy chủ mà nhắm vào tài khoản quản trị).
Mô hình di chuyển tài sản sau hack quen thuộc, như hoán đổi token và chuyển mạng nhanh chóng.
Dấu hiệu xâm nhập thông qua việc giả mạo hoặc chiếm quyền tài khoản quản trị viên để hợp thức hóa các giao dịch rút tiền.

Một quan chức chính phủ cho biết hacker không nhất thiết phải đột nhập máy chủ mà có thể đã đánh cắp hoặc giả mạo quyền admin, cho phép họ tự ý phê duyệt giao dịch.

Dữ liệu on-chain: Hacker hoán đổi SOL sang USDC và chuyển sang Ethereum

Theo nền tảng phân tích blockchain Dethective, ví được cho là liên quan đến vụ tấn công đã:

Hoán đổi lượng lớn Solana sang USDC
Sau đó bridge tài sản sang Ethereum

Mô hình di chuyển này trùng khớp với cách Lazarus thường sử dụng nhằm làm mờ dấu vết và chia nhỏ tài sản qua nhiều mạng khác nhau trước khi rửa tiền.

Chính phủ chuẩn bị kiểm tra trực tiếp tại Upbit

Nguồn tin của Yonhap cho biết nhà chức trách Hàn Quốc đang chuẩn bị kiểm tra tại chỗ (on-site inspection) đối với hệ thống bảo mật Upbit. Đây là bước thường được áp dụng khi các cơ quan điều tra tin rằng vụ tấn công có liên quan đến các nhóm hacker chuyên nghiệp hoặc có yếu tố quốc gia đứng sau.

Cuộc kiểm tra sẽ tập trung vào:

Quy trình quản lý tài khoản quản trị,
Hệ thống giám sát rút tiền bất thường,
Cơ chế phản ứng khẩn cấp của Upbit,
Và mức độ truy vết được trong sự cố lần này.

Vụ hack xảy ra ngay sau khi Naver Financial xác nhận sáp nhập Dunamu

Sự cố bảo mật diễn ra đúng một ngày sau khi Naver Financial xác nhận sẽ sáp nhập Dunamu - công ty vận hành Upbit, trở thành công ty con sở hữu 100%.

Naver cho biết thương vụ này nhằm đảm bảo động lực tăng trưởng tương lai dựa trên tài sản số, đồng thời củng cố vị thế của họ trong lĩnh vực công nghệ tài chính.

Thời điểm nhạy cảm của vụ hack đặt ra câu hỏi liệu các hệ thống đang trong giai đoạn chuyển giao tổ chức có bị kẻ xấu lợi dụng hay không.

Kết luận

Mặc dù có nhiều dấu hiệu liên quan đến nhóm Lazarus, nhà chức trách Hàn Quốc cho biết việc điều tra vẫn đang diễn ra và chưa đưa ra kết luận cuối cùng. Tuy nhiên, cách thức tấn công, lịch sử các vụ hack trước đây và dữ liệu on-chain khiến Lazarus trở thành nhóm bị nghi ngờ hàng đầu.

Vụ việc một lần nữa nhấn mạnh mức độ rủi ro mà các sàn giao dịch tài sản số phải đối mặt và tầm quan trọng của hệ thống bảo mật, đặc biệt trong bối cảnh ngành crypto ngày càng trở thành mục tiêu của các nhóm hacker tinh vi.

Đọc thêm: