朝鲜臭名昭著的黑客组织Lazarus Group正在升级其针对加密货币领域的网络攻击行动，近期将目标转向了开发人员。
安全研究人员在过去几个月中发现，该组织通过破坏恶意NPM软件包来窃取凭据、剥削加密货币钱包数据，并在开发环境中创建持久后门。这标志着他们在网络战中的策略升级，而此前他们已经因多起大规模加密货币盗窃事件而闻名。
根据插座研究团队的报告，Lazarus Group的一个分支已渗透到NPM存储库——这是JavaScript开发人员最常用的软件包管理工具之一。
黑客利用“错别字抢注”技术发布了多个流行NPM软件包的恶意版本，诱使不知情的开发人员下载这些程序。受影响的软件包包括IS-BUFFER-VALIDATOR、YOOJAE-VALIDATOR、EVENT HANDLE-PACKAGE、ARRAY-EXTEMPTY-VALIDATOR、REACT-EVENT依赖项和auth-validator。
一旦执行，这些被篡改的软件包会安装名为Beavertail的恶意软件。这种高级工具可以窃取登录凭据、通过浏览器文件查找保存的密码，并从Solana和Exodus等加密货币钱包中提取敏感信息。
安全研究人员指出，被盗数据会被发送到硬编码的命令与控制服务器（C2），这是Lazarus Group惯用的操作手法，用于将机密数据传递给其成员。
SCOEDT SECUCICY的威胁情报分析师Kirill Boychenko表示：“其目的是窃取并传输被攻陷的数据，而在开发人员构建财务和区块链应用程序的世界中，这种威胁尤为严重。”
Lazarus Group对Bybit发起攻击，窃取近14.6亿美元资产
除了供应链攻击外，Lazarus Group还被怀疑参与了历史上最大的加密货币盗窃案之一。据信，这一事件发生在2025年2月21日，当时与该组织相关的黑客入侵了全球最大的加密货币交易所之一Bybit，导致约14.6亿美元的加密资产被盗。
此次攻击极为复杂，据称是通过Bybit技术合作伙伴{Wallet}的一名员工设备发起的。黑客利用了Bybit以太坊钱包基础设施中的漏洞，并修改了智能合约逻辑，将资金重定向至自己的钱包。
尽管Bybit迅速采取措施修复了问题，但首席执行官本·周（Ben Zhou）透露，已有20%的被盗资金通过混合服务被清洗，无法追踪。
这次攻击是朝鲜通过窃取和洗钱加密货币逃避国际制裁的广泛努力的一部分。
根据2024年联合国的一份报告，朝鲜网络犯罪分子在过去一年中制造了全球35%的加密货币盗窃案件，累计窃取超过10亿美元的资产。Lazarus Group不仅是一个网络犯罪组织，更被视为地缘政治威胁，因为据报道，被盗资金直接用于支持美国的核武器和弹道导弹计划。
多年来，Lazarus Group的攻击手段不断进化，从直接攻击交易所到供应链攻击，甚至针对开发人员和开源软件存储库。
通过向NPM、PYPI和GitHub等开源平台注入后门，该组织将其潜在攻击范围扩展到更多系统，从而无需直接入侵加密货币交易所即可实现攻击。
安全专家呼吁加强对加密开发人员的保护
鉴于这些风险的增加，网络安全专家正呼吁为开发人员和加密用户提供更严格的安全保护措施。其中一项最佳实践是在安装前验证NPM软件包的真实性，因为“错别字抢注”仍是网络犯罪分子最常用的手段之一。
Socket AI扫描仪能够检测软件依赖项或NPM审计中的异常行为，及时通知用户是否正在使用被篡改的软件包，并允许用户在造成实际损害之前将其从应用程序中移除。
此外，专家建议用户和开发人员主动启用多因素身份验证（MFA），以保护交易所钱包、GitHub等开发人员平台以及其他账户。
如今，网络监控被视为第一道防线，因为被攻陷的系统通常会向外部命令与控制服务器（C2）发送消息，并上传恶意更新。阻止非法出站流量可以减少黑客对被盗数据的访问。
Bybit推出恢复赏金计划，加密安全战升温
在Bybit遭受黑客攻击后，该交易所启动了一项恢复赏金计划，奖励任何帮助找回被盗资产的人。该计划提供高达回收金额10%的奖励。
与此同时，整个加密生态系统正忙于加强安全实践，并提醒开发人员防范类似威胁。
然而，随着Lazarus Group的战术不断升级，网络安全专家警告称，针对加密货币领域的战争才刚刚开始。
密码大都会学院：厌倦了市场波动？了解DEFI如何帮助您建立稳定的被动收入。立即注册
