O Roubo de $50 Milhões da Radiant Capital foi Atribuído aos Hackers Norte-Coreanos

Em uma revelação assustadora, o Projeto de Finanças Descentralizadas (DeFi) Radiant Capital confirmou que hackers norte-coreanos orquestraram um roubo de $50 milhões em um sofisticado ataque em outubro. A violação explorou malware, protocolos multiassinatura e um astuto estratagema de engenharia social para desviar fundos dos principais mercados, deixando a plataforma e seus usuários cambaleando.

Como o Ataque Se Desenrolou

O assalto começou com um esquema de phishing direcionado em setembro, de acordo com o relatório post-mortem da Radiant. Um desenvolvedor recebeu uma mensagem do Telegram de uma conta que se passava por um ex-contratado de confiança. A mensagem continha um arquivo PDF compactado, supostamente relacionado a uma oportunidade de auditoria de contrato inteligente. A solicitação aparentemente rotineira levou a consequências devastadoras.

Quando o desenvolvedor compartilhou o arquivo para feedback, vários dispositivos foram infectados com Inletdrift , um malware backdoor. O programa malicioso permitiu que os invasores monitorassem e manipulassem os sistemas dos desenvolvedores, preparando o cenário para a violação de 16 de outubro. Ao infectar três desenvolvedores principais, os hackers obtiveram acesso à carteira multiassinatura da Radiant durante um processo de ajuste de emissões de rotina.

Uma Operação Enganosa

Os invasores executaram transações fraudulentas sem levantar bandeiras vermelhas, graças a um truque subversivo que enganou o sistema de verificação Safe{Wallet} da Radiant. A interface da carteira exibia dados legítimos de transações para os desenvolvedores, mascarando as atividades maliciosas que ocorriam em segundo plano.

A Radiant divulgou que os fundos roubados foram retirados de contas de usuários por meio de aprovações abertas. Em uma declaração, a empresa explicou:

“The front-end interfaces displayed benign transaction data while malicious transactions were signed in the background. Traditional checks and simulations showed no obvious discrepancies, making the threat virtually invisible during normal review stages.”

Os hackers implantaram contratos inteligentes maliciosos em várias redes de blockchain, incluindo Arbitrum , Base , Binance Smart Chain e Ethereum . Assim que o assalto foi concluído, eles rapidamente removeram os rastros do malware e extensões de navegador relacionadas para cobrir seus rastros.

A Atribuição aos Hackers Norte-Coreanos

A empresa de segurança cibernética Mandiant , que investigou a violação, atribuiu o ataque a um ator de ameaça apoiado pelo estado norte-coreano conhecido como UNC4736 . O grupo, também conhecido como AppleJeus ou Citrine Sleet , opera sob o Reconnaissance General Bureau (RGB) de Pyongyang, uma agência de inteligência estrangeira. A Mandiant declarou:

“Although the investigation is ongoing, Mandiant assesses with high confidence that this attack is attributable to a Democratic People’s Republic of Korea (DPRK)-nexus threat actor.”

O UNC4736 tem um histórico de mirar em plataformas de criptomoedas para financiar o regime da Coreia do Norte e escapar de sanções internacionais. O grupo é famoso por usar ofertas de emprego falsas e documentos maliciosos para se infiltrar em organizações, uma tática espelhada no ataque à Radiant Capital.

As Consequências e as Lições Aprendidas

O assalto foi um golpe severo para a Radiant Capital, drenando sua liquidez e prejudicando a confiança dos usuários. Embora o projeto tenha reforçado seus protocolos de segurança, o incidente destaca as vulnerabilidades inerentes às plataformas DeFi.

Os principais aprendizados para usuários e desenvolvedores incluem:

1. Cuidado com a engenharia social: Sempre verifique mensagens inesperadas, especialmente aquelas envolvendo ofertas de emprego ou downloads de arquivos.
2. Fortalecer processos de múltiplas assinaturas: Fortalecer os mecanismos de revisão de transações de múltiplas assinaturas para detectar possíveis anomalias.
3. Invista na detecção de malware: Use ferramentas avançadas de detecção de ameaças para identificar malware de backdoor e outras ameaças sofisticadas.

O assalto à Radiant Capital é um lembrete gritante da crescente sofisticação dos cibercriminosos, particularmente grupos patrocinados pelo estado como a UNC4736 da Coreia do Norte. À medida que o ecossistema DeFi continua a crescer, também cresce seu fascínio por agentes de ameaças que buscam pagamentos de alto risco. Fortalecer as defesas e promover a vigilância entre desenvolvedores e usuários será fundamental na batalha contínua para garantir finanças descentralizadas.