من بينانس إلى بايبيت: شبكة الهاكر الكورية الشمالية وراء TraderTraitor

من سرقة بينانس البالغة 6.3 مليار دولار إلى عمليات السطو الكبرى في صناعة العملات المشفرة مثل بيتباي ورونين، بدأت مجموعة القراصنة الكورية الشمالية TraderTraitor تظهر تدريجياً إلى العلن. كيف استخدمت هذه الشبكة القراصنة، التي صنفتها الحكومة الأمريكية، التوظيف المزيف وهجمات سلسلة التوريد واختطاف التوقيعات لتحقيق مكاسب تقارب 10 مليارات دولار من الأصول المشفرة؟

المؤلف: BlockBeats

في 1 نوفمبر، أصدر مكتب التحقيقات الفيدرالي الأمريكي إشعارًا نسب فيه مبلغ 6.3 مليار دولار المسروق من Binance في 29 أكتوبر إلى كوريا الشمالية. استخدم الإشعار مصطلحًا واحدًا: TraderTraitor.

إذا بحثت عن هذا الاسم، ستجد أن 1.5 مليار دولار الخاصة بـ Bybit، و300 مليون دولار الخاصة بـ Bitget، والعديد من قضايا العملات المشفرة الكبرى في السنوات السابقة، كلها مرتبطة بهذا الاسم.

TraderTraitor ليس شركة، ولا مربعًا في مخطط تنظيمي. إنه اسم رمزي أطلقته الحكومة الأمريكية على فئة من السلوكيات.

في أبريل 2022، أصدر مكتب التحقيقات الفيدرالي ووكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ووزارة الخزانة الأمريكية إشعارًا مشتركًا يحمل الرقم AA22-108A. كان ذلك أول ظهور رسمي للمصطلح. في ذلك الوقت، كان يشير إلى عدة أحصنة طروادة متنكرة في هيئة برامج تداول عملات مشفرة، مثل DAFOM وTokenAIS وCryptAIS، كانت واجهاتها مقنعة وتبدأ في سرقة المفاتيح الخاصة بمجرد تثبيتها.

لطالما أطلق العاملون في الصناعة على الأشخاص الذين يقفون وراء ذلك أسماء Lazarus Group وAPT38 وBlueNoroff وStardust Chollima. هذه ليست أربعة فرق منفصلة. Lazarus هو الاسم الجامع؛ وAPT38 (Mandiant) وBlueNoroff (Kaspersky) وStardust Chollima (CrowdStrike) هي ثلاثة أسماء أطلقتها شركات أمنية مختلفة على خط الكسب نفسه.

بعد عامين، أُلصق التصنيف على سلوكيات محددة. في 23 ديسمبر 2024، أصدر مكتب التحقيقات الفيدرالي ومركز الجرائم السيبرانية بوزارة الدفاع الأمريكية والوكالة الوطنية للشرطة اليابانية بيانًا مشتركًا لنسب سرقة 300 مليون دولار في قضية DMM، مستخدمين لأول مرة عبارة "جهات فاعلة سيبرانية كورية شمالية متتبعة باسم TraderTraitor" وذكروا أسماءها البديلة الثلاثة: Jade Sleet (اسم Microsoft) وUNC4899 (اسم Google) وSlow Pisces (اسم Palo Alto).

المعلومات الآن واضحة نسبيًا: TraderTraitor هي الوحدة داخل مجموعة Lazarus الأكبر المتخصصة في الأصول المشفرة وهي حاليًا الأكثر ربحية. على الأقل منذ عام 2020، ركزت حصريًا على البلوكتشين—منصات التداول، وDeFi، ومزودي خدمات المحافظ، وصناديق العملات المشفرة، والأفراد الذين يحتفظون بكميات كبيرة من العملات.

من سرقة البنوك إلى سرقة منصات التداول

Lazarus هو اسم جامع يغطي كل شيء، من محو محركات الأقراص الصلبة لشركة Sony Pictures في عام 2014 إلى تحويل الأموال من بنك بنغلاديش في عام 2016.

خذ قضية بنك بنغلاديش. الوحدة التي نفذتها كانت تسمى آنذاك APT38، المعروفة أيضًا باسم BlueNoroff. في فبراير 2016، زوروا تعليمات SWIFT (نظام المراسلة الدولي المستخدم للتحويلات بين البنوك) وحاولوا تحويل مليار دولار من حساب بنك بنغلاديش لدى بنك الاحتياطي الفيدرالي في نيويورك. حصلوا في النهاية على 81 مليون دولار، لأن خطأً إملائيًا في إحدى التحويلات جعل بنكًا وسيطًا يوقفه.

الحرفة المتمثلة في دراسة إجراءات تشغيل البنوك، والعثور على ثغرات في المراجعة اليدوية، وتزوير التعليمات، نُقلت لاحقًا دون تغيير إلى منصات تداول العملات المشفرة.في حوالي عام 2020. بدأوا في تطوير أساليبهم، مستهدفين عالم العملات المشفرة. السبب سهل التخمين: هناك أموال ولا تنظيم، والسيولة جيدة.

هناك عدة طرق للهجوم.

الأولى هي التوظيف الوهمي. يتواصل معك صائد رؤوس أموال على LinkedIn، ويجري محادثة لطيفة، ثم يرسل في النهاية "اختبار برمجة قبل التوظيف" أو مثبّتًا لـ"أداة داخلية". بمجرد التثبيت، يصبح الجهاز ملكًا لهم. خُسر 620 مليون دولار من Ronin بهذه الطريقة.

الثانية هي سلسلة التوريد. بدلًا من خداع الناس، يتحولون إلى تلويث سلاسل أدوات المطورين: مستودعات خبيثة على GitHub، حزم مسمومة على npm، مزودو خدمات الهوية مثل JumpCloud. يُخترق شخص واحد، وتُخترق سلسلة من الشركات الناشئة في المصب كذلك.

الثالثة هي تعديل المعاملات مباشرة. في قضية DMM اليابانية، سرقوا بيانات اعتماد تسجيل الدخول للطرف الآخر، وتسللوا إلى الاتصالات الداخلية لشركة المحافظ Ginco، ثم عدّلوا تحويلًا كان يجب أن يكون طبيعيًا. في قضية Bybit، اخترقوا جهاز كمبيوتر مطور في Safe{Wallet} وأدرجوا نصًا برمجيًا في الواجهة الأمامية للويب؛ لا يزال الموقّعون يرون صفحة طبيعية، لكن ما وقعوه كان معاملة أخرى.

يشمل هذا أيضًا قضية Binance هذه المرة.

أعدّ المهاجمون قبل 36 ساعة، ووقّعوا 50 تفويض EIP-7702—وهي ميزة جديدة في إيثريوم تسمح للمحفظة "باستئجار" برنامج مؤقتًا للاستخدام—ثم جعلوا محفظة Binance الساخنة تحوّل الأموال بنفسها؛ 40 دقيقة، عبر 10 شبكات. استنتاج إحدى شركات الأمن هو أنهم على الأرجح وصلوا بالفعل إلى نظام التوقيع لدى Binance.

المبلغ المتورط في قضايا هذه المنظمة

أشهر اثنتي عشرة قضية: 9.7 مليار دولار.

Binance وحدها تمثل 6.3 مليار دولار. القضايا الإحدى عشرة المتبقية، من 2022 إلى 2026، مجموعها 3.44 مليار دولار.

1.5 مليار دولار من Bybit كانت الواجهة الأمامية المعدلة؛ 620 مليون دولار من Ronin كانت عملية احتيال التوظيف؛ 388 مليون دولار من Bitget كانت تعليمات سحب مزورة كُتبت في نظام المحفظة.

DMM 308 ملايين دولار، WazirX 235 مليون دولار، Harmony وAtomic 100 مليون دولار لكل منهما، Alphapo 60 مليون دولار، CoinEx 55 مليون دولار، Stake 41 مليون دولار، CoinsPaid 37 مليون دولار.

في المخطط، فقط قضايا Binance وBybit وDMM سُميت مباشرة من الحكومة الأمريكية باسم TraderTraitor. Ronin وHarmony وStake وAlphapo وCoinsPaid وAtomic نسبتهم FBI إلى Lazarus/APT38؛ WazirX سُميت في بيان مشترك من الولايات المتحدة واليابان وكوريا الجنوبية في يناير 2025؛ CoinEx استُنتجت فقط من قبل شركات تحليل على السلسلة. قضية Bitget تشتبه فيها شركات متعددة بأنها مرتبطة بـTraderTraitor، لكن لا أحد نسبها رسميًا.

وفقًا لإحصاءات TRM، نفذت كوريا الشمالية 100 قضية منذ 2017، بإجمالي حوالي 12.8 مليار دولار؛ 7.4 مليار دولار حتى الآن هذا العام؛ 85% من إجمالي سرقات الأصول المشفرة العالمية في 2026 تُنسب إلى كوريا الشمالية. يغطي هذا الجدول اثنتي عشرة منها فقط.الأشخاص الذين يمكن مطابقة وجوههم

هناك أكثر من قراصنة كوريين شماليين حددت الولايات المتحدة أسماءهم وصدرت أيضاً صورهم. بارك جين هيوك، وجون تشانغ هيوك، وكيم إيل كانوا جميعاً في لائحة الاتهام في فبراير 2021؛ وفي 2024، أُضيف ريم جونغ هيوك، مع مكافأة قدرها 10 ملايين دولار.

بارك جين هيوك (Park Jin Hyok)، مطلوب من قبل مكتب التحقيقات الفيدرالي

كان بارك جين هيوك من أوائل من وجهت إليهم لوائح الاتهام: في يونيو 2018، رفعت وزارة العدل الأمريكية اتهامات جنائية ضده، وتم رفع السرية عن لائحة الاتهام في سبتمبر من العام نفسه. وقالت لائحة الاتهام إن المؤامرة التي شارك فيها شملت هجوم سوني بيكتشرز عام 2014، وهجوم WannaCry عام 2017، و81 مليون دولار تم تحويلها من بنك بنغلاديش في عام 2016. لا يزال هارباً ولم يمثل أمام المحكمة قط.

تتبع سرقة بينانس

غطت بينانس حوالي 90% بأموال الشركة، وصندوق SAFU، وصندوق تأمين العقود الآجلة؛ أما الـ10% المتبقية فهي رموز غير سائلة؛ وتتحمل الشركة كامل الخسارة، وليس المستخدمون.

حتى 1 نوفمبر، تم تجميد حوالي 2.7 مليار دولار، أي حوالي 42%، من قبل مصدري العملات المستقرة ومجلس أمن Arbitrum. لا يزال المهاجمون يحتفظون بـ420,000 ETH و18,270 BTC، أي حوالي 2.4 مليار دولار.

مسار غسيل الأموال لا يزال الممارسة المعتادة: جسور عبر السلاسل لتبديل السلاسل، وخدمات مثل THORChain لتبديل العملات، وخلاطات لخلط وتشتيت عملات العديد من الأشخاص معاً، وأخيراً التداول خارج البورصة.

حدثت بعض العقبات هذه المرة. قامت THORChain مؤخراً بتأخير غسيل الأموال المسروقة في هجوم بينانس عن طريق الخطأ بسبب إعادة تنظيم سلسلة إيثريوم. تسببت إعادة تنظيم السلسلة هذه في قيام THORChain بإصدار مبالغ مستردة مكررة عن طريق الخطأ لمستخدم أودع 10 ETH، مما أدى بدوره إلى إيقاف طارئ للبروتوكول، مما منع مؤقتاً جميع المستخدمين من إجراء مبادلات عبر السلاسل، بما في ذلك غاسلو الأموال التابعون لمجموعة القراصنة الكوريين الشماليين.

في المرة الماضية، مرت الأموال المسروقة من Bitget عبر THORChain، ولم تقم THORChain بتجميدها على الإطلاق، قائلة إن اللامركزية تعني أنهم لا يستطيعون التجميد—لكن هذا ليس ما قالوه عندما تعرضوا للاختراق هم أنفسهم في المرة الماضية. عندما تستأنف THORChain خدمتها، إذا كانت الأموال المسروقة من سرقة بينانس هذه المرة لا تزال تمر عبر THORChain، فمن غير الواضح ما العذر الذي سيتذرعون به لخداع الناس.