বাইন্যান্স থেকে বাইবিট: ট্রেডারট্রেইটরের পেছনে উত্তর কোরিয়ার হ্যাকার নেটওয়ার্ক

৬.৩ বিলিয়ন ডলারের বাইন্যান্স চুরি থেকে শুরু করে বাইবিট ও রোনিনের মতো ক্রিপ্টোকারেন্সি শিল্পের বড় বড় হাইস্ট পর্যন্ত, উত্তর কোরিয়ার হ্যাকার গোষ্ঠী ট্রেডারট্রেইটর ধীরে ধীরে আলোচনায় এসেছে। মার্কিন সরকার কর্তৃক চিহ্নিত এই হ্যাকার নেটওয়ার্কটি কীভাবে ভুয়া নিয়োগ, সাপ্লাই চেইন আক্রমণ এবং সিগনেচার হাইজ্যাকিং ব্যবহার করে প্রায় ১০ বিলিয়ন ডলারের ক্রিপ্টো সম্পদ হাতিয়ে নিয়েছে?

লেখক: BlockBeats

১ নভেম্বর, মার্কিন ফেডারেল ব্যুরো অফ ইনভেস্টিগেশন একটি বিজ্ঞপ্তি জারি করে ২৯ অক্টোবর বাইন্যান্স থেকে চুরি হওয়া ৬৩০ কোটি ডলার উত্তর কোরিয়ার সাথে সম্পর্কিত বলে উল্লেখ করে। বিজ্ঞপ্তিতে একটি শব্দ ব্যবহার করা হয়: TraderTraitor।

এই নামটি সার্চ করলে দেখবেন, Bybit-এর ১৫০ কোটি ডলার, Bitget-এর ৩০ কোটি ডলার, এবং পূর্ববর্তী বছরের বেশ কয়েকটি বড় ক্রিপ্টোকারেন্সি মামলা—সবই এই নামের সাথে যুক্ত।

TraderTraitor কোনো কোম্পানি নয়, কোনো সাংগঠনিক চার্টের বক্সও নয়। এটি মার্কিন সরকার কর্তৃক এক ধরনের আচরণকে দেওয়া একটি কোডনেম।

এপ্রিল ২০২২-এ, FBI, মার্কিন সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (CISA), এবং মার্কিন ট্রেজারি ডিপার্টমেন্ট যৌথভাবে AA22-108A নম্বরের একটি বিজ্ঞপ্তি জারি করে। সেটিই ছিল এই শব্দটির প্রথম আনুষ্ঠানিক আবির্ভাব। তখন এটি ক্রিপ্টো ট্রেডিং সফটওয়্যার হিসেবে ছদ্মবেশী কয়েকটি ট্রোজানকে বোঝাত, যেমন DAFOM, TokenAIS, এবং CryptAIS, যাদের ইন্টারফেস বিশ্বাসযোগ্য দেখাত এবং ইনস্টল হওয়ার পরেই প্রাইভেট কী চুরি শুরু করত।

এর পেছনের লোকদের-industry-তে দীর্ঘদিন ধরে Lazarus Group, APT38, BlueNoroff, এবং Stardust Chollima বলা হয়। এগুলো চারটি আলাদা দল নয়। Lazarus হলো ছাতা নাম; APT38 (Mandiant), BlueNoroff (Kaspersky), এবং Stardust Chollima (CrowdStrike) হলো একই অর্থ-উপার্জনকারী লাইনের জন্য বিভিন্ন নিরাপত্তা কোম্পানির দেওয়া তিনটি নাম।

দুই বছর পর, লেবেলটি নির্দিষ্ট আচরণের সাথে যুক্ত হয়। ২৩ ডিসেম্বর, ২০২৪-এ, FBI, মার্কিন ডিপার্টমেন্ট অফ ডিফেন্স সাইবার ক্রাইম সেন্টার, এবং জাপান ন্যাশনাল পুলিশ এজেন্সি যৌথভাবে ৩০ কোটি ডলারের DMM চুরির মামলার অ্যাট্রিবিউশন প্রকাশ করে, প্রথমবারের মতো "North Korean cyber actors tracked as TraderTraitor" বাক্যাংশটি ব্যবহার করে এবং এর তিনটি উপনাম তালিকাভুক্ত করে: Jade Sleet (Microsoft-এর নাম), UNC4899 (Google-এর নাম), এবং Slow Pisces (Palo Alto-এর নাম)।

তথ্য এখন তুলনামূলকভাবে স্পষ্ট: TraderTraitor হলো বৃহত্তর Lazarus গোষ্ঠীর মধ্যে ক্রিপ্টো অ্যাসেটে বিশেষজ্ঞ ইউনিট, এবং বর্তমানে সবচেয়ে লাভজনক। অন্তত ২০২০ সাল থেকে, এটি একচেটিয়াভাবে ব্লকচেইনে মনোযোগ দিয়েছে—ট্রেডিং প্ল্যাটফর্ম, DeFi, ওয়ালেট সার্ভিস প্রোভাইডার, ক্রিপ্টো ফান্ড, এবং বিপুল পরিমাণ কয়েন ধারণকারী ব্যক্তিরা।

ব্যাংক ডাকাতি থেকে ট্রেডিং প্ল্যাটফর্ম ডাকাতি

Lazarus হলো একটি ছাতা নাম যা সবকিছুকে অন্তর্ভুক্ত করে, ২০১৪ সালে Sony Pictures-এর হার্ড ড্রাইভ মুছে ফেলা থেকে ২০১৬ সালে বাংলাদেশ ব্যাংক থেকে অর্থ সরানো পর্যন্ত।

বাংলাদেশ ব্যাংকের মামলাটি ধরুন। এটি যে ইউনিট পরিচালনা করেছিল তখন তাকে APT38 বলা হতো, যা BlueNoroff নামেও পরিচিত। ফেব্রুয়ারি ২০১৬-এ, তারা SWIFT নির্দেশনা (আন্তঃব্যাংক স্থানান্তরের জন্য ব্যবহৃত আন্তর্জাতিক মেসেজিং সিস্টেম) জাল করে এবং নিউ ইয়র্ক ফেডে বাংলাদেশ ব্যাংকের অ্যাকাউন্ট থেকে ১০০ কোটি ডলার স্থানান্তরের চেষ্টা করে। তারা শেষ পর্যন্ত ৮১ মিলিয়ন ডলার পায়, কারণ একটি স্থানান্তরে বানান ভুলের কারণে একটি ইন্টারমিডিয়ারি ব্যাংক তা থামিয়ে দেয়।

ব্যাংকের পরিচালন পদ্ধতি অধ্যয়ন করা, ম্যানুয়াল রিভিউয়ের ফাঁক খুঁজে বের করা, এবং নির্দেশনা জাল করার কৌশল পরে অপরিবর্তিতভাবে ক্রিপ্টোকারেন্সি ট্রেডিং প্ল্যাটফর্মে স্থানান্তরিত হয়।২০২০ সালের দিকে। তারা তাদের পদ্ধতিগুলো উন্নত করতে শুরু করে, ক্রিপ্টো জগতকে লক্ষ্যবস্তু বানিয়ে। কারণ অনুমান করা সহজ: টাকা আছে এবং নিয়ন্ত্রণ নেই, আর তারল্যও বেশ ভালো।

আক্রমণের কয়েকটি পদ্ধতি আছে।

প্রথমটি হলো ভুয়া নিয়োগ। একজন হেডহান্টার লিঙ্কডইনে আপনার সাথে যোগাযোগ করে, আনন্দদায়ক কথোপকথন করে, এবং শেষে একটি "চাকরিপূর্ব প্রোগ্রামিং পরীক্ষা" বা একটি "অভ্যন্তরীণ টুল"-এর ইনস্টলার পাঠায়। একবার ইনস্টল হলে, মেশিনটি তাদের হয়ে যায়। রোনিনের ৬২০ মিলিয়ন ডলার এভাবেই হারিয়ে গিয়েছিল।

দ্বিতীয়টি হলো সাপ্লাই চেইন। মানুষকে প্রতারণা করার বদলে তারা ডেভেলপারদের টুলচেইন দূষিত করার দিকে ঝোঁকে: গিটহাবে ক্ষতিকর রিপোজিটরি, এনপিএমে বিষাক্ত প্যাকেজ, জাম্পক্লাউডের মতো আইডেন্টিটি সার্ভিস প্রোভাইডার। একজন আক্রান্ত হয়, এবং নিচের ধারার একগুচ্ছ কোম্পানিও আক্রান্ত হয়।

তৃতীয়টি হলো সরাসরি লেনদেন পরিবর্তন। জাপানি ডিএমএম কেসে, তারা অপর পক্ষের লগইন ক্রেডেনশিয়াল চুরি করে, ওয়ালেট কোম্পানি জিনকোর অভ্যন্তরীণ যোগাযোগে অনুপ্রবেশ করে, এবং তারপর একটি স্থানান্তর পরিবর্তন করে যা স্বাভাবিক হওয়ার কথা ছিল। বাইবিট কেসে, তারা সেফ{ওয়ালেট}-এর একজন ডেভেলপারের কম্পিউটার হ্যাক করে ওয়েব ফ্রন্ট এন্ডে একটি স্ক্রিপ্ট ঢুকিয়ে দেয়; স্বাক্ষরকারীরা তখনও একটি স্বাভাবিক পৃষ্ঠা দেখেছিলেন, কিন্তু তারা যা স্বাক্ষর করেছিলেন তা ছিল অন্য একটি লেনদেন।

এর মধ্যে এবারের বাইন্যান্স কেসও অন্তর্ভুক্ত।

আক্রমণকারীরা ৩৬ ঘণ্টা আগে প্রস্তুতি নিয়েছিল, ৫০টি EIP-7702 অনুমোদনে স্বাক্ষর করেছিল—এটি ইথেরিয়ামের একটি নতুন বৈশিষ্ট্য যা একটি ওয়ালেটকে সাময়িকভাবে ব্যবহারের জন্য একটি প্রোগ্রাম "ভাড়া" নিতে দেয়—এবং তারপর বাইন্যান্সের হট ওয়ালেটকে নিজেই টাকা বের করতে বাধ্য করেছিল; ৪০ মিনিট, ১০টি নেটওয়ার্ক জুড়ে। একটি নিরাপত্তা প্রতিষ্ঠানের সিদ্ধান্ত হলো তাদের খুব সম্ভবত ইতিমধ্যেই বাইন্যান্সের স্বাক্ষর ব্যবস্থায় পৌঁছে গিয়েছিল।

এই সংগঠনের মামলাগুলোতে জড়িত পরিমাণ

সবচেয়ে বিখ্যাত বারোটি মামলা: ৯.৭ বিলিয়ন ডলার।

শুধু বাইন্যান্সই ৬.৩ বিলিয়ন ডলার। বাকি এগারোটি মামলা, ২০২২ থেকে ২০২৬ পর্যন্ত, মিলিয়ে ৩.৪৪ বিলিয়ন ডলার।

বাইবিটের ১.৫ বিলিয়ন ডলার ছিল পরিবর্তিত ফ্রন্ট এন্ড; রোনিনের ৬২০ মিলিয়ন ডলার ছিল নিয়োগ প্রতারণা; বিটগেটের ৩৮৮ মিলিয়ন ডলার ছিল ওয়ালেট সিস্টেমে লেখা জাল উত্তোলন নির্দেশনা।

ডিএমএম ৩০৮ মিলিয়ন ডলার, ওয়াজিরএক্স ২৩৫ মিলিয়ন ডলার, হারমনি ও অ্যাটমিক প্রতিটি ১০০ মিলিয়ন ডলার, আলফাপো ৬০ মিলিয়ন ডলার, কয়েনএক্স ৫৫ মিলিয়ন ডলার, স্টেক ৪১ মিলিয়ন ডলার, কয়েনসপেইড ৩৭ মিলিয়ন ডলার।

চার্টে, শুধু বাইন্যান্স, বাইবিট এবং ডিএমএম মামলাগুলোকে মার্কিন সরকার সরাসরি ট্রেডারট্রেইটর হিসেবে নামকরণ করেছে। রোনিন, হারমনি, স্টেক, আলফাপো, কয়েনসপেইড এবং অ্যাটমিককে এফবিআই ল্যাজারাস/এপিটি৩৮-এর সাথে সম্পর্কিত করেছে; ওয়াজিরএক্সকে ২০২৫ সালের জানুয়ারিতে মার্কিন যুক্তরাষ্ট্র, জাপান এবং দক্ষিণ কোরিয়ার একটি যৌথ বিবৃতিতে নামকরণ করা হয়েছিল; কয়েনএক্সকে শুধু অন-চেইন বিশ্লেষণ প্রতিষ্ঠানগুলো অনুমান করেছে। বিটগেট মামলাটি একাধিক প্রতিষ্ঠান ট্রেডারট্রেইটরের সাথে সম্পর্কিত বলে সন্দেহ করেছে, কিন্তু কোনোটিই আনুষ্ঠানিকভাবে এটিকে সম্পর্কিত করেনি।

টিআরএম-এর পরিসংখ্যান অনুযায়ী, উত্তর কোরিয়া ২০১৭ সাল থেকে ১০০টি মামলা পরিচালনা করেছে, মোট প্রায় ১২.৮ বিলিয়ন ডলার; এ বছর এখন পর্যন্ত ৭.৪ বিলিয়ন ডলার; ২০২৬ সালে বিশ্বব্যাপী মোট ক্রিপ্টো সম্পদ চুরির ৮৫% উত্তর কোরিয়াকে আরোপিত। এই সারণিতে তাদের মধ্যে শুধু বারোটিকে অন্তর্ভুক্ত করা হয়েছে।যাদের মুখ মিলিয়ে শনাক্ত করা যায়

মার্কিন কর্মকর্তারা যেসব উত্তর কোরীয় হ্যাকারের নাম উল্লেখ করেছেন এবং যাদের ছবিও প্রকাশ করা হয়েছে, তাদের সংখ্যা একাধিক। পার্ক জিন হিউক, জন চ্যাং হিউক এবং কিম ইল—তিনজনই ফেব্রুয়ারি ২০২১-এর অভিযোগপত্রে ছিলেন; ২০২৪ সালে রিম জং হিউককে যুক্ত করা হয়, যার জন্য ১০ মিলিয়ন ডলার পুরস্কার ঘোষণা করা হয়েছে।

পার্ক জিন হিউক (Park Jin Hyok), এফবিআইয়ের ওয়ান্টেড

পার্ক জিন হিউক ছিলেন সবচেয়ে আগে অভিযুক্তদের একজন: জুন ২০১৮ সালে মার্কিন বিচার বিভাগ তার বিরুদ্ধে ফৌজদারি অভিযোগ দায়ের করে, এবং একই বছরের সেপ্টেম্বরে অভিযোগপত্রটি আনসিল করা হয়। অভিযোগপত্রে বলা হয়, তিনি যে ষড়যন্ত্রে অংশ নেন তার মধ্যে রয়েছে ২০১৪ সালের সনি পিকচার্স হামলা, ২০১৭ সালের WannaCry হামলা এবং ২০১৬ সালে বাংলাদেশ ব্যাংক থেকে স্থানান্তরিত ৮১ মিলিয়ন ডলার। তিনি এখনও পলাতক এবং কখনও আদালতে হাজির হননি।

বাইন্যান্স চুরির ট্র্যাকিং

বাইন্যান্স কোম্পানির তহবিল, SAFU ফান্ড এবং ফিউচার্স ইনস্যুরেন্স ফান্ড দিয়ে প্রায় ৯০% কভার করেছে; বাকি ১০% হলো অলিকুইড টোকেন; সম্পূর্ণ ক্ষতি কোম্পানি বহন করছে, ব্যবহারকারীরা নয়।

১ নভেম্বর পর্যন্ত, প্রায় ২.৭ বিলিয়ন ডলার, অর্থাৎ প্রায় ৪২%, স্টেবলকয়েন ইস্যুয়ার এবং আরবিট্রাম সিকিউরিটি কাউন্সিল জব্দ করেছে। হামলাকারীরা এখনও ৪২০,০০০ ETH এবং ১৮,২৭০ BTC ধরে রেখেছে, যা প্রায় ২.৪ বিলিয়ন ডলার।

মানি লন্ডারিংয়ের রুট এখনও প্রচলিত পদ্ধতিতেই: ক্রস-চেইন ব্রিজ দিয়ে চেইন পরিবর্তন, THORChain-এর মতো সার্ভিস দিয়ে কয়েন অদলবদল, মিক্সার দিয়ে অনেক মানুষের কয়েন একসাথে মিশিয়ে ছড়িয়ে দেওয়া, এবং শেষে ওভার-দ্য-কাউন্টার ট্রেডিং।

এবার কিছু বাধা-বিপত্তি হয়েছে। THORChain সম্প্রতি একটি ইথেরিয়াম চেইন পুনর্গঠনের কারণে ভুলবশত বাইন্যান্স হামলার চুরি হওয়া তহবিলের মানি লন্ডারিং বিলম্বিত করেছে। এই চেইন পুনর্গঠনের ফলে THORChain ভুলবশত ১০ ETH জমা দেওয়া একজন ব্যবহারকারীকে ডুপ্লিকেট রিফান্ড ইস্যু করে, যা পালাক্রমে প্রোটোকলের একটি জরুরি বিরতি সৃষ্টি করে, সাময়িকভাবে সব ব্যবহারকারীকে ক্রস-চেইন অদলবদল পরিচালনা থেকে বিরত রাখে, যার মধ্যে উত্তর কোরীয় হ্যাকার গোষ্ঠীর মানি লন্ডারাররাও রয়েছে।

গতবার, বিটগেট থেকে চুরি হওয়া তহবিল THORChain-এর মধ্য দিয়ে গিয়েছিল, এবং THORChain তা মোটেও জব্দ করেনি, বলে যে বিকেন্দ্রীকরণ মানে তারা জব্দ করতে পারে না—কিন্তু গতবার当他们 নিজেরাই হ্যাক হয়েছিল তখন তারা এমন কথা বলেনি। THORChain পরিষেবা পুনরায় চালু হলে, যদি এবারের বাইন্যান্স চুরির চুরি হওয়া তহবিল এখনও THORChain-এর মধ্য দিয়ে যায়, তাহলে তারা মানুষকে এড়ানোর জন্য কী অজুহাত দেখাবে তা স্পষ্ট নয়।