از بایننس تا بای‌بیت: شبکه هکر کره شمالی پشت TraderTraitor

از سرقت ۶.۳ میلیارد دلاری بایننس تا سرقت‌های بزرگ صنعت ارزهای دیجیتال مانند بای‌بیت و رونین، گروه هکری کره شمالی TraderTraitor به تدریج آشکار شده است. این شبکه هکری که دولت آمریکا آن را مشخص کرده است، چگونه با استفاده از استخدام جعلی، حملات زنجیره تأمین و ربایش امضا توانسته است نزدیک به ۱۰ میلیارد دلار دارایی رمزنگاری‌شده را به سرقت ببرد؟

نویسنده: BlockBeats

در ۱ نوامبر، دفتر تحقیقات فدرال ایالات متحده اطلاعیه‌ای منتشر کرد و ۶.۳ میلیارد دلار سرقت‌شده از بایننس در ۲۹ اکتبر را به کره شمالی نسبت داد. در این اطلاعیه از یک اصطلاح استفاده شده بود: TraderTraitor.

اگر این نام را جستجو کنید، متوجه می‌شوید که ۱.۵ میلیارد دلار بای‌بیت، ۳۰۰ میلیون دلار بیت‌گت و چندین پرونده بزرگ ارز دیجیتال از سال‌های گذشته همگی به این نام مرتبط هستند.

TraderTraitor یک شرکت نیست و یک کادر در نمودار سازمانی هم نیست. این یک نام رمز است که دولت ایالات متحده به یک دسته از رفتارها داده است.

در آوریل ۲۰۲۲، اف‌بی‌آی، آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) و وزارت خزانه‌داری ایالات متحده به‌طور مشترک اطلاعیه‌ای با شماره AA22-108A منتشر کردند. این اولین ظهور رسمی این اصطلاح بود. در آن زمان، به چند تروجان اشاره داشت که خود را به شکل نرم‌افزار معاملات ارز دیجیتال درآورده بودند، مانند DAFOM، TokenAIS و CryptAIS، که رابط‌هایشان قانع‌کننده به نظر می‌رسید و پس از نصب شروع به سرقت کلیدهای خصوصی می‌کردند.

افراد پشت این ماجرا در صنعت مدت‌هاست که گروه Lazarus، APT38، BlueNoroff و Stardust Chollima نامیده می‌شوند. این‌ها چهار تیم جداگانه نیستند. Lazarus نام چتر است؛ APT38 (نام ماندیانت)، BlueNoroff (نام کسپرسکی) و Stardust Chollima (نام کراداسترایک) سه نامی هستند که شرکت‌های امنیتی مختلف به همان خط درآمدزایی داده‌اند.

دو سال بعد، این برچسب به رفتار مشخصی متصل شد. در ۲۳ دسامبر ۲۰۲۴، اف‌بی‌آی، مرکز جرایم سایبری وزارت دفاع ایالات متحده و آژانس پلیس ملی ژاپن به‌طور مشترک انتساب پرونده سرقت ۳۰۰ میلیون دلاری DMM را منتشر کردند و برای اولین بار از عبارت «بازیگران سایبری کره شمالی با نام TraderTraitor» استفاده کردند و سه نام مستعار آن را فهرست کردند: Jade Sleet (نام مایکروسافت)، UNC4899 (نام گوگل) و Slow Pisces (نام پالو آلتو).

اطلاعات اکنون نسبتاً روشن است: TraderTraitor واحد درون گروه بزرگ‌تر Lazarus است که در دارایی‌های کریپتو تخصص دارد و در حال حاضر پرسودترین است. حداقل از سال ۲۰۲۰، این واحد منحصراً بر بلاکچین تمرکز کرده است—پلتفرم‌های معاملاتی، DeFi، ارائه‌دهندگان خدمات کیف پول، صندوق‌های کریپتو و افرادی که مقادیر زیادی کوین نگهداری می‌کنند.

از سرقت از بانک‌ها تا سرقت از پلتفرم‌های معاملاتی

Lazarus یک نام چتر است که همه چیز را در بر می‌گیرد، از پاک کردن هارد دیسک‌های سونی پیکچرز در سال ۲۰۱۴ تا انتقال پول از بانک بنگلادش در سال ۲۰۱۶.

پرونده بانک بنگلادش را در نظر بگیرید. واحدی که آن را اجرا کرد در آن زمان APT38 نامیده می‌شد، که با نام BlueNoroff هم شناخته می‌شود. در فوریه ۲۰۱۶، آن‌ها دستورات SWIFT (سیستم پیام‌رسانی بین‌المللی مورد استفاده برای انتقالات بین‌بانکی) را جعل کردند و تلاش کردند ۱ میلیارد دلار از حساب بانک بنگلادش در فدرال رزرو نیویورک خارج کنند. آن‌ها در نهایت ۸۱ میلیون دلار به دست آوردند، زیرا یک خطای املایی در یکی از انتقالات باعث شد یک بانک واسطه آن را متوقف کند.

مهارت مطالعه رویه‌های عملیاتی بانک‌ها، یافتن شکاف در بازبینی دستی و جعل دستورات، بعداً بدون تغییر به پلتفرم‌های معاملاتی ارز دیجیتال منتقل شد.حدود سال ۲۰۲۰. آن‌ها شروع به ارتقای روش‌های خود کردند و دنیای کریپتو را هدف قرار دادند. دلیلش آسان است حدس بزنیم: پول هست و مقرراتی نیست، و نقدینگی هم قابل قبول است.

چندین روش حمله وجود دارد.

اولی استخدام جعلی است. یک سرشکار در لینکدین با شما تماس می‌گیرد، گفتگوی خوشایندی دارد و در نهایت یک «آزمون برنامه‌نویسی پیش از استخدام» یا نصب‌کننده‌ای برای یک «ابزار داخلی» می‌فرستد. به محض نصب، دستگاه متعلق به آن‌هاست. ۶۲۰ میلیون دلار رونین این‌گونه از دست رفت.

دومی زنجیره تأمین است. به جای فریب دادن افراد، به آلوده کردن زنجیره ابزار توسعه‌دهندگان روی می‌آورند: مخازن مخرب در گیت‌هاب، بسته‌های مسموم در npm، ارائه‌دهندگان خدمات هویت مانند JumpCloud. یک نفر compromised می‌شود و زنجیره‌ای از شرکت‌های پایین‌دستی نیز compromised می‌شوند.

سومی تغییر مستقیم تراکنش‌هاست. در پرونده DMM ژاپن، آن‌ها اعتبارنامه‌های ورود طرف مقابل را دزدیدند، به ارتباطات داخلی شرکت کیف پول Ginco نفوذ کردند و سپس انتقالی را که باید عادی می‌بود تغییر دادند. در پرونده Bybit، آن‌ها به کامپیوتر یک توسعه‌دهنده در Safe{Wallet} نفوذ کردند و اسکریپتی را در فرانت‌اند وب تزریق کردند؛ امضاکنندگان هنوز یک صفحه عادی می‌دیدند، اما آنچه امضا می‌کردند تراکنش دیگری بود.

این شامل پرونده بایننس این بار نیز می‌شود.

مهاجمان ۳۶ ساعت از پیش آماده شده بودند، ۵۰ مجوز EIP-7702 را امضا کردند—یک ویژگی جدید اتریوم که به یک کیف پول اجازه می‌دهد موقتاً یک برنامه را «اجاره» کند—و سپس کاری کردند که کیف پول گرم بایننس خودش پول را بیرون منتقل کند؛ ۴۰ دقیقه، در ۱۰ شبکه. نتیجه‌گیری یک شرکت امنیتی این است که آن‌ها به احتمال بسیار زیاد قبلاً به سیستم امضای بایننس رسیده بودند.

مبلغ درگیر در پرونده‌های این سازمان

دوازده پرونده مشهورتر: ۹.۷ میلیارد دلار.

بایننس به تنهایی ۶.۳ میلیارد دلار را شامل می‌شود. یازده پرونده باقی‌مانده، از ۲۰۲۲ تا ۲۰۲۶، در مجموع ۳.۴۴ میلیارد دلار می‌شوند.

۱.۵ میلیارد دلار Bybit فرانت‌اند تغییرداده‌شده بود؛ ۶۲۰ میلیون دلار رونین کلاهبرداری استخدامی بود؛ ۳۸۸ میلیون دلار Bitget دستورالعمل‌های برداشت جعلی بود که در سیستم کیف پول نوشته شده بود.

DMM ۳۰۸ میلیون دلار، WazirX ۲۳۵ میلیون دلار، Harmony و Atomic هرکدام ۱۰۰ میلیون دلار، Alphapo ۶۰ میلیون دلار، CoinEx ۵۵ میلیون دلار، Stake ۴۱ میلیون دلار، CoinsPaid ۳۷ میلیون دلار.

در نمودار، فقط پرونده‌های بایننس، Bybit و DMM مستقیماً توسط دولت ایالات متحده به عنوان TraderTraitor نام‌گذاری شدند. رونین، Harmony، Stake، Alphapo، CoinsPaid و Atomic توسط FBI به Lazarus/APT38 نسبت داده شدند؛ WazirX در بیانیه مشترک ایالات متحده، ژاپن و کره جنوبی در ژانویه ۲۰۲۵ نام‌گذاری شد؛ CoinEx فقط توسط شرکت‌های تحلیل آن‌چین استنباط شد. پرونده Bitget توسط چندین شرکت مشکوک به ارتباط با TraderTraitor است، اما هیچ‌کدام رسماً آن را نسبت نداده‌اند.

بر اساس آمار TRM، کره شمالی از ۲۰۱۷ صد پرونده انجام داده است، در مجموع حدود ۱۲.۸ میلیارد دلار؛ ۷.۴ میلیارد دلار تاکنون در سال جاری؛ ۸۵٪ از کل سرقت‌های دارایی کریپتو در جهان در سال ۲۰۲۶ به کره شمالی نسبت داده می‌شود. این جدول فقط دوازده مورد از آن‌ها را پوشش می‌دهد.افرادی که چهره‌هایشان قابل تطبیق است

بیش از یک هکر کره‌شمالی وجود دارد که مقامات آمریکایی نامشان را برده‌اند و عکس‌هایشان نیز منتشر شده است. پارک جین هیوک، جان چانگ هیوک و کیم ایل همگی در کیفرخواست فوریه ۲۰۲۱ حضور داشتند؛ در سال ۲۰۲۴، ریم جونگ هیوک با جایزه ۱۰ میلیون دلاری اضافه شد.

پارک جین هیوک (Park Jin Hyok)، تحت تعقیب اف‌بی‌آی

پارک جین هیوک یکی از نخستین افرادی بود که کیفرخواست دریافت کرد: در ژوئن ۲۰۱۸، وزارت دادگستری آمریکا اتهامات کیفری علیه او را مطرح کرد و کیفرخواست در سپتامبر همان سال از حالت محرمانه خارج شد. کیفرخواست می‌گفت توطئه‌ای که او در آن مشارکت داشت شامل حمله ۲۰۱۴ به سونی پیکچرز، حمله ۲۰۱۷ باج‌افزار واناکرای و انتقال ۸۱ میلیون دلار از بانک بنگلادش در سال ۲۰۱۶ بود. او همچنان فراری است و هرگز در دادگاه حاضر نشده است.

ردیابی سرقت بایننس

بایننس حدود ۹۰٪ را با وجوه شرکت، صندوق SAFU و صندوق بیمه فیوچرز پوشش داده است؛ ۱۰٪ باقی‌مانده توکن‌های غیرنقدشونده هستند؛ تمام زیان بر عهده شرکت است، نه کاربران.

تا ۱ نوامبر، حدود ۲.۷ میلیارد دلار، معادل حدود ۴۲٪، توسط ناشران استیبل‌کوین و شورای امنیت آربیتروم مسدود شده بود. مهاجمان هنوز ۴۲۰,۰۰۰ اتریوم و ۱۸,۲۷۰ بیت‌کوین، حدود ۲.۴ میلیارد دلار، در اختیار دارند.

مسیر پولشویی همچنان رویه استاندارد است: پل‌های زنجیره‌ای متقاطع برای تغییر زنجیره، سرویس‌هایی مانند THORChain برای تعویض سکه، میکسرها برای ترکیب و پراکنده‌کردن سکه‌های افراد متعدد در کنار هم، و در نهایت معاملات خارج از بورس.

این بار چند مشکل پیش آمد. THORChain اخیراً به دلیل یک سازمان‌دهی مجدد زنجیره اتریوم، به طور تصادفی پولشویی وجوه سرقت‌شده در حمله بایننس را به تأخیر انداخت. این سازمان‌دهی مجدد زنجیره باعث شد THORChain به اشتباه بازپرداخت‌های تکراری به کاربری که ۱۰ اتریوم واریز کرده بود صادر کند، که به نوبه خود باعث توقف اضطراری پروتکل شد و موقتاً همه کاربران را از انجام مبادلات زنجیره‌ای متقاطع، از جمله پولشویان گروه هکر کره‌شمالی، بازداشت.

بار قبل، وجوه سرقت‌شده از بیت‌گت از THORChain عبور کرد و THORChain اصلاً آنها را مسدود نکرد و گفت تمرکززدایی یعنی نمی‌توانند مسدود کنند—اما این حرفی نیست که بار قبل که خودشان هک شدند زدند. وقتی THORChain خدمات را از سر بگیرد، اگر وجوه سرقت‌شده از سرقت بایننس این بار همچنان از THORChain عبور کند، معلوم نیست چه بهانه‌ای برای سرگرم‌کردن مردم خواهند داشت.