बाइनेंस से बाइबिट तक: ट्रेडरट्रेटर के पीछे उत्तर कोरियाई हैकर नेटवर्क

$6.3 अरब डॉलर की बाइनेंस चोरी से लेकर बायबिट और रोनिन जैसी प्रमुख क्रिप्टोकरेंसी उद्योग की बड़ी चोरियों तक, उत्तर कोरियाई हैकर समूह ट्रेडरट्रेटर धीरे-धीरे सामने आया है। अमेरिकी सरकार द्वारा नामित यह हैकर नेटवर्क नकली भर्ती, आपूर्ति श्रृंखला हमलों और हस्ताक्षर हाईजैकिंग का उपयोग करके लगभग $10 अरब की क्रिप्टो संपत्तियां कैसे ले गया है?

लेखक: BlockBeats

1 नवंबर को, अमेरिकी संघीय जांच ब्यूरो ने एक सूचना जारी करते हुए 29 अक्टूबर को बाइनेंस से चुराए गए 6.3 अरब डॉलर का श्रेय उत्तर कोरिया को दिया। सूचना में एक शब्द का इस्तेमाल किया गया: TraderTraitor।

यदि आप इस नाम को खोजते हैं, तो आप पाएंगे कि Bybit के 1.5 अरब डॉलर, Bitget के 30 करोड़ डॉलर, और पिछले कुछ वर्षों के कई प्रमुख क्रिप्टोकरेंसी मामले सभी इस नाम से जुड़े हुए हैं।

TraderTraitor कोई कंपनी नहीं है, और न ही संगठनात्मक चार्ट पर कोई बॉक्स है। यह अमेरिकी सरकार द्वारा एक प्रकार के व्यवहार को दिया गया कोडनेम है।

अप्रैल 2022 में, FBI, अमेरिकी साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी (CISA), और अमेरिकी ट्रेजरी विभाग ने संयुक्त रूप से AA22-108A संख्या वाली एक सूचना जारी की। यह उस शब्द का पहला औपचारिक प्रकटीकरण था। उस समय, यह क्रिप्टो ट्रेडिंग सॉफ़्टवेयर के रूप में छिपाए गए कई ट्रोजन को संदर्भित करता था, जैसे DAFOM, TokenAIS, और CryptAIS, जिनके इंटरफ़ेस विश्वसनीय लगते थे और जो इंस्टॉल होने के बाद निजी कुंजियाँ चुराना शुरू कर देते थे।

इनके पीछे के लोगों को उद्योग में लंबे समय से Lazarus Group, APT38, BlueNoroff, और Stardust Chollima कहा जाता रहा है। ये चार अलग-अलग टीमें नहीं हैं। Lazarus एक व्यापक नाम है; APT38 (Mandiant), BlueNoroff (Kaspersky), और Stardust Chollima (CrowdStrike) विभिन्न सुरक्षा कंपनियों द्वारा एक ही धन-कमाने वाली शाखा को दिए गए तीन नाम हैं।

दो साल बाद, यह लेबल विशिष्ट आचरण से जोड़ा गया। 23 दिसंबर 2024 को, FBI, अमेरिकी रक्षा विभाग साइबर अपराध केंद्र, और जापानी राष्ट्रीय पुलिस एजेंसी ने संयुक्त रूप से 30 करोड़ डॉलर के DMM चोरी मामले के लिए एक श्रेय जारी किया, पहली बार "उत्तर कोरियाई साइबर अभिकर्ता जिन्हें TraderTraitor के रूप में ट्रैक किया जाता है" वाक्यांश का उपयोग किया और इसके तीन उपनामों को सूचीबद्ध किया: Jade Sleet (Microsoft का नाम), UNC4899 (Google का नाम), और Slow Pisces (Palo Alto का नाम)।

जानकारी अब अपेक्षाकृत स्पष्ट है: TraderTraitor बड़े Lazarus समूह के भीतर वह इकाई है जो क्रिप्टो संपत्तियों में विशेषज्ञता रखती है और वर्तमान में सबसे अधिक लाभदायक है। कम से कम 2020 से, इसने विशेष रूप से ब्लॉकचेन पर ध्यान केंद्रित किया है—ट्रेडिंग प्लेटफ़ॉर्म, DeFi, वॉलेट सेवा प्रदाता, क्रिप्टो फंड, और बड़ी मात्रा में सिक्के रखने वाले व्यक्ति।

बैंकों को लूटने से लेकर ट्रेडिंग प्लेटफ़ॉर्म को लूटने तक

Lazarus एक व्यापक नाम है जो सब कुछ कवर करता है, 2014 में Sony Pictures की हार्ड ड्राइव मिटाने से लेकर 2016 में बांग्लादेश बैंक से पैसा निकालने तक।

बांग्लादेश बैंक मामले को लें। इसे अंजाम देने वाली इकाई को तब APT38 कहा जाता था, जिसे BlueNoroff भी कहा जाता है। फरवरी 2016 में, उन्होंने SWIFT निर्देशों (अंतरबैंक हस्तांतरण के लिए उपयोग की जाने वाली अंतर्राष्ट्रीय संदेश प्रणाली) को जाली बनाया और न्यूयॉर्क फेड में बांग्लादेश बैंक के खाते से 1 अरब डॉलर स्थानांतरित करने का प्रयास किया। अंततः उन्हें 8.1 करोड़ डॉलर मिले, क्योंकि एक हस्तांतरण में वर्तनी की त्रुटि के कारण एक मध्यस्थ बैंक ने इसे रोक दिया।

बैंकों की परिचालन प्रक्रियाओं का अध्ययन करने, मैन्युअल समीक्षा में कमियाँ खोजने, और निर्देशों को जाली बनाने की कारीगरी को बाद में बिना किसी बदलाव के क्रिप्टोकरेंसी ट्रेडिंग प्लेटफ़ॉर्म पर स्थानांतरित कर दिया गया।लगभग 2020 में। उन्होंने अपने तरीकों को उन्नत करना शुरू किया, क्रिप्टो जगत को लक्ष्य बनाकर। कारण अनुमान लगाना आसान है: पैसा है और कोई नियमन नहीं, और तरलता ठीक है।

हमले के कई तरीके हैं।

पहला है नकली भर्ती। एक हेडहंटर आपसे LinkedIn पर संपर्क करता है, सुखद बातचीत करता है, और अंत में एक "पूर्व-रोजगार प्रोग्रामिंग परीक्षण" या "आंतरिक उपकरण" के लिए एक इंस्टॉलर भेजता है। एक बार इंस्टॉल होने पर, मशीन उनकी हो जाती है। Ronin के $620 मिलियन इसी तरह खो गए।

दूसरा है आपूर्ति श्रृंखला। लोगों को धोखा देने के बजाय, वे डेवलपर्स की टूलचेन को दूषित करने की ओर बढ़ते हैं: GitHub पर दुर्भावनापूर्ण रिपॉजिटरी, npm पर ज़हरीले पैकेज, JumpCloud जैसे पहचान सेवा प्रदाता। एक व्यक्ति समझौता हो जाता है, और नीचे की कई कंपनियाँ भी समझौता हो जाती हैं।

तीसरा है सीधे लेनदेन में बदलाव। जापानी DMM मामले में, उन्होंने दूसरे पक्ष के लॉगिन क्रेडेंशियल चुराए, वॉलेट कंपनी Ginco के आंतरिक संचार में घुसपैठ की, और फिर एक स्थानांतरण को बदल दिया जो सामान्य होना चाहिए था। Bybit मामले में, उन्होंने Safe{Wallet} में एक डेवलपर के कंप्यूटर को हैक किया और वेब फ्रंट एंड में एक स्क्रिप्ट डाली; हस्ताक्षरकर्ताओं ने अभी भी एक सामान्य पृष्ठ देखा, लेकिन जो उन्होंने हस्ताक्षर किया वह एक और लेनदेन था।

इसमें इस बार का Binance मामला भी शामिल है।

हमलावरों ने 36 घंटे पहले तैयारी की, 50 EIP-7702 प्राधिकरणों पर हस्ताक्षर किए—एक नई Ethereum सुविधा जो एक वॉलेट को अस्थायी रूप से उपयोग के लिए एक प्रोग्राम "किराए पर" लेने की अनुमति देती है—और फिर Binance के हॉट वॉलेट से पैसा खुद स्थानांतरित करवाया; 40 मिनट, 10 नेटवर्क में। एक सुरक्षा फर्म का निष्कर्ष है कि उन्होंने बहुत संभवतः पहले ही Binance के हस्ताक्षर प्रणाली तक पहुँच प्राप्त कर ली थी।

इस संगठन के मामलों में शामिल राशि

बारह सबसे प्रसिद्ध मामले: $9.7 बिलियन।

अकेले Binance $6.3 बिलियन के लिए जिम्मेदार है। शेष ग्यारह मामले, 2022 से 2026 तक, कुल $3.44 बिलियन।

Bybit के $1.5 बिलियन बदला गया फ्रंट एंड था; Ronin के $620 मिलियन भर्ती घोटाला था; Bitget के $388 मिलियन वॉलेट सिस्टम में लिखे गए जाली निकासी निर्देश थे।

DMM $308 मिलियन, WazirX $235 मिलियन, Harmony और Atomic प्रत्येक $100 मिलियन, Alphapo $60 मिलियन, CoinEx $55 मिलियन, Stake $41 मिलियन, CoinsPaid $37 मिलियन।

चार्ट में, केवल Binance, Bybit, और DMM मामलों को अमेरिकी सरकार द्वारा सीधे TraderTraitor नामित किया गया था। Ronin, Harmony, Stake, Alphapo, CoinsPaid, और Atomic को FBI द्वारा Lazarus/APT38 के लिए जिम्मेदार ठहराया गया था; WazirX को जनवरी 2025 में संयुक्त राज्य अमेरिका, जापान, और दक्षिण कोरिया के संयुक्त बयान में नामित किया गया था; CoinEx केवल ऑन-चेन विश्लेषण फर्मों द्वारा अनुमानित किया गया था। Bitget मामले पर कई फर्मों द्वारा TraderTraitor से संबंधित होने का संदेह है, लेकिन किसी ने भी औपचारिक रूप से जिम्मेदार नहीं ठहराया।

TRM आंकड़ों के अनुसार, उत्तर कोरिया ने 2017 से 100 मामले किए हैं, कुल लगभग $12.8 बिलियन; इस वर्ष अब तक $7.4 बिलियन; 2026 में कुल वैश्विक क्रिप्टो संपत्ति चोरी का 85% उत्तर कोरिया को जिम्मेदार ठहराया गया है। यह तालिका उनमें से केवल बारह को कवर करती है।जिन लोगों के चेहरे मिलान किए जा सकते हैं

अमेरिकी अधिकारियों द्वारा नामित एक से अधिक उत्तर कोरियाई हैकर हैं जिनकी तस्वीरें भी जारी की गई हैं। पार्क जिन ह्योक, जॉन चांग ह्योक और किम इल सभी फरवरी 2021 के अभियोग में शामिल थे; 2024 में, रिम जोंग ह्योक को जोड़ा गया, जिस पर $10 मिलियन का इनाम है।

पार्क जिन ह्योक (Park Jin Hyok), एफबीआई द्वारा वांछित

पार्क जिन ह्योक सबसे पहले अभियुक्तों में से एक थे: जून 2018 में, अमेरिकी न्याय विभाग ने उनके खिलाफ आपराधिक आरोप दायर किए, और अभियोग उसी वर्ष सितंबर में खोला गया। अभियोग में कहा गया था कि उनकी भागीदारी की साजिश में 2014 का सोनी पिक्चर्स हमला, 2017 का वानाक्राई हमला, और 2016 में बांग्लादेश बैंक से स्थानांतरित $81 मिलियन शामिल थे। वे अभी भी फरार हैं और कभी अदालत में पेश नहीं हुए।

बाइनेंस चोरी की ट्रैकिंग

बाइनेंस ने कंपनी के फंड, SAFU फंड और फ्यूचर्स बीमा फंड से लगभग 90% कवर किया है; शेष 10% अतरल टोकन हैं; पूरा नुकसान कंपनी द्वारा वहन किया जाता है, उपयोगकर्ताओं द्वारा नहीं।

1 नवंबर तक, लगभग $2.7 बिलियन, या लगभग 42%, स्टेबलकॉइन जारीकर्ताओं और आर्बिट्रम सुरक्षा परिषद द्वारा फ्रीज कर दिया गया था। हमलावरों के पास अभी भी 420,000 ETH और 18,270 BTC हैं, लगभग $2.4 बिलियन।

मनी लॉन्ड्रिंग का मार्ग अभी भी मानक प्रथा है: श्रृंखलाओं को बदलने के लिए क्रॉस-चेन ब्रिज, सिक्कों की अदला-बदली के लिए THORChain जैसी सेवाएं, कई लोगों के सिक्कों को एक साथ मिलाने और बिखेरने के लिए मिक्सर, और अंत में ओवर-द-काउंटर ट्रेडिंग।

इस बार कुछ बाधाएं आईं। THORChain ने हाल ही में एथेरियम श्रृंखला पुनर्गठन के कारण बाइनेंस हमले में चोरी के फंड की लॉन्ड्रिंग में गलती से देरी कर दी। इस श्रृंखला पुनर्गठन के कारण THORChain ने गलती से 10 ETH जमा करने वाले उपयोगकर्ता को डुप्लिकेट रिफंड जारी कर दिया, जिससे बदले में प्रोटोकॉल का आपातकालीन विराम शुरू हो गया, जिससे अस्थायी रूप से सभी उपयोगकर्ताओं को क्रॉस-चेन स्वैप करने से रोक दिया गया, जिसमें उत्तर कोरियाई हैकर समूह के मनी लॉन्डरर भी शामिल थे।

पिछली बार, बिटगेट से चोरी के फंड THORChain से गुजरे थे, और THORChain ने उन्हें बिल्कुल भी फ्रीज नहीं किया, यह कहते हुए कि विकेंद्रीकरण का अर्थ है कि वे फ्रीज नहीं कर सकते—लेकिन पिछली बार जब वे स्वयं हैक हुए थे तब उन्होंने ऐसा नहीं कहा था। जब THORChain सेवा फिर से शुरू करेगा, यदि इस बार बाइनेंस चोरी से चोरी के फंड अभी भी THORChain से गुजरते हैं, तो यह स्पष्ट नहीं है कि लोगों को टालने के लिए उनके पास क्या बहाना होगा।