727 FinanceDari pencurian Binance senilai $6,3 miliar hingga peretasan besar di industri mata uang kripto seperti Bybit dan Ronin, kelompok peretas Korea Utara TraderTraitor secara bertahap terungkap. Bagaimana jaringan peretas yang ditetapkan oleh pemerintah Amerika Serikat ini menggunakan perekrutan palsu, serangan rantai pasokan, dan pembajakan tanda tangan untuk membawa kabur aset kripto senilai hampir $10 miliar?
Penulis: BlockBeats
Pada 1 November, Biro Investigasi Federal Amerika Serikat mengeluarkan pemberitahuan yang mengaitkan $6,3 miliar yang dicuri dari Binance pada 29 Oktober dengan Korea Utara. Pemberitahuan itu menggunakan satu istilah: TraderTraitor.
Jika Anda mencari nama ini, Anda akan menemukan bahwa $1,5 miliar milik Bybit, $300 juta milik Bitget, dan beberapa kasus mata uang kripto besar dari tahun-tahun sebelumnya semuanya terhubung dengan nama ini.
TraderTraitor bukanlah sebuah perusahaan, juga bukan sebuah kotak dalam bagan organisasi. Ini adalah nama sandi yang diberikan pemerintah Amerika Serikat untuk sebuah kategori perilaku.
Pada April 2022, FBI, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA), dan Departemen Keuangan Amerika Serikat bersama-sama mengeluarkan pemberitahuan bernomor AA22-108A. Itulah kemunculan formal pertama istilah tersebut. Saat itu, istilah itu merujuk pada beberapa trojan yang menyamar sebagai perangkat lunak perdagangan kripto, seperti DAFOM, TokenAIS, dan CryptAIS, yang antarmukanya tampak meyakinkan dan mulai mencuri kunci privat setelah dipasang.
Orang-orang di balik ini telah lama disebut Lazarus Group, APT38, BlueNoroff, dan Stardust Chollima di industri. Ini bukan empat tim terpisah. Lazarus adalah nama payung; APT38 (Mandiant), BlueNoroff (Kaspersky), dan Stardust Chollima (CrowdStrike) adalah tiga nama yang diberikan oleh perusahaan keamanan berbeda untuk lini pencarian uang yang sama.
Dua tahun kemudian, label itu dilekatkan pada perilaku spesifik. Pada 23 Desember 2024, FBI, Pusat Kejahatan Siber Departemen Pertahanan Amerika Serikat, dan Badan Kepolisian Nasional Jepang bersama-sama merilis atribusi untuk kasus pencurian DMM senilai $300 juta, menggunakan untuk pertama kalinya frasa "aktor siber Korea Utara yang dilacak sebagai TraderTraitor" dan mencantumkan tiga aliasnya: Jade Sleet (nama Microsoft), UNC4899 (nama Google), dan Slow Pisces (nama Palo Alto).
Informasinya kini relatif jelas: TraderTraitor adalah unit di dalam kelompok Lazarus yang lebih besar yang mengkhususkan diri pada aset kripto dan saat ini merupakan yang paling menguntungkan. Setidaknya sejak 2020, unit ini berfokus secara eksklusif pada blockchain—platform perdagangan, DeFi, penyedia layanan dompet, dana kripto, dan individu yang memegang koin dalam jumlah besar.
Dari merampok bank menjadi merampok platform perdagangan
Lazarus adalah nama payung yang mencakup segala hal, dari menghapus hard drive Sony Pictures pada 2014 hingga memindahkan uang dari Bangladesh Bank pada 2016.
Ambil contoh kasus Bangladesh Bank. Unit yang melaksanakannya saat itu disebut APT38, juga dikenal sebagai BlueNoroff. Pada Februari 2016, mereka memalsukan instruksi SWIFT (sistem perpesanan internasional yang digunakan untuk transfer antarbank) dan mencoba mentransfer $1 miliar dari rekening Bangladesh Bank di New York Fed. Mereka akhirnya mendapatkan $81 juta, karena kesalahan ejaan dalam salah satu transfer menyebabkan bank perantara menghentikannya.
Keahlian mempelajari prosedur operasional bank, menemukan celah dalam tinjauan manual, dan memalsukan instruksi kemudian ditransplantasikan tanpa perubahan ke platform perdagangan mata uang kripto.Sekitar tahun 2020. Mereka mulai meningkatkan metode mereka, dengan dunia kripto sebagai target. Alasannya mudah ditebak: ada uang dan tidak ada regulasi, dan likuiditasnya cukup baik.
Ada beberapa metode serangan.
Yang pertama adalah rekrutmen palsu. Seorang headhunter menghubungi Anda di LinkedIn, mengobrol dengan menyenangkan, dan akhirnya mengirimkan "tes pemrograman pra-kerja" atau penginstal untuk "alat internal." Setelah diinstal, mesin itu menjadi milik mereka. Ronin kehilangan $620 juta dengan cara ini.
Yang kedua adalah rantai pasok. Alih-alih menipu orang, mereka beralih mengontaminasi rantai alat pengembang: repositori berbahaya di GitHub, paket beracun di npm, penyedia layanan identitas seperti JumpCloud. Satu orang dikompromikan, dan sederet perusahaan hilir juga ikut dikompromikan.
Yang ketiga adalah mengubah transaksi secara langsung. Dalam kasus DMM Jepang, mereka mencuri kredensial login pihak lain, menyusup ke komunikasi internal perusahaan dompet Ginco, dan kemudian mengubah transfer yang seharusnya normal. Dalam kasus Bybit, mereka meretas komputer seorang pengembang di Safe{Wallet} dan menyisipkan skrip ke front end web; para penandatangan masih melihat halaman normal, tetapi yang mereka tandatangani adalah transaksi lain.
Ini juga termasuk kasus Binance kali ini.
Para penyerang bersiap 36 jam sebelumnya, menandatangani 50 otorisasi EIP-7702—fitur baru Ethereum yang memungkinkan dompet untuk sementara "menyewa" program untuk digunakan—dan kemudian membuat hot wallet Binance mentransfer uangnya sendiri; 40 menit, melintasi 10 jaringan. Kesimpulan salah satu firma keamanan adalah bahwa mereka sangat mungkin telah mencapai sistem penandatanganan Binance.
Jumlah yang terlibat dalam kasus-kasus organisasi ini
Dua belas kasus paling terkenal: $9,7 miliar.
Binance saja menyumbang $6,3 miliar. Sebelas kasus lainnya, dari 2022 hingga 2026, berjumlah total $3,44 miliar.
Bybit $1,5 miliar adalah front end yang diubah; Ronin $620 juta adalah penipuan rekrutmen; Bitget $388 juta adalah instruksi penarikan palsu yang ditulis ke dalam sistem dompet.
DMM $308 juta, WazirX $235 juta, Harmony dan Atomic masing-masing $100 juta, Alphapo $60 juta, CoinEx $55 juta, Stake $41 juta, CoinsPaid $37 juta.
Dalam grafik, hanya kasus Binance, Bybit, dan DMM yang secara langsung disebut oleh pemerintah AS sebagai TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid, dan Atomic diatribusikan oleh FBI ke Lazarus/APT38; WazirX disebut dalam pernyataan bersama Amerika Serikat, Jepang, dan Korea Selatan pada Januari 2025; CoinEx hanya disimpulkan oleh firma analisis on-chain. Kasus Bitget diduga oleh beberapa firma terkait dengan TraderTraitor, tetapi tidak ada yang secara formal mengatribusikannya.
Menurut statistik TRM, Korea Utara telah melakukan 100 kasus sejak 2017, dengan total sekitar $12,8 miliar; $7,4 miliar sejauh ini pada tahun ini; 85% dari total pencurian aset kripto global pada tahun 2026 diatribusikan ke Korea Utara. Tabel ini hanya mencakup dua belas di antaranya.Orang-orang yang wajahnya dapat dicocokkan
Ada lebih dari satu peretas Korea Utara yang disebutkan namanya oleh pejabat AS dan foto mereka juga telah dirilis. Park Jin Hyok, Jon Chang Hyok, dan Kim Il semuanya tercantum dalam dakwaan Februari 2021; pada 2024, Rim Jong Hyok ditambahkan, dengan hadiah $10 juta.
Park Jin Hyok (Park Jin Hyok), dicari oleh FBI
Park Jin Hyok adalah salah satu yang paling awal didakwa: pada Juni 2018, Departemen Kehakiman AS mengajukan tuntutan pidana terhadapnya, dan dakwaan tersebut dibuka segelnya pada September tahun yang sama. Dakwaan menyebutkan konspirasi yang ia ikuti mencakup serangan Sony Pictures 2014, serangan WannaCry 2017, dan transfer $81 juta dari Bangladesh Bank pada 2016. Ia masih buron dan belum pernah muncul di pengadilan.
Pelacakan pencurian Binance
Binance telah menutup sekitar 90% dengan dana perusahaan, dana SAFU, dan dana asuransi futures; 10% sisanya adalah token tidak likuid; seluruh kerugian ditanggung oleh perusahaan, bukan oleh pengguna.
Hingga 1 November, sekitar $2,7 miliar, atau sekitar 42%, telah dibekukan oleh penerbit stablecoin dan Dewan Keamanan Arbitrum. Para penyerang masih memegang 420.000 ETH dan 18.270 BTC, sekitar $2,4 miliar.
Rute pencucian uang masih praktik standar: jembatan lintas rantai untuk berpindah rantai, layanan seperti THORChain untuk menukar koin, mixer untuk mencampur dan menyebarkan koin banyak orang bersama-sama, dan akhirnya perdagangan over-the-counter.
Ada beberapa kendala kali ini. THORChain baru-baru ini secara tidak sengaja menunda pencucian dana curian dalam serangan Binance akibat reorganisasi rantai Ethereum. Reorganisasi rantai ini menyebabkan THORChain keliru menerbitkan pengembalian dana duplikat kepada pengguna yang menyetor 10 ETH, yang kemudian memicu jeda darurat protokol tersebut, sehingga sementara mencegah semua pengguna melakukan swap lintas rantai, termasuk para pencuci uang kelompok peretas Korea Utara.
Terakhir kali, dana curian dari Bitget melewati THORChain, dan THORChain sama sekali tidak membekukannya, dengan mengatakan bahwa desentralisasi berarti mereka tidak dapat membekukannya—tetapi itu bukan yang mereka katakan ketika mereka sendiri diretas terakhir kali. Ketika THORChain melanjutkan layanan, jika dana curian dari pencurian Binance kali ini masih melewati THORChain, tidak jelas alasan apa yang akan mereka gunakan untuk mengelabui orang.