727 FinanceDal furto di 6,3 miliardi di dollari a Binance fino ai grandi colpi nel settore delle criptovalute come Bybit e Ronin, il gruppo di hacker nordcoreano TraderTraitor è gradualmente emerso. Come ha fatto questa rete di hacker, designata dal governo degli Stati Uniti, a utilizzare false assunzioni, attacchi alla supply chain e dirottamento delle firme per portare via quasi 10 miliardi di dollari in cripto-asset?
Autore: BlockBeats
Il 1° novembre, il Federal Bureau of Investigation degli Stati Uniti ha emesso un avviso che attribuisce alla Corea del Nord i 6,3 miliardi di dollari rubati a Binance il 29 ottobre. L'avviso utilizzava un termine: TraderTraitor.
Se si cerca questo nome, si scopre che i 1,5 miliardi di dollari di Bybit, i 300 milioni di dollari di Bitget e diversi importanti casi di criptovalute degli anni precedenti sono tutti collegati a questo nome.
TraderTraitor non è un'azienda, né una casella su un organigramma. È un nome in codice che il governo degli Stati Uniti ha assegnato a una categoria di comportamenti.
Nell'aprile 2022, l'FBI, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti e il Dipartimento del Tesoro degli Stati Uniti hanno emesso congiuntamente un avviso numerato AA22-108A. Quella è stata la prima apparizione formale del termine. All'epoca si riferiva a diversi trojan mascherati da software di trading di criptovalute, come DAFOM, TokenAIS e CryptAIS, le cui interfacce apparivano convincenti e che iniziavano a rubare le chiavi private una volta installati.
Le persone dietro tutto questo sono state a lungo chiamate nel settore Lazarus Group, APT38, BlueNoroff e Stardust Chollima. Non sono quattro team separati. Lazarus è il nome ombrello; APT38 (Mandiant), BlueNoroff (Kaspersky) e Stardust Chollima (CrowdStrike) sono tre nomi dati da diverse società di sicurezza alla stessa linea di profitto.
Due anni dopo, l'etichetta è stata associata a condotte specifiche. Il 23 dicembre 2024, l'FBI, il Defense Department Cyber Crime Center degli Stati Uniti e l'Agenzia Nazionale di Polizia giapponese hanno pubblicato congiuntamente un'attribuzione per il caso di furto DMM da 300 milioni di dollari, utilizzando per la prima volta la formulazione "attori informatici nordcoreani tracciati come TraderTraitor" ed elencando i suoi tre alias: Jade Sleet (nome di Microsoft), UNC4899 (nome di Google) e Slow Pisces (nome di Palo Alto).
Le informazioni ora sono relativamente chiare: TraderTraitor è l'unità all'interno del più ampio gruppo Lazarus specializzata in cripto-asset ed è attualmente la più redditizia. Almeno dal 2020, si è concentrata esclusivamente sulla blockchain: piattaforme di trading, DeFi, fornitori di servizi di wallet, fondi cripto e individui che detengono grandi quantità di monete.
Dal rapinare banche al rapinare piattaforme di trading
Lazarus è un nome ombrello che copre tutto, dalla cancellazione dei dischi rigidi di Sony Pictures nel 2014 al trasferimento di denaro dalla Bangladesh Bank nel 2016.
Prendiamo il caso della Bangladesh Bank. L'unità che lo ha eseguito era allora chiamata APT38, nota anche come BlueNoroff. Nel febbraio 2016, hanno falsificato istruzioni SWIFT (il sistema di messaggistica internazionale utilizzato per i trasferimenti interbancari) e hanno tentato di trasferire 1 miliardo di dollari dal conto della Bangladesh Bank presso la Fed di New York. Alla fine hanno ottenuto 81 milioni di dollari, perché un errore di ortografia in un trasferimento ha indotto una banca intermediaria a bloccarlo.
L'arte di studiare le procedure operative delle banche, trovare lacune nella revisione manuale e falsificare istruzioni è stata poi trasferita invariata alle piattaforme di trading di criptovalute.Intorno al 2020. Hanno iniziato a perfezionare i loro metodi, con il mondo delle criptovalute come obiettivo. Il motivo è facile da intuire: ci sono soldi e nessuna regolamentazione, e la liquidità è decente.
Ci sono diversi metodi di attacco.
Il primo è il falso reclutamento. Un headhunter ti contatta su LinkedIn, fa una conversazione piacevole e alla fine invia un "test di programmazione pre-assunzione" o un installer per uno "strumento interno". Una volta installato, la macchina è loro. I 620 milioni di dollari di Ronin sono andati persi in questo modo.
Il secondo è la supply chain. Invece di ingannare le persone, passano a contaminare le toolchain degli sviluppatori: repository malevoli su GitHub, pacchetti avvelenati su npm, fornitori di servizi di identità come JumpCloud. Una persona viene compromessa e una serie di aziende a valle viene compromessa allo stesso modo.
Il terzo è alterare direttamente le transazioni. Nel caso giapponese di DMM, hanno rubato le credenziali di accesso dell'altra parte, si sono infiltrati nelle comunicazioni interne dell'azienda di wallet Ginco e poi hanno alterato un trasferimento che sarebbe dovuto essere normale. Nel caso Bybit, hanno violato il computer di uno sviluppatore di Safe{Wallet} e inserito uno script nel front end web; i firmatari vedevano ancora una pagina normale, ma ciò che firmavano era un'altra transazione.
Questo include anche il caso Binance di questa volta.
Gli attaccanti si sono preparati 36 ore in anticipo, hanno firmato 50 autorizzazioni EIP-7702—una nuova funzionalità di Ethereum che consente a un wallet di "noleggiare" temporaneamente un programma per l'uso—e poi hanno fatto sì che l'hot wallet di Binance trasferisse il denaro da solo; 40 minuti, attraverso 10 reti. La conclusione di una società di sicurezza è che molto probabilmente avevano già raggiunto il sistema di firma di Binance.
L'importo coinvolto nei casi di questa organizzazione
I dodici casi più famosi: 9,7 miliardi di dollari.
Solo Binance rappresenta 6,3 miliardi di dollari. Gli altri undici casi, dal 2022 al 2026, sommano 3,44 miliardi di dollari.
Gli 1,5 miliardi di dollari di Bybit erano il front end alterato; i 620 milioni di dollari di Ronin erano la truffa del reclutamento; i 388 milioni di dollari di Bitget erano istruzioni di prelievo falsificate scritte nel sistema del wallet.
DMM 308 milioni di dollari, WazirX 235 milioni di dollari, Harmony e Atomic 100 milioni di dollari ciascuno, Alphapo 60 milioni di dollari, CoinEx 55 milioni di dollari, Stake 41 milioni di dollari, CoinsPaid 37 milioni di dollari.
Nel grafico, solo i casi Binance, Bybit e DMM sono stati direttamente nominati dal governo degli Stati Uniti come TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid e Atomic sono stati attribuiti dall'FBI a Lazarus/APT38; WazirX è stato nominato in una dichiarazione congiunta di Stati Uniti, Giappone e Corea del Sud nel gennaio 2025; CoinEx è stato solo dedotto da società di analisi on-chain. Il caso Bitget è sospettato da più società essere correlato a TraderTraitor, ma nessuna lo ha attribuito formalmente.
Secondo le statistiche di TRM, la Corea del Nord ha eseguito 100 casi dal 2017, per un totale di circa 12,8 miliardi di dollari; 7,4 miliardi di dollari finora quest'anno; l'85% del totale globale dei furti di cripto-asset nel 2026 è attribuito alla Corea del Nord. Questa tabella copre solo dodici di essi.Le persone i cui volti possono essere confrontati
C'è più di un hacker nordcoreano nominato dai funzionari statunitensi per il quale sono state rilasciate anche delle foto. Park Jin Hyok, Jon Chang Hyok e Kim Il erano tutti nell'atto d'accusa del febbraio 2021; nel 2024 è stato aggiunto Rim Jong Hyok, con una taglia di 10 milioni di dollari.
Park Jin Hyok (Park Jin Hyok), ricercato dall'FBI
Park Jin Hyok è stato uno dei primi a essere incriminato: nel giugno 2018, il Dipartimento di Giustizia degli Stati Uniti ha presentato accuse penali contro di lui, e l'atto d'accusa è stato desecretato nel settembre dello stesso anno. L'atto d'accusa affermava che la cospirazione a cui ha partecipato includeva l'attacco a Sony Pictures del 2014, l'attacco WannaCry del 2017 e gli 81 milioni di dollari trasferiti dalla Bangladesh Bank nel 2016. Rimane latitante e non si è mai presentato in tribunale.
Tracciamento del furto di Binance
Binance ha coperto circa il 90% con fondi aziendali, il fondo SAFU e il fondo assicurativo dei futures; il restante 10% è costituito da token illiquidi; l'intera perdita è a carico dell'azienda, non degli utenti.
Al 1° novembre, circa 2,7 miliardi di dollari, ovvero circa il 42%, erano stati congelati dagli emittenti di stablecoin e dal Consiglio di Sicurezza di Arbitrum. Gli aggressori detengono ancora 420.000 ETH e 18.270 BTC, circa 2,4 miliardi di dollari.
La rotta di riciclaggio del denaro è ancora la prassi standard: bridge cross-chain per cambiare catena, servizi come THORChain per scambiare monete, mixer per mescolare e disperdere insieme le monete di molte persone, e infine il trading over-the-counter.
Questa volta ci sono stati alcuni intoppi. THORChain recentemente ha accidentalmente ritardato il riciclaggio dei fondi rubati nell'attacco a Binance a causa di una riorganizzazione della catena Ethereum. Questa riorganizzazione della catena ha causato l'emissione errata da parte di THORChain di rimborsi duplicati a un utente che aveva depositato 10 ETH, il che a sua volta ha innescato una pausa di emergenza del protocollo, impedendo temporaneamente a tutti gli utenti di effettuare swap cross-chain, inclusi i riciclatori del gruppo di hacker nordcoreano.
L'ultima volta, i fondi rubati da Bitget sono passati attraverso THORChain, e THORChain non li ha affatto congelati, affermando che la decentralizzazione significa che non possono essere congelati—ma non è quello che hanno detto quando sono stati hackerati loro stessi l'ultima volta. Quando THORChain riprenderà il servizio, se i fondi rubati di questo furto di Binance passeranno ancora attraverso THORChain, non è chiaro con quale scusa riusciranno a cavarsela.