बायनान्सपासून बायबिटपर्यंत: ट्रेडरट्रेटरच्या मागील उत्तर कोरियन हॅकर नेटवर्क

$6.3 अब्ज डॉलरच्या बायनान्स चोरीपासून ते बायबिट आणि रोनिनसारख्या क्रिप्टोकरन्सी उद्योगातील मोठ्या चोऱ्यांपर्यंत, उत्तर कोरियन हॅकर गट ट्रेडरट्रेटर हळूहळू उघडकीस आला आहे. अमेरिकन सरकारने निर्दिष्ट केलेल्या या हॅकर नेटवर्कने बनावट भरती, पुरवठा साखळी हल्ले आणि स्वाक्षरी अपहरणाचा वापर करून जवळपास $10 अब्ज किमतीच्या क्रिप्टो मालमत्ता कशा पद्धतीने पळवल्या?

लेखक: BlockBeats

१ नोव्हेंबर रोजी, यू.एस. फेडरल ब्युरो ऑफ इन्व्हेस्टिगेशनने एक सूचना जारी करून २९ ऑक्टोबर रोजी बायनान्सवरून चोरलेल्या $६.३ अब्जाचे श्रेय उत्तर कोरियाला दिले. सूचनेत एकच शब्द वापरण्यात आला: TraderTraitor.

ह्या नावाचा शोध घेतल्यास, तुम्हाला आढळेल की Bybitचे $१.५ अब्ज, Bitgetचे $३०० दशलक्ष, आणि मागील काही वर्षांतील अनेक प्रमुख क्रिप्टोकरन्सी प्रकरणे ह्या नावाशी जोडलेली आहेत.

TraderTraitor ही कंपनी नाही, किंवा संघटनात्मक आराखड्यातील एक चौकट नाही. हे यू.एस. सरकारने एका विशिष्ट प्रकारच्या वर्तनास दिलेले सांकेतिक नाव आहे.

एप्रिल २०२२ मध्ये, FBI, यू.एस. सायबरसिक्युरिटी अँड इन्फ्रास्ट्रक्चर सिक्युरिटी एजन्सी (CISA), आणि यू.एस. डिपार्टमेंट ऑफ द ट्रेझरी यांनी संयुक्तपणे AA22-108A क्रमांकाची सूचना जारी केली. तो ह्या शब्दाचा पहिला औपचारिक उदय होता. त्यावेळी, तो क्रिप्टो ट्रेडिंग सॉफ्टवेअरच्या रूपात छद्मवेश धारण केलेल्या अनेक ट्रोजन्सना सूचित करत होता, जसे की DAFOM, TokenAIS, आणि CryptAIS, ज्यांचे इंटरफेस खात्रीशीर दिसत होते आणि जे इन्स्टॉल झाल्यावर खाजगी की चोरण्यास सुरुवात करत होते.

ह्यामागील लोकांना उद्योगात बऱ्याच काळापासून Lazarus Group, APT38, BlueNoroff, आणि Stardust Chollima असे म्हटले जाते. हे चार वेगवेगळे संघ नाहीत. Lazarus हे सर्वसमावेशक नाव आहे; APT38 (Mandiant), BlueNoroff (Kaspersky), आणि Stardust Chollima (CrowdStrike) ही वेगवेगळ्या सुरक्षा कंपन्यांनी एकाच पैसा कमावणाऱ्या शाखेला दिलेली तीन नावे आहेत.

दोन वर्षांनंतर, हे लेबल विशिष्ट वर्तनाशी जोडले गेले. २३ डिसेंबर २०२४ रोजी, FBI, यू.एस. डिपार्टमेंट ऑफ डिफेन्स सायबर क्राइम सेंटर, आणि जपानच्या राष्ट्रीय पोलीस एजन्सीने संयुक्तपणे $३०० दशलक्षाच्या DMM चोरीच्या प्रकरणाचे श्रेय जाहीर केले, प्रथमच "TraderTraitor म्हणून ओळखले जाणारे उत्तर कोरियन सायबर कर्ते" असे वाक्य वापरले आणि त्याची तीन उपनावे सूचीबद्ध केली: Jade Sleet (Microsoftचे नाव), UNC4899 (Googleचे नाव), आणि Slow Pisces (Palo Altoचे नाव).

माहिती आता तुलनेने स्पष्ट आहे: TraderTraitor हे मोठ्या Lazarus गटातील क्रिप्टो मालमत्तांमध्ये विशेषज्ञ असलेले आणि सध्या सर्वाधिक नफा मिळवणारे एकक आहे. किमान २०२० पासून, त्याने केवळ ब्लॉकचेनवर लक्ष केंद्रित केले आहे—ट्रेडिंग प्लॅटफॉर्म, DeFi, वॉलेट सेवा प्रदाते, क्रिप्टो फंड, आणि मोठ्या प्रमाणात नाणी धारण करणारी व्यक्ती.

बँका लुटण्यापासून ट्रेडिंग प्लॅटफॉर्म लुटण्यापर्यंत

Lazarus हे सर्वसमावेशक नाव आहे जे २०१४ मध्ये Sony Picturesच्या हार्ड ड्राइव्ह पुसण्यापासून ते २०१६ मध्ये Bangladesh Bankमधून पैसे काढण्यापर्यंत सर्व काही व्यापते.

Bangladesh Bank प्रकरण घ्या. ते पार पाडणाऱ्या एककाला त्यावेळी APT38, तसेच BlueNoroff असे म्हटले जात होते. फेब्रुवारी २०१६ मध्ये, त्यांनी SWIFT सूचना (आंतरबँक हस्तांतरणासाठी वापरली जाणारी आंतरराष्ट्रीय संदेश प्रणाली) बनावट तयार केल्या आणि New York Fedमधील Bangladesh Bankच्या खात्यातून $१ अब्ज बाहेर काढण्याचा प्रयत्न केला. अखेरीस त्यांना $८१ दशलक्ष मिळाले, कारण एका हस्तांतरणातील स्पेलिंग चुकीमुळे मध्यस्थ बँकेने ते थांबवले.

बँकांच्या कार्यपद्धतींचा अभ्यास करणे, मॅन्युअल पुनरावलोकनातील त्रुटी शोधणे, आणि सूचना बनावट तयार करणे हे कौशल्य नंतर क्रिप्टोकरन्सी ट्रेडिंग प्लॅटफॉर्मवर जसेच्या तसे हस्तांतरित केले गेले.सुमारे २०२०. त्यांनी आपल्या पद्धती अपग्रेड करायला सुरुवात केली, क्रिप्टो जग हे लक्ष्य ठेवून. कारण अंदाज करणे सोपे आहे: पैसा आहे आणि नियमन नाही, आणि तरलता बरी आहे.

हल्ल्याच्या अनेक पद्धती आहेत.

पहिली म्हणजे बनावट भरती. एखादा हेडहंटर LinkedIn वर तुमच्याशी संपर्क साधतो, आनंददायी संभाषण करतो, आणि शेवटी "पूर्व-नियुक्ती प्रोग्रामिंग चाचणी" किंवा "अंतर्गत साधन" साठी इन्स्टॉलर पाठवतो. एकदा इन्स्टॉल झाले की, मशीन त्यांची होते. Ronin चे $६२० दशलक्ष अशाच प्रकारे गमावले गेले.

दुसरी म्हणजे पुरवठा साखळी. लोकांना फसवण्याऐवजी, ते विकसकांच्या टूलचेनला दूषित करण्याकडे वळतात: GitHub वर दुर्भावनापूर्ण रेपॉझिटरीज, npm वर विषारी पॅकेजेस, JumpCloud सारखे ओळख सेवा प्रदाते. एक व्यक्ती तडजोड केली जाते, आणि डाउनस्ट्रीम कंपन्यांची एक शृंखला देखील तडजोड केली जाते.

तिसरी म्हणजे थेट व्यवहार बदलणे. जपानी DMM प्रकरणात, त्यांनी दुसऱ्या बाजूची लॉगिन क्रेडेन्शियल्स चोरली, वॉलेट कंपनी Ginco च्या अंतर्गत संवादात घुसले, आणि नंतर सामान्य असावी अशी ट्रान्सफर बदलली. Bybit प्रकरणात, त्यांनी Safe{Wallet} मधील विकसकाच्या संगणकात हॅक केले आणि वेब फ्रंट एंडमध्ये स्क्रिप्ट घातली; स्वाक्षरीकर्त्यांना अजूनही सामान्य पृष्ठ दिसले, परंतु त्यांनी स्वाक्षरी केलेला व्यवहार दुसराच होता.

यात यावेळच्या Binance प्रकरणाचाही समावेश आहे.

हल्लेखोरांनी ३६ तास आधी तयारी केली, ५० EIP-7702 अधिकृतता स्वाक्षरी केल्या—एक नवीन Ethereum वैशिष्ट्य जे वॉलेटला तात्पुरते वापरासाठी प्रोग्राम "भाड्याने" घेण्याची परवानगी देते—आणि नंतर Binance च्या हॉट वॉलेटने स्वतःच पैसे बाहेर काढले; ४० मिनिटे, १० नेटवर्कवर. एका सुरक्षा फर्मचा निष्कर्ष आहे की त्यांनी बहुधा Binance च्या स्वाक्षरी प्रणालीपर्यंत आधीच पोहोचले होते.

या संघटनेच्या प्रकरणांमधील रक्कम

सर्वात प्रसिद्ध बारा प्रकरणे: $९.७ अब्ज.

Binance एकट्याचा वाटा $६.३ अब्ज. उर्वरित अकरा प्रकरणे, २०२२ ते २०२६, एकूण $३.४४ अब्ज.

Bybit चे $१.५ अब्ज बदललेले फ्रंट एंड होते; Ronin चे $६२० दशलक्ष भरतीची फसवणूक होती; Bitget चे $३८८ दशलक्ष वॉलेट सिस्टममध्ये लिहिलेल्या बनावट पैसे काढण्याच्या सूचना होत्या.

DMM $३०८ दशलक्ष, WazirX $२३५ दशलक्ष, Harmony आणि Atomic प्रत्येकी $१०० दशलक्ष, Alphapo $६० दशलक्ष, CoinEx $५५ दशलक्ष, Stake $४१ दशलक्ष, CoinsPaid $३७ दशलक्ष.

आलेखात, फक्त Binance, Bybit, आणि DMM प्रकरणांना अमेरिकी सरकारने थेट TraderTraitor म्हणून नाव दिले. Ronin, Harmony, Stake, Alphapo, CoinsPaid, आणि Atomic यांना FBI ने Lazarus/APT38 ला श्रेय दिले; WazirX चे नाव जानेवारी २०२५ मध्ये अमेरिका, जपान, आणि दक्षिण कोरियाच्या संयुक्त निवेदनात घेतले गेले; CoinEx फक्त ऑन-चेन विश्लेषण फर्मांनी अनुमानित केले. Bitget प्रकरण अनेक फर्मांनी TraderTraitor शी संबंधित असल्याचा संशय व्यक्त केला आहे, परंतु कोणीही औपचारिकपणे श्रेय दिले नाही.

TRM आकडेवारीनुसार, उत्तर कोरियाने २०१७ पासून १०० प्रकरणे केली आहेत, एकूण सुमारे $१२.८ अब्ज; या वर्षी आतापर्यंत $७.४ अब्ज; २०२६ मधील एकूण जागतिक क्रिप्टो मालमत्ता चोरीपैकी ८५% उत्तर कोरियाला श्रेय दिले जाते. हा तक्ता त्यापैकी फक्त बारा समाविष्ट करतो.ज्यांचे चेहरे जुळवले जाऊ शकतात

अमेरिकी अधिकाऱ्यांनी नावे घेतलेल्या एकापेक्षा जास्त उत्तर कोरियन हॅकर्सचे फोटोही प्रसिद्ध केले आहेत. पार्क जिन ह्योक, जॉन चांग ह्योक आणि किम इल हे सर्व फेब्रुवारी 2021 च्या अभियोगपत्रात होते; 2024 मध्ये, रिम जोंग ह्योक यांना जोडण्यात आले, त्यांच्यावर $10 दशलक्ष बक्षीस होते.

पार्क जिन ह्योक (Park Jin Hyok), FBI च्या शोधात

पार्क जिन ह्योक यांच्यावर सर्वात आधी अभियोग ठेवण्यात आला होता: जून 2018 मध्ये, अमेरिकी न्याय विभागाने त्यांच्यावर फौजदारी आरोप दाखल केले, आणि त्याच वर्षी सप्टेंबरमध्ये अभियोगपत्र सार्वजनिक करण्यात आले. अभियोगपत्रात म्हटले होते की त्यांनी सहभागी झालेल्या कटात 2014 चा Sony Pictures हल्ला, 2017 चा WannaCry हल्ला आणि 2016 मध्ये Bangladesh Bank मधून हस्तांतरित केलेले $81 दशलक्ष यांचा समावेश होता. ते अजूनही फरार आहेत आणि कधीही न्यायालयात हजर झाले नाहीत.

Binance चोरीचा मागोवा

Binance ने कंपनीच्या निधी, SAFU निधी आणि फ्युचर्स विमा निधीद्वारे सुमारे 90% भरपाई केली आहे; उर्वरित 10% हे अल्पद्रवता असलेले टोकन आहेत; संपूर्ण नुकसान कंपनीने सोसले आहे, वापरकर्त्यांनी नाही.

1 नोव्हेंबरपर्यंत, सुमारे $2.7 अब्ज, म्हणजे सुमारे 42%, स्टेबलकॉइन जारीकर्ते आणि Arbitrum सुरक्षा परिषदेने गोठवले होते. हल्लेखोरांकडे अजूनही 420,000 ETH आणि 18,270 BTC आहेत, सुमारे $2.4 अब्ज.

मनी लाँडरिंगचा मार्ग अजूनही नेहमीचा आहे: साखळी बदलण्यासाठी क्रॉस-चेन ब्रिज, नाणी बदलण्यासाठी THORChain सारख्या सेवा, अनेक लोकांची नाणी एकत्र मिसळून विखुरण्यासाठी मिक्सर, आणि शेवटी ओव्हर-द-काउंटर ट्रेडिंग.

यावेळी काही अडचणी आल्या. THORChain ने नुकतेच Ethereum साखळीच्या पुनर्रचनेमुळे Binance हल्ल्यातील चोरीच्या निधीच्या मनी लाँडरिंगमध्ये चुकून विलंब केला. या साखळी पुनर्रचनेमुळे THORChain ने 10 ETH जमा केलेल्या एका वापरकर्त्याला चुकून दुहेरी परतावा जारी केला, ज्यामुळे प्रोटोकॉलची आपत्कालीन स्थगिती झाली, आणि तात्पुरते सर्व वापरकर्त्यांना क्रॉस-चेन स्वॅप करण्यापासून रोखले गेले, ज्यात उत्तर कोरियन हॅकर गटाच्या मनी लाँडरर्सचाही समावेश होता.

गेल्या वेळी, Bitget मधील चोरीचा निधी THORChain मधून गेला, आणि THORChain ने तो अजिबात गोठवला नाही, असे म्हणत की विकेंद्रीकरण म्हणजे ते गोठवू शकत नाहीत—पण गेल्या वेळी स्वतःवर हल्ला झाला तेव्हा त्यांनी असे म्हटले नव्हते. THORChain ने सेवा पुन्हा सुरू केल्यावर, यावेळच्या Binance चोरीतील चोरीचा निधी अजूनही THORChain मधून गेला तर, ते लोकांना थोपवण्यासाठी कोणते सबब सांगतील, हे अस्पष्ट आहे.