727 FinanceDaripada kecurian Binance bernilai $6.3 bilion sehingga rompakan besar dalam industri mata wang kripto seperti Bybit dan Ronin, kumpulan penggodam Korea Utara TraderTraitor semakin terdedah. Bagaimanakah rangkaian penggodam ini, yang ditetapkan oleh kerajaan Amerika Syarikat, menggunakan taktik pengambilan pekerja palsu, serangan rantaian bekalan, dan pembajakan tandatangan untuk melarikan diri dengan aset kripto bernilai hampir $10 bilion?
Penulis: BlockBeats
Pada 1 November, Biro Penyiasatan Persekutuan Amerika Syarikat mengeluarkan notis yang mengaitkan $6.3 bilion yang dicuri daripada Binance pada 29 Oktober dengan Korea Utara. Notis itu menggunakan satu istilah: TraderTraitor.
Jika anda mencari nama ini, anda akan mendapati bahawa $1.5 bilion Bybit, $300 juta Bitget, dan beberapa kes mata wang kripto utama dari tahun-tahun sebelumnya semuanya berkaitan dengan nama ini.
TraderTraitor bukan sebuah syarikat, dan bukan juga satu kotak dalam carta organisasi. Ia ialah nama kod yang diberikan oleh kerajaan Amerika Syarikat kepada satu kategori tingkah laku.
Pada April 2022, FBI, Agensi Keselamatan Siber dan Infrastruktur Amerika Syarikat (CISA), dan Jabatan Perbendaharaan Amerika Syarikat bersama-sama mengeluarkan notis bernombor AA22-108A. Itulah kemunculan rasmi pertama istilah tersebut. Pada masa itu, ia merujuk kepada beberapa trojan yang menyamar sebagai perisian dagangan kripto, seperti DAFOM, TokenAIS, dan CryptAIS, yang antara mukanya kelihatan meyakinkan dan mula mencuri kunci peribadi sebaik sahaja dipasang.
Pihak di belakang ini telah lama dipanggil Lazarus Group, APT38, BlueNoroff, dan Stardust Chollima dalam industri. Ini bukan empat pasukan berasingan. Lazarus ialah nama payung; APT38 (Mandiant), BlueNoroff (Kaspersky), dan Stardust Chollima (CrowdStrike) ialah tiga nama yang diberikan oleh syarikat keselamatan berbeza kepada barisan pencarian wang yang sama.
Dua tahun kemudian, label itu dilekatkan kepada tingkah laku tertentu. Pada 23 Disember 2024, FBI, Pusat Jenayah Siber Jabatan Pertahanan Amerika Syarikat, dan Agensi Polis Negara Jepun bersama-sama mengeluarkan atribusi untuk kes kecurian DMM bernilai $300 juta, menggunakan buat pertama kalinya frasa "pelaku siber Korea Utara yang dijejaki sebagai TraderTraitor" dan menyenaraikan tiga aliasnya: Jade Sleet (nama Microsoft), UNC4899 (nama Google), dan Slow Pisces (nama Palo Alto).
Maklumat kini agak jelas: TraderTraitor ialah unit dalam kumpulan Lazarus yang lebih besar yang mengkhusus dalam aset kripto dan pada masa ini merupakan yang paling menguntungkan. Sekurang-kurangnya sejak 2020, ia telah menumpukan sepenuhnya kepada blockchain—platform dagangan, DeFi, penyedia perkhidmatan dompet, dana kripto, dan individu yang memegang sejumlah besar syiling.
Daripada merompak bank kepada merompak platform dagangan
Lazarus ialah nama payung yang merangkumi segala-galanya, daripada memadam cakera keras Sony Pictures pada 2014 hingga memindahkan wang keluar dari Bangladesh Bank pada 2016.
Ambil kes Bangladesh Bank. Unit yang melaksanakannya pada masa itu dipanggil APT38, juga dikenali sebagai BlueNoroff. Pada Februari 2016, mereka memalsukan arahan SWIFT (sistem pemesejan antarabangsa yang digunakan untuk pemindahan antara bank) dan cuba memindahkan $1 bilion keluar dari akaun Bangladesh Bank di New York Fed. Mereka akhirnya mendapat $81 juta, kerana satu kesilapan ejaan dalam satu pemindahan menyebabkan bank perantara menghentikannya.
Kemahiran mengkaji prosedur operasi bank, mencari jurang dalam semakan manual, dan memalsukan arahan kemudiannya dipindahkan tanpa perubahan kepada platform dagangan mata wang kripto.Sekitar tahun 2020. Mereka mula meningkatkan kaedah mereka, dengan dunia kripto sebagai sasaran. Sebabnya mudah diteka: ada wang dan tiada peraturan, dan kecairan yang memadai.
Terdapat beberapa kaedah serangan.
Yang pertama ialah pengambilan pekerja palsu. Seorang headhunter menghubungi anda di LinkedIn, berbual dengan mesra, dan akhirnya menghantar "ujian pengaturcaraan pra-pekerjaan" atau pemasang untuk "alat dalaman." Setelah dipasang, mesin itu menjadi milik mereka. $620 juta Ronin hilang melalui cara ini.
Yang kedua ialah rantaian bekalan. Daripada menipu orang, mereka beralih kepada mencemarkan rantaian alat pembangun: repositori berniat jahat di GitHub, pakej beracun di npm, penyedia perkhidmatan identiti seperti JumpCloud. Seorang dikompromi, dan sederet syarikat hiliran turut dikompromi.
Yang ketiga ialah mengubah transaksi secara langsung. Dalam kes DMM Jepun, mereka mencuri kelayakan log masuk pihak lain, menyusup ke komunikasi dalaman syarikat dompet Ginco, dan kemudian mengubah pemindahan yang sepatutnya normal. Dalam kes Bybit, mereka menggodam komputer seorang pembangun di Safe{Wallet} dan menyisipkan skrip ke dalam bahagian hadapan web; penandatangan masih melihat halaman normal, tetapi apa yang mereka tandatangani ialah transaksi lain.
Ini juga termasuk kes Binance kali ini.
Penyerang membuat persiapan 36 jam lebih awal, menandatangani 50 kebenaran EIP-7702—ciri baharu Ethereum yang membolehkan dompet "menyewa" program sementara untuk digunakan—dan kemudian membuat dompet panas Binance memindahkan wang itu sendiri; 40 minit, merentasi 10 rangkaian. Kesimpulan sebuah firma keselamatan ialah mereka berkemungkinan besar telah pun mencapai sistem penandatanganan Binance.
Jumlah yang terlibat dalam kes-kes organisasi ini
Dua belas kes paling terkenal: $9.7 bilion.
Binance sahaja menyumbang $6.3 bilion. Sebelas kes selebihnya, dari 2022 hingga 2026, berjumlah $3.44 bilion.
$1.5 bilion Bybit ialah bahagian hadapan yang diubah; $620 juta Ronin ialah penipuan pengambilan pekerja; $388 juta Bitget ialah arahan pengeluaran palsu yang ditulis ke dalam sistem dompet.
DMM $308 juta, WazirX $235 juta, Harmony dan Atomic $100 juta setiap satu, Alphapo $60 juta, CoinEx $55 juta, Stake $41 juta, CoinsPaid $37 juta.
Dalam carta, hanya kes Binance, Bybit, dan DMM yang secara langsung dinamakan oleh kerajaan Amerika Syarikat sebagai TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid, dan Atomic dikaitkan oleh FBI dengan Lazarus/APT38; WazirX dinamakan dalam kenyataan bersama Amerika Syarikat, Jepun, dan Korea Selatan pada Januari 2025; CoinEx hanya disimpulkan oleh firma analisis on-chain. Kes Bitget disyaki oleh beberapa firma berkaitan dengan TraderTraitor, tetapi tiada yang secara rasmi mengaitkannya.
Menurut statistik TRM, Korea Utara telah menjalankan 100 kes sejak 2017, berjumlah kira-kira $12.8 bilion; $7.4 bilion setakat tahun ini; 85% daripada jumlah kecurian aset kripto global pada 2026 dikaitkan dengan Korea Utara. Jadual ini hanya merangkumi dua belas daripadanya.Wajah-wajah yang boleh dipadankan
Terdapat lebih daripada seorang penggodam Korea Utara yang dinamakan oleh pegawai Amerika Syarikat yang gambarnya juga telah dikeluarkan. Park Jin Hyok, Jon Chang Hyok, dan Kim Il semuanya terdapat dalam pendakwaan Februari 2021; pada 2024, Rim Jong Hyok ditambah, dengan ganjaran $10 juta.
Park Jin Hyok (Park Jin Hyok), dikehendaki oleh FBI
Park Jin Hyok adalah salah seorang yang paling awal didakwa: pada Jun 2018, Jabatan Kehakiman Amerika Syarikat memfailkan tuduhan jenayah terhadapnya, dan pendakwaan itu didedahkan pada September tahun yang sama. Pendakwaan itu menyatakan konspirasi yang disertainya termasuk serangan Sony Pictures 2014, serangan WannaCry 2017, dan $81 juta yang dipindahkan dari Bangladesh Bank pada 2016. Dia masih bebas dan tidak pernah muncul di mahkamah.
Pemantauan kecurian Binance
Binance telah menampung kira-kira 90% dengan dana syarikat, dana SAFU, dan dana insurans niaga hadapan; baki 10% adalah token tidak likuid; keseluruhan kerugian ditanggung oleh syarikat, bukan oleh pengguna.
Setakat 1 November, kira-kira $2.7 bilion, atau kira-kira 42%, telah dibekukan oleh pengeluar stablecoin dan Majlis Keselamatan Arbitrum. Penyerang masih memegang 420,000 ETH dan 18,270 BTC, kira-kira $2.4 bilion.
Laluan pengubahan wang haram masih amalan standard: jambatan rentas rantaian untuk menukar rantaian, perkhidmatan seperti THORChain untuk menukar syiling, pencampur untuk mencampur dan menyerakkan syiling ramai orang bersama-sama, dan akhirnya perdagangan over-the-counter.
Terdapat beberapa gangguan kali ini. THORChain baru-baru ini secara tidak sengaja melambatkan pengubahan wang haram dana curian dalam serangan Binance disebabkan oleh penyusunan semula rantaian Ethereum. Penyusunan semula rantaian ini menyebabkan THORChain tersilap mengeluarkan bayaran balik pendua kepada seorang pengguna yang mendepositkan 10 ETH, yang seterusnya mencetuskan jeda kecemasan protokol itu, sementara menghalang semua pengguna daripada menjalankan pertukaran rentas rantaian, termasuk pengubah wang haram kumpulan penggodam Korea Utara.
Kali lepas, dana curian dari Bitget melalui THORChain, dan THORChain tidak membekukannya sama sekali, mengatakan bahawa desentralisasi bermakna mereka tidak boleh membekukannya—tetapi itu bukan apa yang mereka katakan ketika mereka sendiri digodam kali lepas. Apabila THORChain menyambung semula perkhidmatan, jika dana curian dari kecurian Binance kali ini masih melalui THORChain, tidak jelas alasan apa yang akan mereka gunakan untuk mengelak orang ramai.