727 FinanceОт кражи 6,3 млрд долларов у Binance до крупных ограблений в криптовалютной индустрии, таких как Bybit и Ronin, северокорейская хакерская группа TraderTraitor постепенно вышла на свет. Как эта хакерская сеть, обозначенная правительством США, использовала фиктивный рекрутинг, атаки на цепочку поставок и перехват подписей, чтобы похитить почти 10 млрд долларов в криптоактивах?
Автор: BlockBeats
1 ноября Федеральное бюро расследований США выпустило уведомление, в котором приписало Северной Корее кражу 6,3 млрд долларов у Binance 29 октября. В уведомлении использовался один термин: TraderTraitor.
Если поискать это название, вы обнаружите, что 1,5 млрд долларов Bybit, 300 млн долларов Bitget и несколько крупных криптовалютных дел прошлых лет связаны с этим именем.
TraderTraitor — это не компания и не прямоугольник на организационной схеме. Это кодовое название, которое правительство США присвоило категории поведения.
В апреле 2022 года ФБР, Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) и Министерство финансов США совместно выпустили уведомление под номером AA22-108A. Это было первое официальное появление термина. В то время он относился к нескольким троянам, замаскированным под программное обеспечение для криптоторговли, таким как DAFOM, TokenAIS и CryptAIS, чьи интерфейсы выглядели убедительно и которые после установки начинали красть приватные ключи.
Людей, стоящих за этим, в отрасли давно называют Lazarus Group, APT38, BlueNoroff и Stardust Chollima. Это не четыре отдельные команды. Lazarus — это зонтичное название; APT38 (Mandiant), BlueNoroff (Kaspersky) и Stardust Chollima (CrowdStrike) — три названия, данные разными компаниями по безопасности одной и той же линии, приносящей деньги.
Два года спустя ярлык был привязан к конкретному поведению. 23 декабря 2024 года ФБР, Центр по борьбе с киберпреступностью Министерства обороны США и Национальное полицейское агентство Японии совместно опубликовали атрибуцию дела о краже 300 млн долларов у DMM, впервые использовав формулировку «северокорейские киберсубъекты, отслеживаемые как TraderTraitor», и перечислив три его псевдонима: Jade Sleet (название Microsoft), UNC4899 (название Google) и Slow Pisces (название Palo Alto).
Сейчас информация относительно ясна: TraderTraitor — это подразделение внутри более крупной группы Lazarus, которое специализируется на криптоактивах и в настоящее время является наиболее прибыльным. По крайней мере с 2020 года оно сосредоточено исключительно на блокчейне — торговых платформах, DeFi, поставщиках кошельковых услуг, криптофондах и частных лицах, владеющих большими объёмами монет.
От ограбления банков к ограблению торговых платформ
Lazarus — это зонтичное название, охватывающее всё: от стирания жёстких дисков Sony Pictures в 2014 году до вывода денег из Бангладешского банка в 2016 году.
Возьмём дело Бангладешского банка. Подразделение, которое его осуществило, тогда называлось APT38, также известное как BlueNoroff. В феврале 2016 года они подделали инструкции SWIFT (международная система обмена сообщениями, используемая для межбанковских переводов) и попытались перевести 1 млрд долларов со счёта Бангладешского банка в Федеральном резервном банке Нью-Йорка. В итоге они получили 81 млн долларов, потому что орфографическая ошибка в одном переводе заставила банк-посредник остановить его.
Методика изучения процедур работы банков, поиска пробелов в ручной проверке и подделки инструкций позже была без изменений перенесена на криптовалютные торговые платформы.Примерно с 2020 года. Они начали совершенствовать свои методы, выбрав целью криптомир. Причина очевидна: там есть деньги и нет регулирования, а ликвидность приличная.
Существует несколько методов атаки.
Первый — фальшивый рекрутинг. Хедхантер связывается с вами в LinkedIn, ведёт приятную беседу и в конце присылает «тестовое задание по программированию перед приёмом на работу» или установщик «внутреннего инструмента». После установки машина принадлежит им. Так были потеряны 620 миллионов долларов Ronin.
Второй — цепочка поставок. Вместо обмана людей они переключаются на заражение инструментальных цепочек разработчиков: вредоносные репозитории на GitHub, отравленные пакеты в npm, провайдеры идентификации вроде JumpCloud. Один человек скомпрометирован — и цепочка нижестоящих компаний тоже скомпрометирована.
Третий — прямое изменение транзакций. В японском деле DMM они украли учётные данные другой стороны, проникли во внутренние коммуникации кошельковой компании Ginco и затем изменили перевод, который должен был быть обычным. В деле Bybit они взломали компьютер разработчика в Safe{Wallet} и вставили скрипт в веб-фронтенд; подписанты по-прежнему видели обычную страницу, но подписывали другую транзакцию.
Сюда же относится и дело Binance на этот раз.
Атакующие подготовились за 36 часов, подписали 50 авторизаций EIP-7702 — новую функцию Ethereum, позволяющую кошельку временно «арендовать» программу для использования, — и затем заставили горячий кошелёк Binance сам перевести деньги; 40 минут, через 10 сетей. Вывод одной охранной фирмы: они, весьма вероятно, уже добрались до системы подписи Binance.
Сумма по делам этой организации
Двенадцать самых известных дел: 9,7 миллиарда долларов.
Только Binance приходится 6,3 миллиарда долларов. Остальные одиннадцать дел с 2022 по 2026 год в сумме дают 3,44 миллиарда долларов.
1,5 миллиарда долларов Bybit — это изменённый фронтенд; 620 миллионов долларов Ronin — это рекрутинговая афера; 388 миллионов долларов Bitget — это поддельные инструкции на вывод, записанные в кошелёкковую систему.
DMM 308 миллионов долларов, WazirX 235 миллионов долларов, Harmony и Atomic по 100 миллионов долларов, Alphapo 60 миллионов долларов, CoinEx 55 миллионов долларов, Stake 41 миллион долларов, CoinsPaid 37 миллионов долларов.
На графике только дела Binance, Bybit и DMM были напрямую названы правительством США как TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid и Atomic были приписаны ФБР к Lazarus/APT38; WazirX был назван в совместном заявлении США, Японии и Южной Кореи в январе 2025 года; CoinEx был только выведен фирмами ончейн-аналитики. Дело Bitget подозревается несколькими фирмами как связанное с TraderTraitor, но ни одна не приписала его официально.
Согласно статистике TRM, Северная Корея осуществила 100 дел с 2017 года на общую сумму около 12,8 миллиарда долларов; 7,4 миллиарда долларов на данный момент в этом году; 85% от общего объёма глобальных краж криптоактивов в 2026 году приписывается Северной Корее. Эта таблица охватывает только двенадцать из них.Люди, чьи лица можно сопоставить
Сотрудники США назвали более одного северокорейского хакера, чьи фотографии также были обнародованы. Пак Чин Хёк, Чон Чхан Хёк и Ким Иль все фигурировали в обвинительном заключении в феврале 2021 года; в 2024 году к ним добавился Лим Чон Хёк с вознаграждением в 10 миллионов долларов.
Пак Чин Хёк (Park Jin Hyok), разыскиваемый ФБР
Пак Чин Хёк был одним из первых, кому предъявили обвинение: в июне 2018 года Министерство юстиции США выдвинуло против него уголовные обвинения, а обвинительное заключение было рассекречено в сентябре того же года. В обвинительном заключении говорилось, что в сговор, в котором он участвовал, входили атака на Sony Pictures в 2014 году, атака WannaCry в 2017 году и перевод 81 миллиона долларов из Бангладешского банка в 2016 году. Он по-прежнему находится в бегах и ни разу не предстал перед судом.
Отслеживание кражи Binance
Binance покрыла около 90% за счёт средств компании, фонда SAFU и фьючерсного страхового фонда; оставшиеся 10% — это неликвидные токены; весь ущерб несёт компания, а не пользователи.
По состоянию на 1 ноября около 2,7 миллиарда долларов, или около 42%, было заморожено эмитентами стейблкоинов и Советом безопасности Arbitrum. Злоумышленники по-прежнему владеют 420 000 ETH и 18 270 BTC, что составляет около 2,4 миллиарда долларов.
Маршрут отмывания денег по-прежнему стандартный: кроссчейн-мосты для смены цепочек, сервисы вроде THORChain для обмена монет, микшеры для смешивания и рассредоточения монет множества людей вместе и, наконец, внебиржевая торговля.
На этот раз были некоторые сбои. THORChain недавно случайно задержал отмывание украденных средств в атаке на Binance из-за реорганизации цепочки Ethereum. Эта реорганизация цепочки привела к тому, что THORChain ошибочно выдал дублирующие возвраты пользователю, который внёс 10 ETH, что, в свою очередь, вызвало экстренную приостановку протокола, временно лишив всех пользователей возможности проводить кроссчейн-свопы, включая отмывателей денег северокорейской хакерской группы.
В прошлый раз украденные средства Bitget проходили через THORChain, и THORChain их вовсе не заморозил, заявив, что децентрализация означает, что они не могут замораживать — но это не то, что они говорили, когда их самих взломали в прошлый раз. Когда THORChain возобновит работу, если украденные средства из этой кражи Binance всё ещё будут проходить через THORChain, непонятно, каким оправданием они будут отговариваться.