727 FinanceKuanzia wizi wa dola bilioni 6.3 wa Binance hadi uporaji mkubwa wa tasnia ya sarafu za kidijitali kama Bybit na Ronin, kikundi cha wadukuzi wa Korea Kaskazini TraderTraitor kimeanza kujitokeza hatua kwa hatua. Mtandao huu wa wadukuzi, uliotambuliwa na serikali ya Marekani, umetumiaje uajiri wa uongo, mashambulizi ya mnyororo wa ugavi, na utekaji nyara wa sahihi kuchukua karibu dola bilioni 10 za mali za kidijitali?
Mwandishi: BlockBeats
Mnamo Novemba 1, Ofisi ya Upelelezi ya Shirikisho ya Marekani ilitoa taarifa ikihusisha dola bilioni 6.3 zilizoibwa kutoka Binance mnamo Oktoba 29 na Korea Kaskazini. Taarifa hiyo ilitumia neno moja: TraderTraitor.
Ukitafuta jina hili, utagundua kwamba dola bilioni 1.5 za Bybit, dola milioni 300 za Bitget, na kesi kadhaa kubwa za sarafu za kidijitali za miaka iliyopita zote zinahusiana na jina hili.
TraderTraitor si kampuni, wala si kisanduku kwenye chati ya shirika. Ni jina la msimbo ambalo serikali ya Marekani imelipa aina fulani ya tabia.
Mnamo Aprili 2022, FBI, Shirika la Usalama wa Mtandao na Miundombinu ya Marekani (CISA), na Wizara ya Hazina ya Marekani kwa pamoja zilitoa taarifa yenye namba AA22-108A. Hiyo ilikuwa mara ya kwanza neno hilo kuonekana rasmi. Wakati huo, lilirejelea Trojan kadhaa zilizojificha kama programu za biashara ya crypto, kama vile DAFOM, TokenAIS, na CryptAIS, ambazo violesura vyake vilionekana vya kusadikisha na ambazo zilianza kuiba funguo za faragha mara tu zilipowekwa.
Watu walio nyuma ya hili wamekuwa wakiitwa Lazarus Group, APT38, BlueNoroff, na Stardust Chollima katika sekta hiyo kwa muda mrefu. Hizi si timu nne tofauti. Lazarus ni jina la mwavuli; APT38 (Mandiant), BlueNoroff (Kaspersky), na Stardust Chollima (CrowdStrike) ni majina matatu yaliyotolewa na makampuni tofauti ya usalama kwa mstari mmoja wa kutengeneza pesa.
Miaka miwili baadaye, lebo hiyo iliambatanishwa na mwenendo mahususi. Mnamo Desemba 23, 2024, FBI, Kituo cha Uhalifu wa Mtandao cha Wizara ya Ulinzi ya Marekani, na Shirika la Polisi la Kitaifa la Japan kwa pamoja zilitoa uhusiano wa kesi ya wizi wa dola milioni 300 ya DMM, zikitumia kwa mara ya kwanza maneno "wahusika wa mtandao wa Korea Kaskazini wanaofuatiliwa kama TraderTraitor" na kuorodhesha majina yake matatu ya utani: Jade Sleet (jina la Microsoft), UNC4899 (jina la Google), na Slow Pisces (jina la Palo Alto).
Taarifa sasa iko wazi kiasi: TraderTraitor ni kitengo ndani ya kundi kubwa la Lazarus ambacho kinabobea rasilimali za crypto na kwa sasa ndicho kinachopata faida kubwa zaidi. Angalau tangu 2020, kimejikita pekee katika blockchain—majukwaa ya biashara, DeFi, watoa huduma za pochi, fedha za crypto, na watu binafsi wanaomiliki kiasi kikubwa cha sarafu.
Kutoka kuiba benki hadi kuiba majukwaa ya biashara
Lazarus ni jina la mwavuli linalojumuisha kila kitu, kuanzia kufuta diski ngumu za Sony Pictures mnamo 2014 hadi kuhamisha pesa kutoka Benki ya Bangladesh mnamo 2016.
Chukua kesi ya Benki ya Bangladesh. Kitengo kilichoiendesha wakati huo kiliitwa APT38, pia kinajulikana kama BlueNoroff. Mnamo Februari 2016, walighushi maagizo ya SWIFT (mfumo wa kimataifa wa ujumbe unaotumika kwa uhamisho kati ya benki) na kujaribu kuhamisha dola bilioni 1 kutoka akaunti ya Benki ya Bangladesh katika Benki ya Akiba ya New York. Mwishowe walipata dola milioni 81, kwa sababu kosa la tahajia katika uhamisho mmoja lilisababisha benki ya kati kuusimamisha.
Ustadi wa kuchunguza taratibu za uendeshaji za benki, kupata mianya katika ukaguzi wa mikono, na kughushi maagizo baadaye ulihamishwa bila mabadiliko hadi majukwaa ya biashara ya sarafu za kidijitali.Karibu 2020. Walianza kuboresha mbinu zao, wakilenga ulimwengu wa crypto. Sababu ni rahisi kukisia: kuna pesa na hakuna udhibiti, na ukwasi ni wa kutosha.
Kuna mbinu kadhaa za mashambulizi.
Ya kwanza ni uajiri wa uongo. Mwindaji wa vichwa hukupata kwenye LinkedIn, hufanya mazungumzo ya kupendeza, na mwishowe hutuma "jaribio la programu kabla ya kuajiriwa" au kisanidi cha "zana ya ndani." Mara baada ya kusakinishwa, mashine inakuwa yao. Dola milioni 620 za Ronin zilipotea kwa njia hii.
Ya pili ni mnyororo wa ugavi. Badala ya kudanganya watu, wanahamia kuchafua minyororo ya zana za watengenezaji: hifadhi hasidi kwenye GitHub, vifurushi vilivyotiwa sumu kwenye npm, watoa huduma za utambulisho kama JumpCloud. Mtu mmoja anathirika, na msururu wa makampuni ya chini pia yanathirika.
Ya tatu ni kubadilisha miamala moja kwa moja. Katika kesi ya DMM ya Japani, waliiba vitambulisho vya kuingia vya upande wa pili, wakapenya mawasiliano ya ndani ya kampuni ya pochi Ginco, kisha wakabadilisha uhamisho ambao ungekuwa wa kawaida. Katika kesi ya Bybit, walidukua kompyuta ya mtengenezaji katika Safe{Wallet} na kuingiza script kwenye sehemu ya mbele ya wavuti; watia saini bado waliona ukurasa wa kawaida, lakini walichosaini kilikuwa muamala mwingine.
Hii pia inajumuisha kesi ya Binance wakati huu.
Washambuliaji walijiandaa saa 36 mapema, wakatia saini idhini 50 za EIP-7702—kipengele kipya cha Ethereum kinachoruhusu pochi "kukodisha" programu kwa muda ili itumike—kisha wakafanya pochi moto ya Binance ihamishe pesa yenyewe; dakika 40, katika mitandao 10. Hitimisho la kampuni moja ya usalama ni kwamba kuna uwezekano mkubwa walikuwa tayari wamefika kwenye mfumo wa utiaji saini wa Binance.
Kiasi kinachohusika katika kesi za shirika hili
Kesi kumi na mbili maarufu zaidi: dola bilioni 9.7.
Binance pekee inachukua dola bilioni 6.3. Kesi kumi na moja zilizobaki, kutoka 2022 hadi 2026, zinaongeza hadi dola bilioni 3.44.
Dola bilioni 1.5 za Bybit zilikuwa sehemu ya mbele iliyobadilishwa; dola milioni 620 za Ronin zilikuwa ulaghai wa uajiri; dola milioni 388 za Bitget zilikuwa maagizo ya uondoaji ya kughushi yaliyoandikwa kwenye mfumo wa pochi.
DMM dola milioni 308, WazirX dola milioni 235, Harmony na Atomic dola milioni 100 kila moja, Alphapo dola milioni 60, CoinEx dola milioni 55, Stake dola milioni 41, CoinsPaid dola milioni 37.
Katika chati, ni kesi za Binance, Bybit, na DMM pekee zilizotajwa moja kwa moja na serikali ya Marekani kama TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid, na Atomic zilihusishwa na FBI na Lazarus/APT38; WazirX ilitajwa katika taarifa ya pamoja ya Marekani, Japani, na Korea Kusini mnamo Januari 2025; CoinEx ilikisiwa tu na makampuni ya uchambuzi wa on-chain. Kesi ya Bitget inashukiwa na makampuni mengi kuwa na uhusiano na TraderTraitor, lakini hakuna lililohusisha rasmi.
Kulingana na takwimu za TRM, Korea Kaskazini imefanya kesi 100 tangu 2017, jumla ya takriban dola bilioni 12.8; dola bilioni 7.4 hadi sasa mwaka huu; 85% ya wizi wote wa rasili za crypto duniani mwaka 2026 unahusishwa na Korea Kaskazini. Jedwali hili linashughulikia kumi na mbili tu kati yao.Watu ambao nyuso zao zinaweza kulinganishwa
Kuna zaidi ya hacker mmoja wa Korea Kaskazini aliyetajwa na maafisa wa Marekani ambaye pia picha zake zimetolewa. Park Jin Hyok, Jon Chang Hyok, na Kim Il wote walikuwa katika hati ya mashtaka ya Februari 2021; mwaka 2024, Rim Jong Hyok aliongezwa, akiwa na zawadi ya dola milioni 10.
Park Jin Hyok (Park Jin Hyok), anayetafutwa na FBI
Park Jin Hyok alikuwa mmoja wa wa kwanza kushtakiwa: mnamo Juni 2018, Idara ya Haki ya Marekani ilifungua mashtaka ya jinai dhidi yake, na hati ya mashtaka ilifunuliwa mnamo Septemba mwaka huo huo. Hati ya mashtaka ilisema njama aliyoshiriki ilijumuisha shambulizi la Sony Pictures la 2016, shambulizi la WannaCry la 2017, na dola milioni 81 zilizohamishwa kutoka Benki ya Bangladesh mwaka 2016. Bado hayupo mikononi na hajawahi kufika mahakamani.
Ufuatiliaji wa wizi wa Binance
Binance imefidia takriban 90% kwa fedha za kampuni, mfuko wa SAFU, na mfuko wa bima ya hatima; 10% iliyobaki ni tokeni zisizo na ukwasi; hasara yote inabebwa na kampuni, si na watumiaji.
Hadi Novemba 1, takriban dola bilioni 2.7, au takriban 42%, zilikuwa zimegandishwa na watoa stablecoin na Baraza la Usalama la Arbitrum. Washambuliaji bado wanamiliki ETH 420,000 na BTC 18,270, takriban dola bilioni 2.4.
Njia ya utakatishaji fedha bado ni utaratibu wa kawaida: madaraja ya minyororo kubadilisha minyororo, huduma kama THORChain kubadilisha sarafu, vichanganyaji kuchanganya na kutawanya sarafu za watu wengi pamoja, na hatimaye biashara ya nje ya soko.
Kulikuwa na matatizo kadhaa wakati huu. THORChain hivi karibuni ilichelewesha kwa bahati mbaya utakatishaji wa fedha zilizoibiwa katika shambulizi la Binance kutokana na upangaji upya wa mnyororo wa Ethereum. Upangaji upya huu wa mnyororo ulisababisha THORChain kutoa kwa makosa marejesho ya nakala kwa mtumiaji aliyeweka ETH 10, ambayo nayo ilisababisha kusimamishwa kwa dharura kwa itifaki, na kwa muda kuzuia watumiaji wote kufanya ubadilishaji wa minyororo, ikiwa ni pamoja na watakatishaji fedha wa kikundi cha hacker cha Korea Kaskazini.
Mara ya mwisho, fedha zilizoibiwa kutoka Bitget zilipitia THORChain, na THORChain haikuzigandisha kabisa, ikisema kwamba ugatuzi unamaanisha hawawezi kugandisha—lakini sivyo walivyosema walipodukuliwa wao wenyewe mara ya mwisho. THORChain itakaporejea huduma, ikiwa fedha zilizoibiwa kutoka wizi wa Binance wakati huu bado zitapita THORChain, haijulikani ni kisingizio gani watakuwa nacho cha kuwapumbaza watu.