బైనాన్స్ నుండి బైబిట్ వరకు: ట్రేడర్ ట్రైటర్ వెనుక ఉన్న ఉత్తర కొరియా హ్యాకర్ నెట్వర్క్

$6.3 బిలియన్ బైనాన్స్ దొంగతనం నుండి బైబిట్ మరియు రోనిన్ వంటి ప్రధాన క్రిప్టోకరెన్సీ పరిశ్రమ దోపిడీల వరకు, ఉత్తర కొరియా హ్యాకర్ గ్రూప్ ట్రేడర్ ట్రైటర్ క్రమంగా వెలుగులోకి వచ్చింది. అమెరికా ప్రభుత్వం గుర్తించిన ఈ హ్యాకర్ నెట్వర్క్, నకిలీ నియామకాలు, సప్లై చైన్ దాడులు మరియు సంతకం హైజాకింగ్ ఉపయోగించి దాదాపు $10 బిలియన్ విలువైన క్రిప్టో ఆస్తులను ఎలా దోచుకుంది?

రచయిత: BlockBeats

నవంబర్ 1న, యునైటెడ్ స్టేట్స్ ఫెడరల్ బ్యూరో ఆఫ్ ఇన్వెస్టిగేషన్ ఒక నోటీసు జారీ చేస్తూ, అక్టోబర్ 29న బైనాన్స్ నుండి దొంగిలించబడిన 6.3 బిలియన్ డాలర్లను ఉత్తర కొరియాకు ఆపాదించింది. ఆ నోటీసులో ఒక పదాన్ని ఉపయోగించారు: TraderTraitor.

ఈ పేరును మీరు శోధిస్తే, బైబిట్ యొక్క 1.5 బిలియన్ డాలర్లు, బిట్గెట్ యొక్క 300 మిలియన్ డాలర్లు, మరియు గత సంవత్సరాలలోని పలు ప్రధాన క్రిప్టోకరెన్సీ కేసులు అన్నీ ఈ పేరుతో అనుసంధానించబడి ఉన్నాయని మీరు కనుగొంటారు.

TraderTraitor అనేది ఒక కంపెనీ కాదు, సంస్థాగత చార్ట్లోని ఒక పెట్టె కూడా కాదు. ఇది యునైటెడ్ స్టేట్స్ ప్రభుత్వం ఒక రకమైన ప్రవర్తనకు ఇచ్చిన కోడ్నేమ్.

ఏప్రిల్ 2022లో, FBI, యునైటెడ్ స్టేట్స్ సైబర్సెక్యూరిటీ అండ్ ఇన్ఫ్రాస్ట్రక్చర్ సెక్యూరిటీ ఏజెన్సీ (CISA), మరియు యునైటెడ్ స్టేట్స్ డిపార్ట్మెంట్ ఆఫ్ ది ట్రెజరీ కలిసి AA22-108A సంఖ్యతో ఒక నోటీసును జారీ చేశాయి. అది ఆ పదం మొదటిసారి అధికారికంగా కనిపించిన సందర్భం. అప్పుడు అది DAFOM, TokenAIS, మరియు CryptAIS వంటి క్రిప్టో ట్రేడింగ్ సాఫ్ట్వేర్గా మారువేషం ధరించిన పలు ట్రోజన్లను సూచించింది, వాటి ఇంటర్ఫేస్లు నమ్మదగినవిగా కనిపించాయి మరియు ఇన్స్టాల్ చేయబడిన తర్వాత ప్రైవేట్ కీలను దొంగిలించడం ప్రారంభించాయి.

వీటి వెనుక ఉన్న వ్యక్తులను పరిశ్రమలో చాలా కాలంగా Lazarus Group, APT38, BlueNoroff, మరియు Stardust Chollima అని పిలుస్తారు. ఇవి నాలుగు వేర్వేరు బృందాలు కావు. Lazarus అనేది సమగ్ర పేరు; APT38 (Mandiant), BlueNoroff (Kaspersky), మరియు Stardust Chollima (CrowdStrike) అనేవి వేర్వేరు భద్రతా కంపెనీలు ఒకే డబ్బు సంపాదన విభాగానికి ఇచ్చిన మూడు పేర్లు.

రెండు సంవత్సరాల తర్వాత, ఆ లేబుల్ నిర్దిష్ట ప్రవర్తనకు జోడించబడింది. డిసెంబర్ 23, 2024న, FBI, యునైటెడ్ స్టేట్స్ డిపార్ట్మెంట్ ఆఫ్ డిఫెన్స్ సైబర్ క్రైమ్ సెంటర్, మరియు జపాన్ నేషనల్ పోలీస్ ఏజెన్సీ కలిసి 300 మిలియన్ డాలర్ల DMM దొంగతనం కేసుకు ఆపాదనను విడుదల చేశాయి, మొదటిసారిగా "North Korean cyber actors tracked as TraderTraitor" అనే పదబంధాన్ని ఉపయోగించి, దాని మూడు మారుపేర్లను జాబితా చేశాయి: Jade Sleet (Microsoft పేరు), UNC4899 (Google పేరు), మరియు Slow Pisces (Palo Alto పేరు).

సమాచారం ఇప్పుడు సాపేక్షంగా స్పష్టంగా ఉంది: TraderTraitor అనేది పెద్ద Lazarus సమూహంలోని క్రిప్టో ఆస్తులలో ప్రత్యేకత కలిగిన యూనిట్ మరియు ప్రస్తుతం అత్యధిక లాభదాయకమైనది. కనీసం 2020 నుండి, ఇది ప్రత్యేకంగా బ్లాక్చెయిన్పై దృష్టి పెట్టింది—ట్రేడింగ్ ప్లాట్ఫారమ్లు, DeFi, వాలెట్ సేవా ప్రదాతలు, క్రిప్టో ఫండ్లు, మరియు పెద్ద మొత్తంలో నాణేలను కలిగి ఉన్న వ్యక్తులు.

బ్యాంకులను దోచుకోవడం నుండి ట్రేడింగ్ ప్లాట్ఫారమ్లను దోచుకోవడం వరకు

Lazarus అనేది 2014లో Sony Pictures యొక్క హార్డ్ డ్రైవ్లను తుడిచివేయడం నుండి 2016లో బంగ్లాదేశ్ బ్యాంక్ నుండి డబ్బును తరలించడం వరకు అన్నింటినీ కవర్ చేసే సమగ్ర పేరు.

బంగ్లాదేశ్ బ్యాంక్ కేసును తీసుకోండి. దానిని నిర్వహించిన యూనిట్ను అప్పుడు APT38 అని పిలిచేవారు, దీనిని BlueNoroff అని కూడా పిలుస్తారు. ఫిబ్రవరి 2016లో, వారు SWIFT సూచనలను (బ్యాంకుల మధ్య బదిలీలకు ఉపయోగించే అంతర్జాతీయ సందేశ వ్యవస్థ) జాలీకరించి, న్యూయార్క్ ఫెడ్లోని బంగ్లాదేశ్ బ్యాంక్ ఖాతా నుండి 1 బిలియన్ డాలర్లను బదిలీ చేయడానికి ప్రయత్నించారు. చివరికి వారికి 81 మిలియన్ డాలర్లు లభించాయి, ఎందుకంటే ఒక బదిలీలోని అక్షర దోషం కారణంగా ఒక మధ్యవర్తి బ్యాంకు దానిని ఆపింది.

బ్యాంకుల నిర్వహణ విధానాలను అధ్యయనం చేయడం, మాన్యువల్ సమీక్షలోని లోపాలను కనుగొనడం, మరియు సూచనలను జాలీకరించడం అనే నైపుణ్యం తర్వాత మార్పు లేకుండా క్రిప్టోకరెన్సీ ట్రేడింగ్ ప్లాట్ఫారమ్లకు బదిలీ చేయబడింది.సుమారు 2020. వారు క్రిప్టో ప్రపంచాన్ని లక్ష్యంగా చేసుకుని తమ పద్ధతులను అప్‌గ్రేడ్ చేయడం ప్రారంభించారు. కారణం ఊహించడం సులభం: డబ్బు ఉంది, నియంత్రణ లేదు, మరియు లిక్విడిటీ మెరుగ్గా ఉంది.

దాడి చేయడానికి అనేక పద్ధతులు ఉన్నాయి.

మొదటిది నకిలీ రిక్రూటింగ్. ఒక హెడ్‌హంటర్ LinkedInలో మిమ్మల్ని సంప్రదిస్తాడు, ఆహ్లాదకరమైన సంభాషణ చేస్తాడు, చివరగా "ఉద్యోగానికి ముందు ప్రోగ్రామింగ్ పరీక్ష" లేదా "అంతర్గత సాధనం" కోసం ఇన్‌స్టాలర్ పంపుతాడు. ఒకసారి ఇన్‌స్టాల్ చేయబడితే, మెషీన్ వారి చేతుల్లోకి వెళ్తుంది. రోనిన్‌కు చెందిన $620 మిలియన్లు ఈ విధంగానే పోయాయి.

రెండవది సప్లై చైన్. వ్యక్తులను మోసం చేయడం బదులు, వారు డెవలపర్ల టూల్‌చైన్‌లను కలుషితం చేయడం వైపు మారుతారు: GitHubలో హానికరమైన రిపాజిటరీలు, npmలో విషపూరిత ప్యాకేజీలు, JumpCloud వంటి గుర్తింపు సేవా ప్రదాతలు. ఒక వ్యక్తి హ్యాక్ చేయబడితే, దిగువన ఉన్న కంపెనీల శ్రేణి కూడా హ్యాక్ చేయబడుతుంది.

మూడవది లావాదేవీలను నేరుగా మార్చడం. జపాన్ DMM కేసులో, వారు ఎదుటివారి లాగిన్ ఆధారాలను దొంగిలించారు, వాలెట్ కంపెనీ Ginco అంతర్గత కమ్యూనికేషన్లలోకి చొరబడ్డారు, ఆపై సాధారణంగా ఉండవలసిన బదిలీని మార్చారు. Bybit కేసులో, వారు Safe{Wallet}లోని ఒక డెవలపర్ కంప్యూటర్‌ను హ్యాక్ చేసి, వెబ్ ఫ్రంట్ ఎండ్‌లో ఒక స్క్రిప్ట్‌ను చొప్పించారు; సంతకం చేసేవారు ఇప్పటికీ సాధారణ పేజీని చూశారు, కానీ వారు సంతకం చేసినది మరో లావాదేవీ.

ఇందులో ఈసారి Binance కేసు కూడా ఉంది.

దాడి చేసినవారు 36 గంటల ముందుగానే సిద్ధమయ్యారు, 50 EIP-7702 అధికారాలపై సంతకం చేశారు—ఇది ఒక వాలెట్ తాత్కాలికంగా ఒక ప్రోగ్రామ్‌ను "అద్దెకు" తీసుకుని ఉపయోగించడానికి అనుమతించే కొత్త Ethereum ఫీచర్—ఆపై Binance హాట్ వాలెట్ స్వయంగా డబ్బును బయటకు పంపేలా చేశారు; 40 నిమిషాలు, 10 నెట్‌వర్క్‌ల అంతటా. ఒక భద్రతా సంస్థ నిర్ధారణ ఏమిటంటే, వారు Binance సంతకం వ్యవస్థను ఇప్పటికే చేరుకుని ఉండే అవకాశం చాలా ఎక్కువ.

ఈ సంస్థ కేసుల్లో పాల్పడిన మొత్తం

అత్యంత ప్రసిద్ధమైన పన్నెండు కేసులు: $9.7 బిలియన్లు.

Binance ఒక్కటే $6.3 బిలియన్లు. మిగిలిన పదకొండు కేసులు, 2022 నుండి 2026 వరకు, మొత్తం $3.44 బిలియన్లు.

Bybit $1.5 బిలియన్లు మార్చబడిన ఫ్రంట్ ఎండ్; రోనిన్ $620 మిలియన్లు రిక్రూటింగ్ మోసం; Bitget $388 మిలియన్లు వాలెట్ వ్యవస్థలోకి రాసిన నకిలీ విత్‌డ్రా సూచనలు.

DMM $308 మిలియన్లు, WazirX $235 మిలియన్లు, Harmony మరియు Atomic ఒక్కొక్కటి $100 మిలియన్లు, Alphapo $60 మిలియన్లు, CoinEx $55 మిలియన్లు, Stake $41 మిలియన్లు, CoinsPaid $37 మిలియన్లు.

చార్ట్‌లో, Binance, Bybit, మరియు DMM కేసులను మాత్రమే అమెరికా ప్రభుత్వం నేరుగా TraderTraitorగా పేర్కొంది. రోనిన్, Harmony, Stake, Alphapo, CoinsPaid, మరియు Atomicలను FBI Lazarus/APT38కు ఆపాదించింది; WazirXను జనవరి 2025లో అమెరికా, జపాన్, మరియు దక్షిణ కొరియా సంయుక్త ప్రకటనలో పేర్కొన్నారు; CoinExను ఆన్-చైన్ విశ్లేషణ సంస్థలు మాత్రమే అనుమానించాయి. Bitget కేసు TraderTraitorకు సంబంధించినదని అనేక సంస్థలు అనుమానిస్తున్నాయి, కానీ ఏదీ అధికారికంగా ఆపాదించలేదు.

TRM గణాంకాల ప్రకారం, ఉత్తర కొరియా 2017 నుండి 100 కేసులు చేపట్టింది, మొత్తం సుమారు $12.8 బిలియన్లు; ఈ సంవత్సరం ఇప్పటివరకు $7.4 బిలియన్లు; 2026లో మొత్తం ప్రపంచ క్రిప్టో ఆస్తి దొంగతనాలలో 85% ఉత్తర కొరియాకు ఆపాదించబడింది. ఈ పట్టిక వాటిలో పన్నెండు మాత్రమే కవర్ చేస్తుంది.ముఖాలు సరిపోల్చగలిగే వ్యక్తులు

యునైటెడ్ స్టేట్స్ అధికారులు పేరు పెట్టిన ఒకరి కంటే ఎక్కువ మంది ఉత్తర కొరియా హ్యాకర్ల ఫోటోలు కూడా విడుదల చేయబడ్డాయి. పార్క్ జిన్ హ్యోక్, జాన్ చాంగ్ హ్యోక్, మరియు కిమ్ ఇల్ అందరూ ఫిబ్రవరి 2021 నటనాపత్రంలో ఉన్నారు; 2024లో, రిమ్ జాంగ్ హ్యోక్ జోడించబడ్డారు, $10 మిలియన్ బహుమతితో.

పార్క్ జిన్ హ్యోక్ (Park Jin Hyok), FBI కోరుతున్న వ్యక్తి

పార్క్ జిన్ హ్యోక్ అత్యంత ముందుగా నటనాపత్రం పొందినవారిలో ఒకరు: జూన్ 2018లో, యు.ఎస్. న్యాయ శాఖ ఆయనపై నేరారోపణలు దాఖలు చేసింది, మరియు ఆ నటనాపత్రం అదే సంవత్సరం సెప్టెంబరులో ముద్ర వేయబడింది. ఆయన పాల్గొన్న కుట్రలో 2014 సోనీ పిక్చర్స్ దాడి, 2017 వాన్నాక్రై దాడి, మరియు 2016లో బంగ్లాదేశ్ బ్యాంక్ నుండి బదిలీ చేయబడిన $81 మిలియన్లు ఉన్నాయని నటనాపత్రం పేర్కొంది. ఆయన ఇప్పటికీ పరారీలో ఉన్నారు మరియు ఎప్పుడూ కోర్టులో హాజరు కాలేదు.

బైనాన్స్ దొంగతనం ట్రాకింగ్

బైనాన్స్ కంపెనీ నిధులు, SAFU ఫండ్, మరియు ఫ్యూచర్స్ ఇన్సూరెన్స్ ఫండ్ ద్వారా సుమారు 90% కవర్ చేసింది; మిగిలిన 10% ద్రవ్యత లేని టోకెన్లు; మొత్తం నష్టం కంపెనీ భరిస్తుంది, వినియోగదారులు కాదు.

నవంబర్ 1 నాటికి, సుమారు $2.7 బిలియన్లు, అంటే సుమారు 42%, స్టేబుల్కాయిన్ జారీచేసేవారు మరియు ఆర్బిట్రమ్ సెక్యూరిటీ కౌన్సిల్ ద్వారా స్తంభింపజేయబడ్డాయి. దాడి చేసినవారు ఇప్పటికీ 420,000 ETH మరియు 18,270 BTC, సుమారు $2.4 బిలియన్లు కలిగి ఉన్నారు.

నగదు శుభ్రపరిచే మార్గం ఇప్పటికీ ప్రామాణిక పద్ధతే: చైన్లను మార్చడానికి క్రాస్-చైన్ వంతెనలు, నాణేలను మార్పిడి చేయడానికి THORChain వంటి సేవలు, మిక్సర్లు చాలా మంది వ్యక్తుల నాణేలను కలిపి చెదరగొట్టడానికి, మరియు చివరగా ఓవర్-ది-కౌంటర్ ట్రేడింగ్.

ఈసారి కొన్ని అడ్డంకులు ఏర్పడ్డాయి. THORChain ఇటీవల ఎథీరియం చైన్ పునర్వ్యవస్థీకరణ కారణంగా బైనాన్స్ దాడిలో దొంగిలించబడిన నిధుల నగదు శుభ్రపరిచే ప్రక్రియను అనుకోకుండా ఆలస్యం చేసింది. ఈ చైన్ పునర్వ్యవస్థీకరణ THORChain 10 ETH జమ చేసిన వినియోగదారుకు పునరావృత రీఫండ్లను తప్పుగా జారీ చేయడానికి దారితీసింది, ఇది ప్రోటోకాల్ యొక్క అత్యవసర నిలిపివేతను ప్రేరేపించింది, తాత్కాలికంగా అన్ని వినియోగదారులు క్రాస్-చైన్ స్వాప్లు చేయకుండా నిరోధించింది, ఉత్తర కొరియా హ్యాకర్ సమూహం యొక్క నగదు శుభ్రపరిచేవారితో సహా.

గతసారి, బిట్గెట్ నుండి దొంగిలించబడిన నిధులు THORChain ద్వారా వెళ్ళాయి, మరియు THORChain వాటిని అస్సలు స్తంభింపజేయలేదు, వికేంద్రీకరణ అంటే వారు స్తంభింపజేయలేరని చెప్పారు—కానీ వారు తామే గతసారి హ్యాక్ చేయబడినప్పుడు అలా చెప్పలేదు. THORChain సేవను పునఃప్రారంభించినప్పుడు, ఈసారి బైనాన్స్ దొంగతనం నుండి దొంగిలించబడిన నిధులు ఇప్పటికీ THORChain ద్వారా వెళితే, ప్రజలను మభ్యపెట్టడానికి వారికి ఎలాంటి సాకు ఉంటుందో తెలియదు.