727 Financeจากการโจรกรรม Binance มูลค่า 6.3 พันล้านดอลลาร์ ไปจนถึงการปล้นครั้งใหญ่ในอุตสาหกรรมคริปโตเคอร์เรนซีอย่าง Bybit และ Ronin กลุ่มแฮกเกอร์เกาหลีเหนือ TraderTraitor ได้ค่อยๆ เปิดเผยตัวตนออกมา เครือข่ายแฮกเกอร์นี้ซึ่งรัฐบาลสหรัฐฯ ได้กำหนดสถานะไว้ ได้ใช้การสรรหาบุคลากรปลอม การโจมตีผ่านห่วงโซ่อุปทาน และการ hijack ลายเซ็น ในการกวาดทรัพย์สินคริปโตไปเกือบ 1 หมื่นล้านดอลลาร์ได้อย่างไร
ผู้เขียน: BlockBeats
เมื่อวันที่ 1 พฤศจิกายน สำนักงานสอบสวนกลางแห่งสหรัฐอเมริกา (FBI) ได้ออกประกาศระบุว่าเงิน 6.3 พันล้านดอลลาร์ที่ถูกขโมยจาก Binance เมื่อวันที่ 29 ตุลาคมนั้นมีที่มาจากเกาหลีเหนือ ในประกาศดังกล่าวใช้คำหนึ่งคำว่า TraderTraitor
หากคุณค้นหาชื่อนี้ คุณจะพบว่าเงิน 1.5 พันล้านดอลลาร์ของ Bybit, 300 ล้านดอลลาร์ของ Bitget และคดีคริปโตเคอร์เรนซีขนาดใหญ่หลายคดีในปีก่อนๆ ล้วนเชื่อมโยงกับชื่อนี้
TraderTraitor ไม่ใช่บริษัท และไม่ใช่ช่องหนึ่งในผังองค์กร แต่เป็นชื่อรหัสที่รัฐบาลสหรัฐฯ ตั้งให้กับพฤติกรรมประเภทหนึ่ง
ในเดือนเมษายน 2022 FBI, หน่วยงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐานแห่งสหรัฐอเมริกา (CISA) และกระทรวงการคลังสหรัฐฯ ได้ออกประกาศร่วมกันหมายเลข AA22-108A นั่นคือการปรากฏตัวอย่างเป็นทางการครั้งแรกของคำนี้ ในขณะนั้นคำนี้หมายถึงโทรจันหลายตัวที่ปลอมตัวเป็นซอฟต์แวร์ซื้อขายคริปโต เช่น DAFOM, TokenAIS และ CryptAIS ซึ่งอินเทอร์เฟซดูน่าเชื่อถือและเริ่มขโมยคีย์ส่วนตัวทันทีที่ติดตั้ง
ผู้อยู่เบื้องหลังสิ่งนี้ถูกเรียกในอุตสาหกรรมมานานว่า Lazarus Group, APT38, BlueNoroff และ Stardust Chollima สิ่งเหล่านี้ไม่ใช่สี่ทีมที่แยกจากกัน Lazarus เป็นชื่อร่ม ส่วน APT38 (Mandiant), BlueNoroff (Kaspersky) และ Stardust Chollima (CrowdStrike) เป็นสามชื่อที่บริษัทความปลอดภัยต่างๆ ตั้งให้กับสายการทำเงินสายเดียวกัน
สองปีต่อมา ป้ายกำกับนี้ถูกผูกเข้ากับการกระทำเฉพาะ เมื่อวันที่ 23 ธันวาคม 2024 FBI, ศูนย์อาชญากรรมไซเบอร์ของกระทรวงกลาโหมสหรัฐฯ และสำนักงานตำรวจแห่งชาติญี่ปุ่นได้เผยแพร่การระบุที่มาในคดีขโมยเงิน 300 ล้านดอลลาร์ของ DMM ร่วมกัน โดยใช้ถ้อยคำว่า "นักแสดงไซเบอร์เกาหลีเหนือที่ถูกติดตามในชื่อ TraderTraitor" เป็นครั้งแรก และระบุชื่อแทนสามชื่อ ได้แก่ Jade Sleet (ชื่อที่ Microsoft ใช้), UNC4899 (ชื่อที่ Google ใช้) และ Slow Pisces (ชื่อที่ Palo Alto ใช้)
ข้อมูลในขณะนี้ค่อนข้างชัดเจน: TraderTraitor คือหน่วยภายในกลุ่ม Lazarus ขนาดใหญ่ที่เชี่ยวชาญด้านสินทรัพย์คริปโตโดยเฉพาะ และในปัจจุบันเป็นหน่วยที่ทำรายได้สูงที่สุด อย่างน้อยตั้งแต่ปี 2020 เป็นต้นมา หน่วยนี้มุ่งเน้นเฉพาะกับบล็อกเชนเท่านั้น—แพลตฟอร์มซื้อขาย, DeFi, ผู้ให้บริการกระเป๋าเงิน, กองทุนคริปโต และบุคคลที่ถือเหรียญจำนวนมาก
จากการปล้นธนาคารสู่การปล้นแพลตฟอร์มซื้อขาย
Lazarus เป็นชื่อร่มที่ครอบคลุมทุกสิ่ง ตั้งแต่การลบข้อมูลฮาร์ดไดรฟ์ของ Sony Pictures ในปี 2014 ไปจนถึงการยักย้ายเงินออกจากธนาคารกลางบังกลาเทศในปี 2016
ยกตัวอย่างคดีธนาคารกลางบังกลาเทศ หน่วยที่ดำเนินการในขณะนั้นเรียกว่า APT38 หรือที่รู้จักในชื่อ BlueNoroff ในเดือนกุมภาพันธ์ 2016 พวกเขาปลอมแปลงคำสั่ง SWIFT (ระบบส่งข้อความระหว่างประเทศที่ใช้สำหรับการโอนเงินระหว่างธนาคาร) และพยายามโอนเงิน 1 พันล้านดอลลาร์ออกจากบัญชีของธนาคารกลางบังกลาเทศที่ธนาคารกลางนิวยอร์ก ในที่สุดพวกเขาได้ไป 81 ล้านดอลลาร์ เนื่องจากความผิดพลาดในการสะกดคำในการโอนครั้งหนึ่งทำให้ธนาคารตัวกลางหยุดการโอนไว้
ทักษะในการศึกษาขั้นตอนการดำเนินงานของธนาคาร การค้นหาช่องโหว่ในการตรวจสอบด้วยมือ และการปลอมแปลงคำสั่ง ต่อมาถูกย้ายมาใช้กับการแพลตฟอร์มซื้อขายคริปโตเคอร์เรนซีโดยไม่เปลี่ยนแปลงราวปี 2020 พวกเขาเริ่มยกระดับวิธีการ โดยมีโลกคริปโตเป็นเป้าหมาย เหตุผลเดาง่าย: มีเงินและไม่มีการกำกับดูแล และสภาพคล่องก็ใช้ได้
มีวิธีการโจมตีหลายแบบ
แบบแรกคือการรับสมัครงานปลอม นักล่าหัวสมองติดต่อคุณทาง LinkedIn พูดคุยอย่างน่าพอใจ แล้วสุดท้ายส่ง "แบบทดสอบเขียนโปรแกรมก่อนเข้าทำงาน" หรือตัวติดตั้งสำหรับ "เครื่องมือภายใน" ให้ เมื่อติดตั้งแล้ว เครื่องก็เป็นของพวกเขา เงิน 620 ล้านดอลลาร์ของ Ronin หายไปด้วยวิธีนี้
แบบที่สองคือซัพพลายเชน แทนที่จะหลอกคน พวกเขาเปลี่ยนไปปนเปื้อนเครื่องมือของนักพัฒนา: repository อันตรายบน GitHub, แพ็กเกจที่ถูกวางยาบน npm, ผู้ให้บริการ identity อย่าง JumpCloud คนเดียวถูกเจาะ แล้วบริษัทปลายน้ำเป็นพรวนก็ถูกเจาะไปด้วย
แบบที่สามคือแก้ไขธุรกรรมโดยตรง ในกรณี DMM ของญี่ปุ่น พวกเขาขโมยข้อมูลรับรองการเข้าสู่ระบบของอีกฝ่าย แทรกซึมเข้าไปในการสื่อสารภายในของบริษัทกระเป๋าเงิน Ginco แล้วแก้ไขการโอนที่ควรจะเป็นปกติ ในกรณี Bybit พวกเขาแฮกเข้าคอมพิวเตอร์ของนักพัฒนาที่ Safe{Wallet} และแทรกสคริปต์เข้าไปในเว็บฟรอนต์เอนด์ ผู้ลงนามยังเห็นหน้าเว็บปกติ แต่สิ่งที่พวกเขาลงนามคือธุรกรรมอีกอัน
ซึ่งรวมถึงกรณี Binance ครั้งนี้ด้วย
ผู้โจมตีเตรียมการล่วงหน้า 36 ชั่วโมง ลงนามการอนุญาต EIP-7702 จำนวน 50 รายการ—ฟีเจอร์ใหม่ของ Ethereum ที่อนุญาตให้กระเป๋าเงิน "เช่า" โปรแกรมมาใช้ชั่วคราว—แล้วทำให้กระเป๋าเงินร้อนของ Binance โอนเงินออกไปเอง; 40 นาที ข้าม 10 เครือข่าย ข้อสรุปของบริษัทความปลอดภัยแห่งหนึ่งคือพวกเขามีแนวโน้มสูงมากที่จะเข้าถึงระบบลงนามของ Binance ได้แล้ว
มูลค่าที่เกี่ยวข้องในคดีขององค์กรนี้
สิบสองคดีที่มีชื่อเสียงที่สุด: 9.7 พันล้านดอลลาร์
Binance เพียงแห่งเดียวคิดเป็น 6.3 พันล้านดอลลาร์ อีกสิบเอ็ดคดีที่เหลือ ตั้งแต่ปี 2022 ถึง 2026 รวมกันเป็น 3.44 พันล้านดอลลาร์
1.5 พันล้านดอลลาร์ของ Bybit คือฟรอนต์เอนด์ที่ถูกแก้ไข; 620 ล้านดอลลาร์ของ Ronin คือกลลวงรับสมัครงาน; 388 ล้านดอลลาร์ของ Bitget คือคำสั่งถอนเงินปลอมที่เขียนเข้าไปในระบบกระเป๋าเงิน
DMM 308 ล้านดอลลาร์, WazirX 235 ล้านดอลลาร์, Harmony และ Atomic แห่งละ 100 ล้านดอลลาร์, Alphapo 60 ล้านดอลลาร์, CoinEx 55 ล้านดอลลาร์, Stake 41 ล้านดอลลาร์, CoinsPaid 37 ล้านดอลลาร์
ในแผนภูมิ มีเพียงคดี Binance, Bybit และ DMM เท่านั้นที่รัฐบาลสหรัฐฯ ระบุชื่อโดยตรงว่าเป็น TraderTraitor Ronin, Harmony, Stake, Alphapo, CoinsPaid และ Atomic ถูก FBI ระบุว่าเป็นฝีมือ Lazarus/APT38; WazirX ถูกระบุชื่อในแถลงการณ์ร่วมของสหรัฐฯ ญี่ปุ่น และเกาหลีใต้ในเดือนมกราคม 2025; CoinEx ถูกอนุมานโดยบริษัทวิเคราะห์บนเชนเท่านั้น คดี Bitget ถูกสงสัยโดยหลายบริษัทว่าเกี่ยวข้องกับ TraderTraitor แต่ยังไม่มีบริษัทใดระบุอย่างเป็นทางการ
ตามสถิติของ TRM เกาหลีเหนือก่อเหตุ 100 คดีตั้งแต่ปี 2017 รวมประมาณ 12.8 พันล้านดอลลาร์; 7.4 พันล้านดอลลาร์จนถึงขณะนี้ในปีนี้; 85% ของการโจรกรรมสินทรัพย์คริปโตทั่วโลกทั้งหมดในปี 2026 ถูกระบุว่าเป็นฝีมือเกาหลีเหนือ ตารางนี้ครอบคลุมเพียงสิบสองคดีเท่านั้นบุคคลที่ใบหน้าสามารถจับคู่ได้
มีแฮกเกอร์เกาหลีเหนือมากกว่าหนึ่งคนที่เจ้าหน้าที่สหรัฐฯ ระบุชื่อและยังได้เผยแพร่ภาพถ่ายออกมาด้วย พัค จินฮยอก, จอน ชังฮยอก และคิม อิล ต่างอยู่ในคำฟ้องเดือนกุมภาพันธ์ 2021; ในปี 2024 ริม จองฮยอกถูกเพิ่มเข้ามา พร้อมรางวัลนำจับ 10 ล้านดอลลาร์
พัค จินฮยอก (Park Jin Hyok) ผู้ต้องหาตามหมายจับของ FBI
พัค จินฮยอกเป็นหนึ่งในผู้ถูกฟ้องร้องรายแรกๆ: ในเดือนมิถุนายน 2018 กระทรวงยุติธรรมสหรัฐฯ ได้ยื่นข้อหาอาญากับเขา และคำฟ้องถูกเปิดเผยในเดือนกันยายนปีเดียวกัน คำฟ้องระบุว่าการสมคบคิดที่เขามีส่วนร่วมรวมถึงการโจมตี Sony Pictures ในปี 2014 การโจมตี WannaCry ในปี 2017 และการโอนเงิน 81 ล้านดอลลาร์จากธนาคารกลางบังกลาเทศในปี 2016 เขายังคงหลบหนีและไม่เคยปรากฏตัวในศาล
การติดตามการโจรกรรม Binance
Binance ได้ชดเชยประมาณ 90% ด้วยเงินทุนของบริษัท กองทุน SAFU และกองทุนประกันฟิวเจอร์ส; ส่วนที่เหลืออีก 10% เป็นโทเค็นที่สภาพคล่องต่ำ; ความสูญเสียทั้งหมด borne โดยบริษัท ไม่ใช่โดยผู้ใช้
ณ วันที่ 1 พฤศจิกายน ประมาณ 2.7 พันล้านดอลลาร์ หรือประมาณ 42% ถูกอายัดโดยผู้ออก stablecoin และสภาความมั่นคง Arbitrum ผู้โจมตียังคงถือ 420,000 ETH และ 18,270 BTC ประมาณ 2.4 พันล้านดอลลาร์
เส้นทางการฟอกเงินยังคงเป็นแนวปฏิบัติมาตรฐาน: สะพานข้ามเชนเพื่อสลับเชน บริการเช่น THORChain เพื่อแลกเหรียญ มิกเซอร์เพื่อผสมและกระจายเหรียญของหลายคนรวมกัน และสุดท้ายคือการซื้อขายแบบ over-the-counter
ครั้งนี้มีอุปสรรคบ้าง THORChain เพิ่งทำให้การฟอกเงินของเงินที่ถูกขโมยในการโจมตี Binance ล่าช้าโดยไม่ตั้งใจเนื่องจาก Ethereum chain reorganization การ reorganize เชนนี้ทำให้ THORChain ออกการคืนเงินซ้ำซ้อนให้กับผู้ใช้ที่ฝาก 10 ETH ซึ่งส่งผลให้เกิดการหยุดชั่วคราวฉุกเฉินของโปรโตคอล ทำให้ผู้ใช้ทั้งหมดไม่สามารถทำการสลับข้ามเชนได้ชั่วคราว รวมถึงผู้ฟอกเงินของกลุ่มแฮกเกอร์เกาหลีเหนือ
ครั้งที่แล้ว เงินที่ถูกขโมยจาก Bitget ผ่าน THORChain และ THORChain ไม่ได้อายัดเลย โดยบอกว่าการกระจายอำนาจหมายความว่าพวกเขาไม่สามารถอายัดได้—แต่ไม่ใช่สิ่งที่พวกเขาพูดเมื่อตัวเองถูกแฮกครั้งล่าสุด เมื่อ THORChain กลับมาให้บริการ หากเงินที่ถูกขโมยจากการโจรกรรม Binance ครั้งนี้ยังผ่าน THORChain ไม่ชัดเจนว่าพวกเขาจะมีข้ออ้างอะไรมาหลอกผู้คน