727 Finance6,3 milyar dolarlık Binance hırsızlığından Bybit ve Ronin gibi büyük kripto para endüstrisi soygunlarına kadar, Kuzey Koreli hacker grubu TraderTraitor yavaş yavaş gün ışığına çıktı. ABD hükümeti tarafından tanımlanan bu hacker ağı, sahte işe alım, tedarik zinciri saldırıları ve imza kaçırma yöntemlerini kullanarak yaklaşık 10 milyar dolarlık kripto varlığı nasıl ele geçirdi?
Author: BlockBeats
1 Kasım'da ABD Federal Soruşturma Bürosu, 29 Ekim'de Binance'den çalınan 6,3 milyar doları Kuzey Kore'ye atfeden bir bildiri yayımladı. Bildiride tek bir terim kullanıldı: TraderTraitor.
Bu adı arattığınızda, Bybit'in 1,5 milyar doları, Bitget'in 300 milyon doları ve önceki yıllardaki birkaç büyük kripto para davasının bu adla bağlantılı olduğunu göreceksiniz.
TraderTraitor bir şirket değil, bir organizasyon şemasındaki kutu da değil. ABD hükümetinin bir davranış kategorisine verdiği kod adıdır.
Nisan 2022'de FBI, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve ABD Hazine Bakanlığı ortaklaşa AA22-108A numaralı bir bildiri yayımladı. Bu, terimin ilk resmi görünüşüydü. O zamanlar DAFOM, TokenAIS ve CryptAIS gibi kripto ticaret yazılımı kılığına girmiş birkaç truva atını ifade ediyordu; arayüzleri ikna edici görünüyordu ve kurulduktan sonra özel anahtarları çalmaya başlıyorlardı.
Bunun arkasındaki kişiler sektörde uzun zamandır Lazarus Group, APT38, BlueNoroff ve Stardust Chollima olarak adlandırılıyor. Bunlar dört ayrı ekip değil. Lazarus şemsiye addır; APT38 (Mandiant), BlueNoroff (Kaspersky) ve Stardust Chollima (CrowdStrike), farklı güvenlik şirketlerinin aynı para kazanma hattına verdiği üç addır.
İki yıl sonra etiket belirli bir davranışa bağlandı. 23 Aralık 2024'te FBI, ABD Savunma Bakanlığı Siber Suç Merkezi ve Japonya Ulusal Polis Ajansı ortaklaşa 300 milyon dolarlık DMM hırsızlığı davasının atfını yayımladı; ilk kez "TraderTraitor olarak izlenen Kuzey Koreli siber aktörler" ifadesini kullandı ve üç takma adını sıraladı: Jade Sleet (Microsoft'un adı), UNC4899 (Google'ın adı) ve Slow Pisces (Palo Alto'nun adı).
Bilgiler artık nispeten açık: TraderTraitor, daha büyük Lazarus grubu içinde kripto varlıklarda uzmanlaşan ve şu anda en kârlı olan birimdir. En azından 2020'den beri yalnızca blok zincirine odaklanmıştır—ticaret platformları, DeFi, cüzdan hizmet sağlayıcıları, kripto fonları ve büyük miktarda coin tutan bireyler.
Bankaları soymaktan ticaret platformlarını soymaya
Lazarus, 2014'te Sony Pictures'ın sabit disklerini silmekten 2016'da Bangladesh Bank'tan para çıkarmaya kadar her şeyi kapsayan bir şemsiye addır.
Bangladesh Bank vakasını ele alalım. Bunu gerçekleştiren birime o zamanlar APT38, diğer adıyla BlueNoroff deniyordu. Şubat 2016'da SWIFT talimatlarını (bankalar arası transferler için kullanılan uluslararası mesajlaşma sistemi) sahte olarak oluşturdular ve Bangladesh Bank'ın New York Fed'deki hesabından 1 milyar dolar transfer etmeye çalıştılar. Sonunda 81 milyon dolar alabildiler, çünkü bir transferdeki yazım hatası bir aracı bankanın işlemi durdurmasına neden oldu.
Bankaların işleyiş prosedürlerini inceleme, manuel incelemedeki boşlukları bulma ve talimatları sahte olarak oluşturma zanaatı daha sonra değiştirilmeden kripto para ticaret platformlarına nakledildi.2020 civarında. Kripto dünyasını hedef alarak yöntemlerini geliştirmeye başladılar. Nedeni tahmin etmesi kolay: para var ve düzenleme yok, likidite de fena değil.
Birkaç saldırı yöntemi var.
Birincisi sahte işe alım. Bir headhunter LinkedIn'de sizinle iletişime geçiyor, hoş bir sohbet ediyor ve sonunda bir "işe alım öncesi programlama testi" veya "dahili araç" için bir yükleyici gönderiyor. Yüklendiğinde makine onlara ait oluyor. Ronin'in 620 milyon doları bu şekilde kaybedildi.
İkincisi tedarik zinciri. İnsanları kandırmak yerine geliştiricilerin araç zincirlerini kirletmeye yöneliyorlar: GitHub'da kötü niyetli depolar, npm'de zehirlenmiş paketler, JumpCloud gibi kimlik hizmeti sağlayıcıları. Bir kişi ele geçiriliyor ve bir dizi alt şirket de ele geçiriliyor.
Üçüncüsü doğrudan işlemleri değiştirmek. Japon DMM vakasında karşı tarafın giriş bilgilerini çaldılar, cüzdan şirketi Ginco'nun dahili iletişimine sızdılar ve ardından normal olması gereken bir transferi değiştirdiler. Bybit vakasında Safe{Wallet}'daki bir geliştiricinin bilgisayarına sızdılar ve web ön ucuna bir betik yerleştirdiler; imzalayanlar hâlâ normal bir sayfa görüyordu, ancak imzaladıkları başka bir işlemdi.
Bu, bu seferki Binance vakasını da içeriyor.
Saldırganlar 36 saat önceden hazırlandı, 50 EIP-7702 yetkilendirmesi imzaladı—bir cüzdanın kullanım için geçici olarak bir programı "kiralamasına" olanak tanıyan yeni bir Ethereum özelliği—ve ardından Binance'in sıcak cüzdanının parayı kendisinin transfer etmesini sağladı; 40 dakika, 10 ağ genelinde. Bir güvenlik firmasının sonucu, Binance'in imzalama sistemine çoktan ulaşmış olma ihtimallerinin çok yüksek olduğu yönünde.
Bu örgütün vakalarında yer alan tutar
En ünlü on iki vaka: 9,7 milyar dolar.
Yalnızca Binance 6,3 milyar doları oluşturuyor. Geri kalan on bir vaka, 2022'den 2026'ya kadar, toplamda 3,44 milyar dolar.
Bybit'in 1,5 milyar doları değiştirilmiş ön uçtu; Ronin'in 620 milyon doları işe alım dolandırıcılığıydı; Bitget'in 388 milyon doları cüzdan sistemine yazılmış sahte çekim talimatlarıydı.
DMM 308 milyon dolar, WazirX 235 milyon dolar, Harmony ve Atomic'in her biri 100 milyon dolar, Alphapo 60 milyon dolar, CoinEx 55 milyon dolar, Stake 41 milyon dolar, CoinsPaid 37 milyon dolar.
Grafikte yalnızca Binance, Bybit ve DMM vakaları ABD hükümeti tarafından doğrudan TraderTraitor olarak adlandırıldı. Ronin, Harmony, Stake, Alphapo, CoinsPaid ve Atomic, FBI tarafından Lazarus/APT38'e atfedildi; WazirX, Ocak 2025'te ABD, Japonya ve Güney Kore'nin ortak açıklamasında adlandırıldı; CoinEx yalnızca zincir üstü analiz firmaları tarafından çıkarım yoluyla belirlendi. Bitget vakasının TraderTraitor ile ilgili olduğundan birden fazla firma şüpheleniyor, ancak hiçbiri resmi olarak atıfta bulunmadı.
TRM istatistiklerine göre, Kuzey Kore 2017'den bu yana 100 vaka gerçekleştirdi, toplamda yaklaşık 12,8 milyar dolar; bu yıl şu ana kadar 7,4 milyar dolar; 2026'daki toplam küresel kripto varlık hırsızlıklarının %85'i Kuzey Kore'ye atfediliyor. Bu tablo bunlardan yalnızca on ikisini kapsıyor.Yüzleri eşleştirilebilen kişiler
ABD'li yetkililer tarafından isimleri verilen ve fotoğrafları da yayımlanan birden fazla Kuzey Koreli hacker var. Park Jin Hyok, Jon Chang Hyok ve Kim Il, Şubat 2021 iddianamesinde yer alıyordu; 2024'te Rim Jong Hyok eklendi ve kendisi için 10 milyon dolar ödül konuldu.
Park Jin Hyok (Park Jin Hyok), FBI tarafından aranıyor
Park Jin Hyok iddianameye en erken eklenenlerden biriydi: Haziran 2018'de ABD Adalet Bakanlığı kendisine karşı ceza davası açtı ve iddianame aynı yılın Eylül ayında açıklandı. İddianamede, katıldığı komplonun 2014 Sony Pictures saldırısı, 2017 WannaCry saldırısı ve 2016'da Bangladeş Bankası'ndan aktarılan 81 milyon doları içerdiği belirtildi. Kendisi hâlâ firarda ve hiç mahkemeye çıkmadı.
Binance hırsızlığının izinin sürülmesi
Binance, yaklaşık %90'ını şirket fonları, SAFU fonu ve vadeli işlem sigorta fonuyla karşıladı; kalan %10'u likit olmayan tokenlardan oluşuyor; tüm zararı kullanıcılar değil şirket üstleniyor.
1 Kasım itibarıyla yaklaşık 2,7 milyar dolar, yani yaklaşık %42'si stablecoin ihraççıları ve Arbitrum Güvenlik Konseyi tarafından donduruldu. Saldırganlar hâlâ 420.000 ETH ve 18.270 BTC, yani yaklaşık 2,4 milyar dolar tutuyor.
Para aklama rotası hâlâ standart uygulama: zincir değiştirmek için zincirler arası köprüler, coin takası için THORChain gibi hizmetler, birçok kişinin coinini karıştırıp dağıtmak için mixer'lar ve son olarak tezgâh üstü ticaret.
Bu kez bazı aksaklıklar yaşandı. THORChain geçtiğimiz günlerde bir Ethereum zincir yeniden düzenlemesi nedeniyle Binance saldırısındaki çalıntı fonların aklanmasını yanlışlıkla geciktirdi. Bu zincir yeniden düzenlemesi, THORChain'in 10 ETH yatıran bir kullanıcıya yanlışlıkla mükerrer iade yapmasına yol açtı ve bu da protokolün acil olarak duraklatılmasını tetikleyerek tüm kullanıcıların, Kuzey Koreli hacker grubunun para aklayıcıları da dahil, zincirler arası takas yapmasını geçici olarak engelledi.
Geçen sefer Bitget'ten çalınan fonlar THORChain üzerinden geçti ve THORChain bunları hiç dondurmadı; ademi merkeziyetçiliğin onları dondurmalarını imkânsız kıldığını söylediler—ancak geçen sefer kendileri hacklendiğinde söyledikleri bu değildi. THORChain hizmete yeniden başladığında, bu kez Binance hırsızlığından çalınan fonlar hâlâ THORChain üzerinden geçerse, insanları hangi bahaneyle başlarından savacakları belirsiz.