بننسے سے بائی بٹ تک: ٹریڈر ٹریٹر کے پیچھے شمالی کوریا کا ہیکر نیٹ ورک

$6.3 بلین کی بائننس چوری سے لے کر بائٹ اور رونن جیسی بڑی کرپٹو کرنسی صنعت کی ڈکیتیوں تک، شمالی کوریا کا ہیکر گروپ TraderTraitor آہستہ آہستہ سامنے آ رہا ہے۔ امریکی حکومت کی جانب سے نامزد کردہ یہ ہیکر نیٹ ورک جعلی بھرتی، سپلائی چین حملوں اور دستخطی ہائی جیکنگ کا استعمال کرتے ہوئے تقریباً 10 بلین ڈالر کے کرپٹو اثاثے کیسے لے اڑا؟

مصنف: BlockBeats

یکم نومبر کو، امریکی فیڈرل بیورو آف انویسٹی گیشن نے ایک نوٹس جاری کیا جس میں 29 اکتوبر کو بائننس سے چوری ہونے والے 6.3 بلین ڈالر کا ذمہ دار شمالی کوریا کو ٹھہرایا گیا۔ نوٹس میں ایک اصطلاح استعمال کی گئی: TraderTraitor۔

اگر آپ اس نام کو تلاش کریں تو آپ کو معلوم ہوگا کہ Bybit کے 1.5 بلین ڈالر، Bitget کے 300 ملین ڈالر، اور پچھلے برسوں کے کئی بڑے کریپٹو کرنسی کیسز سب اس نام سے منسلک ہیں۔

TraderTraitor کوئی کمپنی نہیں ہے، نہ ہی تنظیمی چارٹ پر کوئی خانہ۔ یہ امریکی حکومت کی جانب سے ایک قسم کے رویے کو دیا گیا کوڈ نام ہے۔

اپریل 2022 میں، FBI، امریکی سائبر سیکیورٹی اور انفراسٹرکچر سیکیورٹی ایجنسی (CISA)، اور امریکی محکمہ خزانہ نے مشترکہ طور پر AA22-108A نمبر کا نوٹس جاری کیا۔ یہ اس اصطلاح کی پہلی باقاعدہ موجودگی تھی۔ اس وقت، یہ کریپٹو ٹریڈنگ سافٹ ویئر کے بھیس میں کئی ٹروجنز کی طرف اشارہ کرتا تھا، جیسے DAFOM، TokenAIS، اور CryptAIS، جن کے انٹرفیس قائل کرنے والے لگتے تھے اور انسٹال ہونے کے بعد نجی چابیاں چرانا شروع کر دیتے تھے۔

ان کے پیچھے موجود افراد کو صنعت میں طویل عرصے سے Lazarus Group، APT38، BlueNoroff، اور Stardust Chollima کہا جاتا رہا ہے۔ یہ چار الگ الگ ٹیمیں نہیں ہیں۔ Lazarus چھتری کا نام ہے؛ APT38 (Mandiant)، BlueNoroff (Kaspersky)، اور Stardust Chollima (CrowdStrike) مختلف سیکیورٹی کمپنیوں کی جانب سے اسی پیسہ کمانے والی لائن کو دیے گئے تین نام ہیں۔

دو سال بعد، یہ لیبل مخصوص طرز عمل سے منسلک کر دیا گیا۔ 23 دسمبر 2024 کو، FBI، امریکی محکمہ دفاع کے سائبر کرائم سینٹر، اور جاپانی نیشنل پولیس ایجنسی نے مشترکہ طور پر 300 ملین ڈالر کے DMM چوری کیس کی ذمہ داری جاری کی، پہلی بار یہ الفاظ استعمال کرتے ہوئے "شمالی کوریائی سائبر اداکار جنہیں TraderTraitor کے نام سے ٹریک کیا جاتا ہے" اور اس کے تین عرفی نام گنوائے: Jade Sleet (مائیکروسافٹ کا نام)، UNC4899 (گوگل کا نام)، اور Slow Pisces (Palo Alto کا نام)۔

معلومات اب نسبتاً واضح ہیں: TraderTraitor بڑے Lazarus گروپ کے اندر وہ یونٹ ہے جو کریپٹو اثاثوں میں مہارت رکھتا ہے اور فی الحال سب سے زیادہ منافع بخش ہے۔ کم از کم 2020 سے، اس نے خصوصی طور پر بلاک چین پر توجہ مرکوز کی ہے—ٹریڈنگ پلیٹ فارمز، DeFi، والٹ سروس فراہم کنندگان، کریپٹو فنڈز، اور بڑی مقدار میں سکے رکھنے والے افراد۔

بینک لوٹنے سے لے کر ٹریڈنگ پلیٹ فارمز لوٹنے تک

Lazarus ایک چھتری کا نام ہے جو ہر چیز کا احاطہ کرتا ہے، 2014 میں Sony Pictures کی ہارڈ ڈرائیوز مٹانے سے لے کر 2016 میں Bangladesh Bank سے رقم نکالنے تک۔

Bangladesh Bank کیس کو لیں۔ اسے انجام دینے والے یونٹ کو اس وقت APT38 کہا جاتا تھا، جسے BlueNoroff بھی کہا جاتا ہے۔ فروری 2016 میں، انہوں نے SWIFT ہدایات (بینک کے درمیان منتقلی کے لیے استعمال ہونے والا بین الاقوامی پیغام رسانی کا نظام) جعلسازی کیں اور Bangladesh Bank کے نیویارک فیڈ اکاؤنٹ سے 1 بلین ڈالر منتقل کرنے کی کوشش کی۔ انہیں بالآخر 81 ملین ڈالر ملے، کیونکہ ایک منتقلی میں ہجے کی غلطی کی وجہ سے ایک intermediary بینک نے اسے روک دیا۔

بینکوں کے آپریٹنگ طریقہ کار کا مطالعہ کرنے، دستی جائزے میں خلا تلاش کرنے، اور ہدایات جعلسازی کرنے کی مہارت بعد میں بغیر کسی تبدیلی کے کریپٹو کرنسی ٹریڈنگ پلیٹ فارمز پر منتقل کر دی گئی۔تقریباً 2020 میں۔ انہوں نے اپنے طریقے اپ گریڈ کرنا شروع کیے، اور کرپٹو دنیا کو ہدف بنایا۔ وجہ اندازہ لگانا آسان ہے: پیسہ موجود ہے اور کوئی ضابطہ نہیں، اور لیکویڈیٹی مناسب ہے۔

حملے کے کئی طریقے ہیں۔

پہلا جعلی بھرتی ہے۔ کوئی ہیڈ ہنٹر لنکڈ اِن پر آپ سے رابطہ کرتا ہے، خوشگوار گفتگو کرتا ہے، اور آخر میں ایک "پری ایمپلائمنٹ پروگرامنگ ٹیسٹ" یا کسی "انٹرنل ٹول" کا انسٹالر بھیجتا ہے۔ ایک بار انسٹال ہونے کے بعد، مشین ان کی ہو جاتی ہے۔ Ronin کے 620 ملین ڈالر اسی طرح ضائع ہوئے۔

دوسرا سپلائی چین ہے۔ لوگوں کو دھوکہ دینے کے بجائے، وہ ڈویلپرز کے ٹول چینز کو آلودہ کرنے کی طرف منتقل ہو جاتے ہیں: GitHub پر نقصان دہ ریپوزٹریز، npm پر زہر آلود پیکجز، شناختی سروس فراہم کنندگان جیسے JumpCloud۔ ایک شخص متاثر ہوتا ہے، اور نیچے کی کئی کمپنیاں بھی متاثر ہو جاتی ہیں۔

تیسرا ٹرانزیکشنز کو براہ راست تبدیل کرنا ہے۔ جاپانی DMM کیس میں، انہوں نے دوسرے فریق کے لاگ ان اسناد چرائیں، والٹ کمپنی Ginco کی اندرونی مواصلات میں دراندازی کی، اور پھر ایک ایسی ٹرانسفر تبدیل کی جو عام ہونی چاہیے تھی۔ Bybit کیس میں، انہوں نے Safe{Wallet} میں ایک ڈویلپر کے کمپیوٹر میں ہیک کیا اور ویب فرنٹ اینڈ میں ایک اسکرپٹ داخل کیا؛ دستخط کرنے والوں نے اب بھی ایک عام صفحہ دیکھا، لیکن جو انہوں نے دستخط کیا وہ ایک اور ٹرانزیکشن تھی۔

اس میں اس بار کا Binance کیس بھی شامل ہے۔

حملہ آوروں نے 36 گھنٹے پہلے سے تیاری کی، 50 EIP-7702 اجازتیں دستخط کیں—ایتھیریم کی ایک نئی خصوصیت جو والٹ کو عارضی طور پر استعمال کے لیے ایک پروگرام "کرائے پر لینے" دیتی ہے—اور پھر Binance کے ہاٹ والٹ سے خود پیسہ منتقل کروایا؛ 40 منٹ میں، 10 نیٹ ورکس پر۔ ایک سیکیورٹی فرم کا نتیجہ یہ ہے کہ بہت ممکن ہے وہ پہلے ہی Binance کے سائننگ سسٹم تک پہنچ چکے تھے۔

اس تنظیم کے کیسز میں ملوث رقم

بارہ سب سے مشہور کیسز: 9.7 بلین ڈالر۔

صرف Binance 6.3 بلین ڈالر کا حصہ ہے۔ باقی گیارہ کیسز، 2022 سے 2026 تک، مجموعی طور پر 3.44 بلین ڈالر بنتے ہیں۔

Bybit کے 1.5 بلین ڈالر تبدیل شدہ فرنٹ اینڈ تھے؛ Ronin کے 620 ملین ڈالر بھرتی کا دھوکہ تھے؛ Bitget کے 388 ملین ڈالر والٹ سسٹم میں لکھی گئی جعلی نکاسی ہدایات تھیں۔

DMM 308 ملین ڈالر، WazirX 235 ملین ڈالر، Harmony اور Atomic ہر ایک 100 ملین ڈالر، Alphapo 60 ملین ڈالر، CoinEx 55 ملین ڈالر، Stake 41 ملین ڈالر، CoinsPaid 37 ملین ڈالر۔

چارٹ میں، صرف Binance، Bybit، اور DMM کیسز کو امریکی حکومت نے براہ راست TraderTraitor کا نام دیا۔ Ronin، Harmony، Stake، Alphapo، CoinsPaid، اور Atomic کو FBI نے Lazarus/APT38 سے منسوب کیا؛ WazirX کا نام جنوری 2025 میں امریکہ، جاپان، اور جنوبی کوریا کے مشترکہ بیان میں لیا گیا؛ CoinEx کا صرف آن چین تجزیہ فرموں نے اندازہ لگایا۔ Bitget کیس کو متعدد فرموں نے TraderTraitor سے متعلق ہونے کا شبہ ظاہر کیا، لیکن کسی نے بھی باضابطہ طور پر منسوب نہیں کیا۔

TRM کے اعداد و شمار کے مطابق، شمالی کوریا نے 2017 سے 100 کیسز کیے ہیں، مجموعی طور پر تقریباً 12.8 بلین ڈالر؛ اس سال اب تک 7.4 بلین ڈالر؛ 2026 میں عالمی کرپٹو اثاثہ جات کی چوری کے کل کا 85% شمالی کوریا سے منسوب ہے۔ یہ جدول ان میں سے صرف بارہ کا احاطہ کرتا ہے۔جن کے چہروں کا موازنہ کیا جا سکتا ہے

امریکی حکام کی جانب سے نامزد کردہ ایک سے زیادہ شمالی کوریائی ہیکرز ایسے ہیں جن کی تصاویر بھی جاری کی گئی ہیں۔ پارک جن ہیوک، جون چانگ ہیوک، اور کم اِل سبھی فروری 2021 کی فردِ جرم میں شامل تھے؛ 2024 میں، رم جونگ ہیوک کو شامل کیا گیا، جس پر 10 ملین ڈالر کا انعام ہے۔

پارک جن ہیوک (Park Jin Hyok)، ایف بی آئی کا مطلوب

پارک جن ہیوک ان ابتدائی افراد میں سے ایک تھے جن پر فردِ جرم عائد کی گئی: جون 2018 میں، امریکی محکمہ انصاف نے ان کے خلاف فوجداری الزامات دائر کیے، اور فردِ جرم اسی سال ستمبر میں کھولی گئی۔ فردِ جرم میں کہا گیا کہ ان کی شرکت والی سازش میں 2014 کا سونی پکچرز حملہ، 2017 کا واناکرائی حملہ، اور 2016 میں بنگلہ دیش بینک سے منتقل کیے گئے 81 ملین ڈالر شامل تھے۔ وہ اب بھی مفرور ہیں اور کبھی عدالت میں پیش نہیں ہوئے۔

بائننس کی چوری کی ٹریکنگ

بائننس نے تقریباً 90% کمپنی فنڈز، SAFU فنڈ، اور فیوچرز انشورنس فنڈ سے پورا کیا ہے؛ باقی 10% غیر لیکویڈ ٹوکنز ہیں؛ پورا نقصان کمپنی برداشت کر رہی ہے، صارفین نہیں۔

یکم نومبر تک، تقریباً 2.7 بلین ڈالر، یعنی تقریباً 42%، اسٹیبل کوائن جاری کنندگان اور آربیٹرم سیکیورٹی کونسل نے منجمد کر دیا تھا۔ حملہ آوروں کے پاس اب بھی 420,000 ETH اور 18,270 BTC ہیں، تقریباً 2.4 بلین ڈالر۔

منی لانڈرنگ کا راستہ اب بھی معیاری طریقہ ہے: چینز تبدیل کرنے کے لیے کراس چین برجز، سکوں کے تبادلے کے لیے THORChain جیسی خدمات، بہت سے لوگوں کے سکوں کو ملا کر بکھیرنے کے لیے مکسرز، اور آخر میں اوور دی کاؤنٹر ٹریڈنگ۔

اس بار کچھ رکاوٹیں پیش آئیں۔ THORChain نے حال ہی میں ایتھیریم چین کی تنظیم نو کی وجہ سے بائننس حملے میں چوری شدہ فنڈز کی منی لانڈرنگ میں نادانستہ طور پر تاخیر کی۔ اس چین تنظیم نو کی وجہ سے THORChain نے ایک صارف کو غلطی سے ڈپلیکیٹ ریفنڈز جاری کر دیے جس نے 10 ETH جمع کروائے تھے، جس کے نتیجے میں پروٹوکول کی ہنگامی معطلی شروع ہو گئی، جس نے عارضی طور پر تمام صارفین کو کراس چین سویپ کرنے سے روک دیا، بشمول شمالی کوریائی ہیکر گروپ کے منی لانڈررز۔

پچھلی بار، بٹ گیٹ سے چوری شدہ فنڈز THORChain سے گزرے، اور THORChain نے انہیں بالکل منجمد نہیں کیا، یہ کہتے ہوئے کہ غیر مرکزیت کا مطلب ہے کہ وہ منجمد نہیں کر سکتے—لیکن پچھلی بار جب وہ خود ہیک ہوئے تھے تو انہوں نے یہ نہیں کہا تھا۔ جب THORChain سروس دوبارہ شروع کرے گا، اگر اس بار بائننس چوری سے چوری شدہ فنڈز اب بھی THORChain سے گزریں، تو یہ واضح نہیں کہ لوگوں کو ٹالنے کے لیے ان کے پاس کیا بہانہ ہوگا۔