727 FinanceTừ vụ trộm 6,3 tỷ USD của Binance đến các vụ cướp lớn trong ngành tiền mã hóa như Bybit và Ronin, nhóm hacker Triều Tiên TraderTraitor đã dần lộ diện. Mạng lưới hacker này, được chính phủ Mỹ chỉ định, đã sử dụng chiêu trò tuyển dụng giả, tấn công chuỗi cung ứng và chiếm đoạt chữ ký như thế nào để cuỗm đi gần 10 tỷ USD tài sản tiền mã hóa?
Tác giả: BlockBeats
Ngày 1 tháng 11, Cục Điều tra Liên bang Hoa Kỳ đã ra thông báo quy trách nhiệm vụ 6,3 tỷ USD bị đánh cắp từ Binance ngày 29 tháng 10 cho Triều Tiên. Thông báo sử dụng một thuật ngữ: TraderTraitor.
Nếu tìm kiếm cái tên này, bạn sẽ thấy 1,5 tỷ USD của Bybit, 300 triệu USD của Bitget, và nhiều vụ án tiền mã hóa lớn trong những năm trước đều có liên hệ với cái tên này.
TraderTraitor không phải là một công ty, cũng không phải một ô trên sơ đồ tổ chức. Đó là mật danh mà chính phủ Hoa Kỳ đặt cho một loại hành vi.
Tháng 4 năm 2022, FBI, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA), và Bộ Tài chính Hoa Kỳ đã cùng ra thông báo số AA22-108A. Đó là lần xuất hiện chính thức đầu tiên của thuật ngữ này. Khi đó, nó đề cập đến một số trojan ngụy trang thành phần mềm giao dịch tiền mã hóa, như DAFOM, TokenAIS và CryptAIS, có giao diện trông đáng tin cậy và bắt đầu đánh cắp khóa riêng tư ngay khi được cài đặt.
Những kẻ đứng sau này từ lâu đã được ngành gọi là Lazarus Group, APT38, BlueNoroff và Stardust Chollima. Đây không phải bốn đội riêng biệt. Lazarus là tên gọi chung; APT38 (Mandiant), BlueNoroff (Kaspersky) và Stardust Chollima (CrowdStrike) là ba tên do các công ty bảo mật khác nhau đặt cho cùng một mảng kiếm tiền.
Hai năm sau, nhãn này được gắn với hành vi cụ thể. Ngày 23 tháng 12 năm 2024, FBI, Trung tâm Tội phạm mạng của Bộ Quốc phòng Hoa Kỳ và Cơ quan Cảnh sát Quốc gia Nhật Bản đã cùng công bố quy trách nhiệm cho vụ trộm 300 triệu USD của DMM, lần đầu tiên sử dụng cách diễn đạt "các tác nhân mạng Triều Tiên được theo dõi với tên TraderTraitor" và liệt kê ba bí danh của nó: Jade Sleet (tên của Microsoft), UNC4899 (tên của Google) và Slow Pisces (tên của Palo Alto).
Thông tin hiện đã tương đối rõ ràng: TraderTraitor là đơn vị trong nhóm Lazarus lớn hơn chuyên về tài sản tiền mã hóa và hiện là đơn vị sinh lợi nhất. Ít nhất từ năm 2020, nó chỉ tập trung vào blockchain—các nền tảng giao dịch, DeFi, nhà cung cấp dịch vụ ví, quỹ tiền mã hóa và các cá nhân nắm giữ lượng lớn coin.
Từ cướp ngân hàng đến cướp nền tảng giao dịch
Lazarus là tên gọi chung bao trùm mọi thứ, từ việc xóa ổ cứng của Sony Pictures năm 2014 đến việc chuyển tiền khỏi Ngân hàng Bangladesh năm 2016.
Lấy vụ Ngân hàng Bangladesh làm ví dụ. Đơn vị thực hiện khi đó được gọi là APT38, còn gọi là BlueNoroff. Tháng 2 năm 2016, chúng đã làm giả các chỉ thị SWIFT (hệ thống nhắn tin quốc tế dùng cho chuyển tiền liên ngân hàng) và cố gắng chuyển 1 tỷ USD khỏi tài khoản của Ngân hàng Bangladesh tại Fed New York. Cuối cùng chúng lấy được 81 triệu USD, vì một lỗi chính tả trong một lệnh chuyển tiền khiến một ngân hàng trung gian dừng lại.
Kỹ thuật nghiên cứu quy trình vận hành của ngân hàng, tìm lỗ hổng trong khâu kiểm tra thủ công và làm giả chỉ thị sau đó được chuyển nguyên vẹn sang các nền tảng giao dịch tiền mã hóa.Khoảng năm 2020. Chúng bắt đầu nâng cấp phương thức, lấy thế giới tiền mã hóa làm mục tiêu. Lý do rất dễ đoán: có tiền và không bị quản lý, thanh khoản lại khá tốt.
Có một số phương thức tấn công.
Thứ nhất là tuyển dụng giả. Một headhunter liên hệ với bạn trên LinkedIn, trò chuyện vui vẻ, cuối cùng gửi một "bài kiểm tra lập trình trước khi tuyển dụng" hoặc một trình cài đặt cho "công cụ nội bộ". Một khi cài đặt, máy tính thuộc về chúng. 620 triệu USD của Ronin đã mất theo cách này.
Thứ hai là chuỗi cung ứng. Thay vì lừa người, chúng chuyển sang làm nhiễm độc chuỗi công cụ của nhà phát triển: kho lưu trữ độc hại trên GitHub, gói bị đầu độc trên npm, các nhà cung cấp dịch vụ danh tính như JumpCloud. Một người bị xâm phạm, và một chuỗi công ty hạ nguồn cũng bị xâm phạm theo.
Thứ ba là trực tiếp thay đổi giao dịch. Trong vụ DMM của Nhật Bản, chúng đánh cắp thông tin đăng nhập của bên kia, xâm nhập vào liên lạc nội bộ của công ty ví Ginco, rồi thay đổi một giao dịch lẽ ra phải bình thường. Trong vụ Bybit, chúng hack vào máy tính của một nhà phát triển tại Safe{Wallet} và chèn một script vào giao diện web phía trước; những người ký vẫn thấy một trang bình thường, nhưng thứ họ ký lại là một giao dịch khác.
Điều này cũng bao gồm vụ Binance lần này.
Những kẻ tấn công đã chuẩn bị trước 36 giờ, ký 50 ủy quyền EIP-7702—một tính năng mới của Ethereum cho phép một ví tạm thời "thuê" một chương trình để sử dụng—rồi khiến ví nóng của Binance tự chuyển tiền ra; 40 phút, xuyên qua 10 mạng lưới. Kết luận của một công ty bảo mật là chúng rất có thể đã chạm được vào hệ thống ký của Binance.
Số tiền liên quan đến các vụ án của tổ chức này
Mười hai vụ án nổi tiếng nhất: 9,7 tỷ USD.
Chỉ riêng Binance đã chiếm 6,3 tỷ USD. Mười một vụ còn lại, từ 2022 đến 2026, cộng lại là 3,44 tỷ USD.
1,5 tỷ USD của Bybit là giao diện phía trước bị thay đổi; 620 triệu USD của Ronin là lừa đảo tuyển dụng; 388 triệu USD của Bitget là chỉ thị rút tiền giả mạo được viết vào hệ thống ví.
DMM 308 triệu USD, WazirX 235 triệu USD, Harmony và Atomic mỗi bên 100 triệu USD, Alphapo 60 triệu USD, CoinEx 55 triệu USD, Stake 41 triệu USD, CoinsPaid 37 triệu USD.
Trong biểu đồ, chỉ có các vụ Binance, Bybit và DMM được chính phủ Hoa Kỳ trực tiếp nêu tên là TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid và Atomic được FBI quy cho Lazarus/APT38; WazirX được nêu tên trong một tuyên bố chung của Hoa Kỳ, Nhật Bản và Hàn Quốc vào tháng 1 năm 2025; CoinEx chỉ được các công ty phân tích on-chain suy đoán. Vụ Bitget được nhiều công ty nghi ngờ có liên quan đến TraderTraitor, nhưng chưa có công ty nào chính thức quy kết.
Theo thống kê của TRM, Triều Tiên đã thực hiện 100 vụ kể từ năm 2017, tổng cộng khoảng 12,8 tỷ USD; 7,4 tỷ USD tính đến thời điểm hiện tại của năm nay; 85% tổng số vụ trộm tài sản tiền mã hóa toàn cầu trong năm 2026 được quy cho Triều Tiên. Bảng này chỉ bao gồm mười hai trong số đó.Những người có khuôn mặt có thể bị khớp
Có nhiều hơn một hacker Triều Tiên được các quan chức Mỹ nêu tên mà ảnh của họ cũng đã được công bố. Park Jin Hyok, Jon Chang Hyok và Kim Il đều có trong bản cáo trạng tháng 2 năm 2021; vào năm 2024, Rim Jong Hyok được bổ sung, với phần thưởng 10 triệu USD.
Park Jin Hyok (Park Jin Hyok), bị FBI truy nã
Park Jin Hyok là một trong những người bị truy tố sớm nhất: vào tháng 6 năm 2018, Bộ Tư pháp Mỹ đã đệ đơn buộc tội hình sự đối với anh ta, và bản cáo trạng được công bố vào tháng 9 cùng năm. Bản cáo trạng cho biết âm mưu mà anh ta tham gia bao gồm vụ tấn công Sony Pictures năm 2014, vụ tấn công WannaCry năm 2017 và 81 triệu USD bị chuyển từ Ngân hàng Bangladesh năm 2016. Anh ta vẫn đang lẩn trốn và chưa bao giờ xuất hiện trước tòa.
Theo dõi vụ trộm Binance
Binance đã bù đắp khoảng 90% bằng quỹ công ty, quỹ SAFU và quỹ bảo hiểm hợp đồng tương lai; 10% còn lại là các token kém thanh khoản; toàn bộ tổn thất do công ty gánh chịu, không phải người dùng.
Tính đến ngày 1 tháng 11, khoảng 2,7 tỷ USD, tương đương khoảng 42%, đã bị các tổ chức phát hành stablecoin và Hội đồng Bảo an Arbitrum đóng băng. Những kẻ tấn công vẫn nắm giữ 420.000 ETH và 18.270 BTC, khoảng 2,4 tỷ USD.
Lộ trình rửa tiền vẫn là thông lệ tiêu chuẩn: cầu nối chuỗi chéo để chuyển chuỗi, các dịch vụ như THORChain để hoán đổi coin, các mixer để trộn và phân tán coin của nhiều người với nhau, và cuối cùng là giao dịch phi tập trung.
Lần này có một vài trục trặc. THORChain gần đây đã vô tình trì hoãn việc rửa số tiền bị đánh cắp trong vụ tấn công Binance do một cuộc tái tổ chức chuỗi Ethereum. Cuộc tái tổ chức chuỗi này khiến THORChain phát hành nhầm khoản hoàn tiền trùng lặp cho một người dùng đã gửi 10 ETH, từ đó kích hoạt tạm dừng khẩn cấp giao thức, tạm thời khiến tất cả người dùng không thể thực hiện hoán đổi chuỗi chéo, bao gồm cả những kẻ rửa tiền của nhóm hacker Triều Tiên.
Lần trước, số tiền bị đánh cắp từ Bitget đã đi qua THORChain, và THORChain hoàn toàn không đóng băng chúng, nói rằng phi tập trung nghĩa là họ không thể đóng băng—nhưng đó không phải là điều họ nói khi chính họ bị hack lần trước. Khi THORChain khôi phục dịch vụ, nếu số tiền bị đánh cắp từ vụ trộm Binance lần này vẫn đi qua THORChain, không rõ họ sẽ có lý do gì để thoái thác mọi người.