FBI leagă grupul nord-coreean TraderTraitor de furtul record de 6,43 miliarde $ de la Binance

Biroul Federal de Investigații al SUA (FBI) a atribuit oficial furtul a aproximativ 6,43 miliarde de dolari în active virtuale de la Binance grupului TraderTraitor, o grupare de hackeri aliniată Coreei de Nord, cunoscută și ca Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces sau UNC4899. Este cel mai mare furt de criptomonede înregistrat vreodată — de peste patru ori mai mare decât recordul anterior.

Ce s-a întâmplat

Împreună cu Serviciul Secret al SUA și unitatea de investigații penale a IRS, FBI a observat cum atacatorii au convertit fondurile furate în mare parte în Ether (ETH). Anchetatorii se așteaptă ca următorul pas să fie spălarea banilor prin protocoale de finanțe descentralizate (DeFi) și servicii de schimb instant, iar FBI a publicat o listă de adrese de portofel asociate operațiunii, pentru ca exchange-urile și furnizorii de servicii să le poată semnala.

Cifrele principale:

6,43 miliarde $ furate de pe 11 blockchain-uri, aproximativ 82% fiind pe Ethereum și Bitcoin.
Circa 2,85 miliarde $ au fost deja înghețate on-chain de emitenți de stablecoin și rețele precum Tether, Circle, Ripple, Arbitrum și Optimism.
Suma depășește cu mult furtul de 1,46 miliarde $ de la Bybit din februarie 2025, recordul de până acum.
Singur, incidentul aproape dublează totalul estimat al criptomonedelor furate de actori nord-coreeni în ultimii ani, evaluat la peste 6,5 miliarde $ înainte de acest atac.

Binance a suspendat retragerile după breșă și a început o reluare etapizată, redeschizând primul val într-un interval limitat de dimineață (UTC), în timp ce verificările de securitate continuă. Depunerile nu au fost afectate.

Cine este TraderTraitor

TraderTraitor este activ cel puțin din 2020 și are un istoric îndelungat de atacuri asupra industriei Web3, de regulă convingând angajații să instaleze aplicații infectate cu malware. Grupul a fost legat anterior de furturi de la DMM Bitcoin, Bybit, KelpDAO și Bitget.

Metodele sale evoluează constant. Activitatea recentă arată că grupul:

Compromite instrumentele dezvoltatorilor — provideri Terraform troianizați livrează un loader Bash care descarcă malware adaptat sistemului de operare al victimei. Printre acestea se numără un implant multiplatformă numit FLATROOF, care folosește un infostealer scris în Python pentru a extrage date sensibile, urmat de backdoor-ul ROOFDECK, care oferă control complet de la distanță. Sunt vizate Windows, macOS și Linux.
Folosește companii și oferte de muncă false — firme-paravan, domenii create special, profiluri pe rețele sociale și recrutori fictivi credibili (inclusiv o presupusă firmă de analiză blockchain bazată pe AI) sunt folosite pentru a aborda persoane din crypto, AI, blockchain și recrutare, apoi pentru a le convinge să ruleze cod malițios sub forma unui „test tehnic”.
Folosește AI pentru a amplifica înșelătoria — inteligența artificială generativă ajută la crearea unor momeli și identități false convingătoare și la evitarea detecției.

Aceste tactici seamănă cu alte campanii nord-coreene construite în jurul ofertelor de recrutare, precum Operation Dream Job și Contagious Interview.

De ce contează

Breșa arată că veriga slabă este rareori blockchain-ul în sine — ci oamenii, laptopurile și pipeline-urile de build din jurul lui. Un singur dezvoltator care instalează un provider infrastructure-as-code compromis sau rezolvă o „temă de programare” falsă poate oferi atacatorilor acces la sisteme care controlează miliarde. Iar pe măsură ce fondurile sunt înghețate tot mai rapid, atacatorii încearcă să spele banii cât mai repede — așa că viteza de detecție este esențială.

Ce trebuie făcut

Securizați lanțul de aprovizionare software. Fixați versiunile providerilor și modulelor Terraform pe surse și sume de control verificate, folosiți oglinzi interne și analizați orice provider nou sau necunoscut înainte să ajungă în pipeline-ul CI/CD.
Tratați ofertele de muncă nesolicitate și „testele de programare” ca vector de atac. Nu rulați niciodată cod primit de la recrutori pe un calculator de serviciu; folosiți medii izolate, de unică folosință.
Izolați operațiunile de semnare și trezorerie. Păstrați cheile hot-wallet, infrastructura de semnare și consolele de administrare pe dispozitive dedicate și securizate, cu MFA hardware și aprobare multi-parte.
Căutați indicatorii publicați. Verificați contrapărțile și fluxurile de tranzacții în raport cu adresele de portofel publicate de autoritățile americane și setați alerte pentru transferuri neobișnuite.
Monitorizați endpoint-urile pe toate platformele. Asigurați-vă că soluția EDR acoperă și sistemele macOS și Linux folosite de dezvoltatori, cu alerte pentru loadere Bash neașteptate, procese Python suspecte și mecanisme noi de persistență.

Providerii și dependențele compromise sunt exact genul de problemă care scapă unei verificări superficiale. Revizuirea de cod asistată de AI oferită de echipa noastră analizează depozitele de cod sursă, infrastructure-as-code și dependențele terțe pentru a identifica componente neverificate, secrete expuse în cod și modificări riscante înainte de lansare — prinzând din timp acest tip de compromitere a lanțului de aprovizionare.