FBI: TraderTraitor povezan sa krađom 6,43 milijarde dolara
FBI je krađu virtuelne imovine vredne više od 6 milijardi dolara, odnosno 6,43 milijarde dolara, zvanično pripisao grupi TraderTraitor povezanoj sa Severnom Korejom. Grupa je poznata i pod nazivima Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces i UNC4899, a incident je nadmašio krađu od 1,46 milijardi dolara iz napada na Bybit u februaru 2025.
U istrazi FBI učestvuju i U.S. Secret Service i IRS Criminal Investigation. Institucije su uočile da akteri pretežno pretvaraju ukradena sredstva u Ethereum, uz procenu da će za naredne faze pranja koristiti DeFi servise i usluge trenutne zamene. FBI je objavio i adrese novčanika koje napadači, prema njegovim nalazima, koriste za pranje sredstava.
Obim incidenta i odgovor platforme
Sredstva su ukradena preko 11 blokčejnova, pri čemu je 82% bilo na mrežama Ethereum i Bitcoin. Elliptic navodi da ovaj pojedinačni slučaj gotovo udvostručuje ukupan iznos kriptoimovine za koji se veruje da su ga poslednjih godina ukrali akteri povezani sa Severnom Korejom, a koji premašuje 6,5 milijardi dolara.
Od ukupno 6,43 milijarde dolara, 2,85 milijardi je zamrznuto na samom blokčejnu uz delovanje kompanija Tether, Circle, Ripple, Arbitrum i Optimism. Binance je nakon prekida ponovo pokrenuo prvu fazu isplata između 6 i 9 časova po UTC-u, dok su depoziti ostali dostupni. Kompanija je saopštila da će isplate vraćati postepeno, nakon bezbednosnih provera i potvrde spremnosti pogođenih servisa.
Napad kroz alate i regrutne mamce
TraderTraitor je aktivan najmanje od 2020. godine i ima istoriju krađa usmerenih na Web3 sektor, pri čemu žrtve navodi da preuzmu aplikacije sa malverom. Grupa je ranije dovođena u vezu sa napadima na DMM Bitcoin, Bybit, KelpDAO i Bitget.
SentinelOne, Zscaler ThreatLabz i Microsoft opisali su noviji način distribucije malvera preko trojanizovanih Terraform provajdera. Takav provajder isporučuje Bash učitavač koji bira i preuzima malver prilagođen operativnom sistemu žrtve. Među korišćenim alatima je FLATROOF, višestruko platformski implant sa Python kradljivcem podataka, nakon kojeg se postavlja ROOFDECK bekdor radi potpune udaljene kontrole.
Kampanje ciljaju macOS, Linux i Windows, a oslanjaju se na poverenje u razvojne tokove rada. Mamci za zapošljavanje, kao i kod kampanja Operation Dream Job i Contagious Interview, služe da žrtva pokrene zlonamerni kod. Microsoft je naveo da su akteri koristili prilagođene domene, profile na društvenim mrežama i znanje o industriji kako bi se predstavili kao regruteri lažne kompanije za blokčejn obaveštajne podatke zasnovane na AI-u.
Praktičan zaključak za poslovanje
Ovaj slučaj pokazuje da provera koda i dobavljača ne može biti odvojena od provere komunikacije sa kandidatima, partnerima i eksternim saradnicima. Organizacije koje koriste Terraform i slične razvojne alate treba da kontrolišu poreklo provajdera i preuzimanja, dok timovi za zapošljavanje i bezbednost treba zajedno da prepoznaju lažne regrutne kontakte pre nego što postanu ulazna tačka za kompromitaciju.