ФБР США официально возложило ответственность за кражу виртуальных активов на сумму более 6 миллиардов долларов на TraderTraitor — элитную хакерскую группу, связанную с Северной Кореей, также известную как Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces и UNC4899. ФБР, совместно с Секретной службой США (USSS) и отделом уголовных расследований Налоговой службы США (IRS-CI), заявило, что наблюдало, как злоумышленник конвертировал украденные активы в основном в Ethereum (ETH).
«Ожидается, что эти активы будут далее отмываться путем конвертации с использованием сервисов DeFi и мгновенного обмена, поскольку они готовятся к последующим этапам отмывания», — говорится в заявлении ФБР. Агентство также предоставило список адресов кошельков, которые, как утверждается, используются злоумышленниками для отмывания украденных активов.
Это произошло на фоне заявления Binance о возобновлении первой фазы вывода средств с сегодняшнего дня с 6 до 9 часов утра по UTC после их приостановки в связи с инцидентом. «С момента инцидента наши команды приняли превентивные меры для защиты платформы, провели оценку безопасности и работали над проверкой готовности затронутых сервисов», — говорится в заявлении Binance. «Мы стремимся постепенно восстанавливать вывод средств по мере завершения проверок безопасности и готовности. Услуги по внесению депозитов остаются открытыми и не затронуты инцидентом».
Эта добыча превосходит 1,46 миллиарда долларов, украденных у Bybit в феврале 2025 года, что делает ее самой крупной кражей криптовалюты в истории. Средства были украдены из 11 блокчейнов, 82% из которых приходились на Ethereum и Bitcoin. «Этот единичный инцидент почти удваивает общий объем криптоактивов, украденных режимом», — заявила фирма по анализу блокчейна Elliptic. «Считается, что связанные с Северной Кореей, официально Корейской Народно-Демократической Республикой (КНДР), злоумышленники украли более 6,5 миллиардов долларов в криптоактивах за последние годы».
Из 6,43 миллиардов долларов, украденных TraderTraitor, 2,85 миллиарда долларов были заморожены на блокчейне компаниями Tether, Circle, Ripple, Arbitrum и Optimism.
TraderTraitor — это название, присвоенное северокорейской группе, имеющей историю организации краж криптовалют в индустрии Web3.0 путем обмана жертв с целью заставить их загрузить приложения с вредоносным ПО. Известно, что эта группа активна как минимум с 2020 года. В последние годы этому противнику приписывают кражи криптовалют, нацеленные на DMM Bitcoin, Bybit, KelpDAO и Bitget.
Отчеты от SentinelOne, Zscaler ThreatLabz и Microsoft показали, что TraderTraitor продолжает совершенствовать свои методы, используя троянизированные провайдеры Terraform в качестве вектора распространения вредоносного ПО и привлекая подставные компании для проведения целевых атак под видом трудоустройства на лиц, занимающихся кибербезопасностью, ИИ, блокчейном, а также компании по подбору персонала.
Отравленный провайдер Terraform используется для доставки загрузчика Bash, который выбирает и загружает вредоносное ПО, адаптированное к операционной системе жертвы. Это включает кроссплатформенный имплант под названием FLATROOF, который извлекает конфиденциальные данные жертвы с помощью инструмента кражи информации на основе Python, прежде чем в конечном итоге установить бэкдор ROOFDECK для получения полного удаленного контроля.
Эта деятельность вновь демонстрирует, как северокорейские злоумышленники продолжают злоупотреблять доверенными рабочими процессами разработчиков посредством троянизированных провайдеров Terraform для доставки кроссплатформенного вредоносного ПО в системы macOS, Linux и Windows и получения постоянного доступа.
Метод работы TraderTraitor, как и в других кампаниях, связанных с Северной Кореей, таких как операция Lazarus Group «Dream Job» и кампания Famous Chollima «Contagious Interview», использует приманки, связанные с рекрутингом, в качестве предлога для убеждения жертв запустить вредоносный код. Фаза социальной инженерии дополняется использованием искусственного интеллекта (ИИ) для создания убедительных приманок, поддельных личностей и уклонения от обнаружения.
«Злоумышленник использовал специально подобранные домены, профили в социальных сетях и отраслевые знания, чтобы выдавать себя за рекрутеров поддельной компании по анализу блокчейна на базе ИИ, используя возможности, связанные с разработчиками программного обеспечения, для установления контакта и планирования собеседований с лицами, откликнувшимися на предложение», — заявили в Microsoft. «В течение этого короткого периода Jade Sleet проводила аналогичные целевые атаки под видом трудоустройства с использованием двух дополнительных подставных компаний, поддерживаемых сопоставимой инфраструктурой и соответствующими отраслевыми знаниями».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
