FBI, Kuzey Kore Bağlantılı TraderTraitor Grubunu 6,43 Milyar Dolarlık Binance Kripto Soygunuyla İlişkilendirdi

FBI, Kuzey Kore Bağlantılı TraderTraitor Grubunu 6,43 Milyar Dolarlık Binance Kripto Soygunuyla İlişkilendirdi

ABD Federal Soruşturma Bürosu (FBI), 6 milyar doları aşan sanal varlık hırsızlığını, Kuzey Kore ile bağlantılı ve Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces ve UNC4899 gibi farklı isimlerle de bilinen seçkin hacker grubu TraderTraitor‘a resmen atfetti.

FBI, ABD Gizli Servisi (USSS) ve Gelir İdaresi Başkanlığı Ceza Soruşturma Birimi (IRS-CI) ile birlikte, tehdit aktörünün çalınan varlıkları ağırlıklı olarak Ethereum (ETH) birimine dönüştürdüğünü tespit etti.

FBI yaptığı açıklamada, “Bu varlıkların, daha sonraki aklama aşamalarına hazırlanırken DeFi ve anlık takas hizmetleri kullanılarak daha da aklanması bekleniyor” ifadelerini kullandı. Kurum ayrıca, saldırganların çalınan varlıkları aklamak için kullandığı cüzdan adreslerinin bir listesini de paylaştı.

Bu gelişme, Binance’in olayın ardından durdurulan para çekme işlemlerinin ilk aşamasına bugün UTC saatiyle 06:00 ile 09:00 arasında yeniden başladığını duyurmasının ardından geldi. Binance, “Olaydan bu yana ekiplerimiz platformu korumak için önleyici tedbirler aldı, güvenlik değerlendirmeleri yaptı ve etkilenen hizmetlerin hazır olup olmadığını doğrulamak için çalıştı” dedi. “Güvenlik ve hazırlık kontrollerini tamamladıkça para çekme işlemlerini aşamalı olarak geri yüklemeyi hedefliyoruz. Para yatırma hizmetleri açık kalmaya devam ediyor ve olaydan etkilenmiyor.”

Bu soygun, Şubat 2025’te Bybit’ten çalınan 1,46 milyar doları geride bırakarak tarihin en büyük kripto para hırsızlığı oldu. Fonlar, %82’si Ethereum ve Bitcoin üzerinde olmak üzere 11 farklı blok zincirinden çalındı.

Blok zinciri analiz firması Elliptic, “Bu tek olay, rejimin çaldığı toplam kripto varlıklarını neredeyse ikiye katlıyor” açıklamasını yaptı. “Kuzey Kore (resmi adıyla Kore Demokratik Halk Cumhuriyeti) ile bağlantılı aktörlerin son yıllarda 6,5 milyar doların üzerinde kripto varlığı çaldığına inanılıyor.”

TraderTraitor tarafından çalınan 6,43 milyar doların 2,85 milyar dolarlık kısmı Tether, Circle, Ripple, Arbitrum ve Optimism tarafından zincir üzerinde donduruldu.

TraderTraitor, kurbanları kötü amaçlı yazılım içeren uygulamaları indirmeye ikna ederek Web3.0 endüstrisine yönelik kripto para hırsızlıkları düzenleme geçmişi olan bir Kuzey Kore grubuna verilen isimdir. Bu grup en az 2020’den beri aktif olarak bilinmektedir.

Son yıllarda, bu düşman DMM Bitcoin, Bybit, KelpDAO ve Bitget’i hedef alan kripto para hırsızlıklarıyla ilişkilendirilmiştir.

SentinelOne, Zscaler ThreatLabz ve Microsoft’tan gelen raporlar, TraderTraitor’ın saldırı yöntemlerini geliştirmeye devam ettiğini, kötü amaçlı yazılım dağıtım vektörü olarak Truva atı içeren Terraform sağlayıcılarını kullandığını ve siber güvenlik, yapay zeka, blok zinciri ve yetenek işe alım şirketlerinde çalışan kişileri iş temalı hedeflemelerle kandırmak için paravan şirketlerden yararlandığını ortaya koydu.

Zehirli Terraform sağlayıcısı, kurbanın işletim sistemine özel kötü amaçlı yazılımı seçen ve indiren bir Bash yükleyicisi dağıtmak için kullanılır. Bu, Python tabanlı bir bilgi hırsızı kullanarak kurbandan hassas verileri çalan FLATROOF adlı çapraz platform bir implantı ve nihayetinde tam uzaktan kontrol elde etmek için ROOFDECK arka kapısını bırakmayı içerir.

Bu faaliyet, Kuzey Koreli tehdit aktörlerinin, Truva atı içeren Terraform sağlayıcıları aracılığıyla güvenilir geliştirici iş akışlarını kötüye kullanarak macOS, Linux ve Windows sistemlerinde çapraz platform kötü amaçlı yazılımlar dağıtmaya ve kalıcı erişim sağlamaya devam ettiğini bir kez daha göstermektedir.

TraderTraitor’ın çalışma şekli, Lazarus Group’un Operation Dream Job ve Famous Chollima’nın Contagious Interview gibi diğer Kuzey Kore bağlantılı kampanyalar gibi, kurbanları kötü amaçlı kod çalıştırmaya ikna etmek için işe alım temalı yemler kullanır. Sosyal mühendislik aşaması, ikna edici yemler oluşturmak, sahte kişilikler yaratmak ve tespitten kaçınmak için yapay zeka (AI) kullanımıyla desteklenmektedir.

Microsoft, “Aktör, sahte bir yapay zeka destekli blok zinciri istihbarat şirketinin işe alım uzmanı gibi davranmak için özel olarak hazırlanmış alan adları, sosyal medya profilleri ve sektöre özgü bilgilerden yararlandı; yazılım mühendisi temalı fırsatları kullanarak iletişimi başlattı ve bu iletişime katılan kişilerle mülakatlar planladı” dedi. “Bu kısa süre içinde Jade Sleet, benzer altyapı ve ilgili alan bilgisiyle desteklenen iki ek paravan şirket kullanarak benzer iş temalı hedeflemeler gerçekleştirdi.”