Grabitja e kriptomonedhave në Binance vjedh 6.43 miliardë dollarë në 11 rrjete blockchain
Grabitja e kriptomonedhave në Binance mori 6.43 miliardë dollarë në aktive virtuale në 11 rrjete blockchain, të cilat janë regjistra digjitalë të përbashkët që përdoren për të regjistruar transaksione. Byroja Federale e Hetimit e SHBA-së (FBI) ia atribuoi vjedhjen TraderTraitor, një grup hakerësh i lidhur me Korenë e Veriut, i cili gjurmohet gjithashtu me emrat Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces dhe UNC4899.
FBI, Shërbimi Sekret i SHBA-së dhe njësia e Hetimit Penal e Shërbimit të të Ardhurave të Brendshme raportuan se kishin vëzhguar grupin duke i konvertuar aktivet e vjedhura kryesisht në ETH, aktivi vendas i rrjetit Ethereum. FBI pret që aktivet të kalojnë përmes DeFi, shërbime financiare që operojnë nëpërmjet softuerit të bazuar në blockchain, dhe shërbimeve të shkëmbimit të menjëhershëm, si pjesë e pastrimit të mëtejshëm. Ajo publikoi gjithashtu adresa wallet address, identifikuesit e llogarive blockchain që përdoren për të dërguar dhe marrë aktive, të cilat hetuesit i lidhin me veprimtarinë e pastrimit.
Binance tha se kishte nisur fazën e parë të rikthimit të tërheqjeve brenda një intervali nga ora 6:00 deri në orën 9:00 UTC, pasi i kishte pezulluar ato pas incidentit. Platforma e këmbimit tha se ekipet e saj kishin vendosur masa parandaluese, kishin kryer vlerësime sigurie dhe kishin kontrolluar nëse shërbimet e prekura ishin gati të riktheheshin. Tërheqjet po rikthehen në mënyrë progresive me përfundimin e këtyre kontrolleve, ndërsa shërbimet e depozitimit mbetën të hapura dhe nuk u prekën nga incidenti, sipas Binance.
Vjedhja tejkalon shumën prej 1.46 miliardë dollarësh të marrë nga Bybit në shkurt 2025, duke e bërë grabitjen e kriptomonedhave në Binance vjedhjen më të madhe të kriptomonedhave të regjistruar deri më sot. Nga aktivet e vjedhura në 11 rrjete blockchain, 82% ndodheshin në Ethereum dhe Bitcoin. Kompania e analizës blockchain Elliptic tha se vetëm ky incident pothuajse dyfishon shumën që më parë u ishte atribuar aktorëve të lidhur me Korenë e Veriut, e cila, sipas vlerësimit të saj, kishte kaluar tashmë 6.5 miliardë dollarë gjatë viteve të fundit.
Disa prej aktiveve të vjedhura janë ndaluar që të zhvendosen më tej. Nga 6.43 miliardë dollarët e marrë, 2.85 miliardë dollarë janë ngrirë on-chain, që do të thotë drejtpërdrejt në rrjetet përkatëse blockchain, nga Tether, Circle, Ripple, Arbitrum dhe Optimism. Veprimtaria e mbetur e pastrimit vazhdonte të gjurmohej përmes konvertimeve dhe adresave të lidhura wallet address.
TraderTraitor ka vepruar të paktën që nga viti 2020 dhe ka shënjestruar vazhdimisht industrinë Web3.0, një term për shërbimet dhe aplikacionet online të ndërtuara rreth blockchain. Veprimtaria e tij e mëparshme ka përfshirë vjedhje kriptomonedhash që lidhen me DMM Bitcoin, Bybit, KelpDAO dhe Bitget. Një taktikë e përsëritur është bindja e objektivave që të shkarkojnë aplikacione që përmbajnë malware, softuer të krijuar për të vjedhur informacione ose për t’i dhënë një sulmuesi qasje në një pajisje.
Raportet nga SentinelOne, Zscaler ThreatLabz dhe Microsoft përshkruajnë se si grupi e ka përmirësuar këtë qasje duke përdorur komponentë Terraform provider të infektuar me trojan. Një Terraform provider është një komponent softuerik që i mundëson mjetit të infrastrukturës Terraform të menaxhojë platformat cloud dhe shërbime të tjera. Në këtë fushatë, sulmuesit ndryshuan komponentët për të shpërndarë malware, ndërsa përdorën kompani fasadë dhe mundësi punësimi për t’iu afruar njerëzve që punonin në biznese të sigurisë kibernetike, inteligjencës artificiale, blockchain dhe rekrutimit.
Terraform provider keqdashës instalon një Bash loader, një script që ekzekuton komanda dhe shkarkon softuer shtesë. Ai identifikon sistemin operativ të viktimës dhe merr malware të përshtatshëm për atë platformë. Zinxhiri përfshin FLATROOF, një implant cross-platform që përdor një information stealer të bazuar në Python për të mbledhur të dhëna sensitive, i ndjekur nga backdoor ROOFDECK, i cili i jep sulmuesit kontroll të plotë në distancë. Procesi mund të funksionojë në macOS, Linux dhe Windows dhe synon të krijojë persistent access.
Rekrutimi mbetet në qendër të social engineering. Fushata të ngjashme, përfshirë Operation Dream Job dhe Contagious Interview, kanë përdorur oferta pune ose detyra interviste për t’i bindur objektivat të ekzekutojnë kod keqdashës. Veprimtaria e TraderTraitor përdor gjithashtu inteligjencën artificiale për të zhvilluar qasje bindëse, për të krijuar identitete të rreme dhe për të shmangur zbulimin. Microsoft tha se sulmuesit ndërtuan domain të përshtatur dhe profile në rrjetet sociale, u paraqitën si rekrutues për një kompani fiktive të inteligjencës blockchain të fuqizuar nga AI dhe ofruan mundësi në inxhinierinë e softuerit përpara se të organizonin intervista. Kompania vëzhgoi gjithashtu shënjestrim të ngjashëm të mbështetur nga dy kompani të tjera fasadë gjatë një periudhe të shkurtër.
Për pronarët e faqeve të internetit dhe ekipet e IT-së, metoda e mjeteve të komprometuara të zhvillimit është veçanërisht e rëndësishme, sepse një infektim mund të fillojë brenda një procesi të besuar pune të softuerit dhe më pas të ekspozojë informacione sensitive ose të sigurojë kontroll në distancë të kompjuterit të një zhvilluesi. Organizatat që po rivlerësojnë infrastrukturën dhe praktikat e tyre të sigurisë mund të përdorin AEU-I për IT, infrastrukturë dhe konsulencë me sigurinë si përparësi.
Incidenti ndërthur dy rreziqe të veçanta: vjedhjen dhe pastrimin e menjëhershëm të kriptomonedhave, si dhe një fushatë më afatgjatë që përdor qasje rekrutimi dhe komponentë të ndryshuar zhvillimi për të komprometuar njerëz që kanë qasje në sisteme me vlerë. Prandaj, bizneset duhet të shqyrtojnë si masat mbrojtëse të llogarive financiare, ashtu edhe procesin e përdorur për miratimin e softuerit, ushtrimeve të intervistave dhe komponentëve të infrastrukturës përpara se dikush t’i ekzekutojë ato.