سئول—تنها چند ساعت پس از آنکه صرافی ارز دیجیتال بایننس اعلام کرد قربانی بزرگترین سرقت سایبری تاریخ شده است، انگشت اتهام به سوی نامی آشنا نشانه رفت: کره شمالی.
محققان و بازرسان امنیت سایبری گفتند که فعالیت بلاک‌چین نشان می‌دهد که یک واحد هک نخبه کره شمالی، معروف به تریدر تریتور (TraderTraitor)، هک ۶.۳ میلیارد دلاری بزرگترین صرافی ارز دیجیتال جهان را انجام داده است. این سرقت چشمگیر، توانایی مجرمان سایبری کره شمالی را در دور زدن سیستم‌های نظارتی و به دست آوردن غارت‌های عظیم که برنامه هسته‌ای رو به رشد پیونگ‌یانگ را تأمین مالی می‌کند، نشان می‌دهد.
تام رابینسون، بنیانگذار شرکت تحلیلی الیپتیک (Elliptic)، که این حمله را با روش‌های تریدر تریتور سازگار یافته است، گفت: «این یک سرقت تحت حمایت دولت در مقیاسی است که هیچ گروه جنایتکاری به آن نزدیک نمی‌شود، و عواید آن برنامه‌های تسلیحاتی کره شمالی را تأمین مالی می‌کند.»
بر اساس گزارش شرکت تحلیلی تی‌آر‌ام لبز (TRM Labs)، عصر پنجشنبه، هکرها ۶.۳ میلیارد دلار را ظرف حدود ۲۰ دقیقه از کیف پول‌های بایننس خارج کردند. در فوریه ۲۰۲۵، این گروه ۱.۵ میلیارد دلار از صرافی ارز دیجیتال بای‌بیت (Bybit) به سرقت برد که در آن زمان رکورد سرقت سایبری بود. بر اساس گزارش شرکت تحلیلی چین‌الیسیس (Chainalysis)، ماه گذشته نیز ۳۸۷ میلیون دلار از یک صرافی ارز دیجیتال دیگر، بیت‌گت (Bitget)، به سرقت بردند.
به گفته شرکت‌های تحلیلی، ارائه‌دهندگان استیبل‌کوین و دیگران به سرعت حدود ۲.۸ میلیارد دلار از دارایی‌های سرقت شده بایننس را مسدود کردند، اما بیش از ۳ میلیارد دلار احتمالاً غیرقابل دسترس است زیرا نمی‌توان آن را مسدود کرد.
تریدر تریتور یک نام رمز است که توسط اداره تحقیقات فدرال (FBI) برای اشاره به یک واحد جرایم سایبری تحت حمایت دولت استفاده می‌شود که بین سال‌های ۲۰۱۶ و ۲۰۱۷ تحت نظارت سازمان جاسوسی پیونگ‌یانگ با هدف سرقت ارز دیجیتال تشکیل شد. این اطلاعات بر اساس گزارش تیم نظارت بر تحریم‌های چندجانبه (Multilateral Sanctions Monitoring Team - MSMT)، گروهی متشکل از ۱۱ کشور از جمله ایالات متحده که نقض تحریم‌های کره شمالی را مستند می‌کند، ارائه شده است.
تیم نظارت بر تحریم‌های چندجانبه در گزارشی در سال گذشته اعلام کرد که این واحد پیچیده از تکنیک‌های مهندسی اجتماعی و تخصص فنی پیشرفته برای انجام سرقت‌های گسترده استفاده می‌کند. بین ژانویه ۲۰۲۴ و سپتامبر ۲۰۲۵، این گروه حدود ۲.۶ میلیارد دلار ارز دیجیتال به سرقت برده بود که آن را به یکی از بزرگترین ماشین‌های سودآوری برای رژیم تبدیل کرده بود. هک بایننس اکنون این رقم را به بیش از ۵ میلیارد دلار افزایش می‌دهد.
جاناتان لوین، یکی از بنیانگذاران چین‌الیسیس، در پستی در پلتفرم X گفت که مجرمان سایبری کره شمالی «به ترفندهای قدیمی خود بازگشته‌اند.»
بر اساس یک هشدار مشترک صادر شده توسط آژانس‌های دولتی ایالات متحده در سال ۲۰۲۲، اپراتورهای تریدر تریتور خود را به عنوان استخدام‌کننده یا شرکای تجاری بالقوه معرفی می‌کنند تا با کارمندان شرکت‌ها اعتماد سازی کنند و آنها را فریب دهند تا نرم‌افزارهای مخرب را دانلود کرده و کنترل کامل را به هکرها بسپارند. این امر به هکرها اجازه می‌دهد تا در شبکه داخلی شرکت گشت و گذار کرده و تراکنش‌های ارز دیجیتال را آغاز کنند.
تیم نظارت بر تحریم‌های چندجانبه، با استناد به اطلاعات اعضای کشور خود، گفت که در هک سال ۲۰۲۴ یک صرافی ارز دیجیتال ژاپنی به نام DMM Bitcoin، یکی از اعضای تریدر تریتور خود را به عنوان استخدام‌کننده در لینکدین معرفی کرد تا فایل‌های مخرب را به کارمند یک فروشنده شخص ثالث که مسئول ذخیره ارز دیجیتال برای DMM بود، منتقل کند. پس از ورود به سیستم فروشنده، هکرها توانستند درخواست‌های تراکنش از DMM را دستکاری کرده و بیش از ۳۰۰ میلیون دلار ارز دیجیتال به دست آورند.
بایننس اعلام کرده است که این نقض ممکن است شامل «لپ‌تاپ یک مهندس DevOps به خطر افتاده» باشد که به مهاجم اجازه داده «تراکنش‌های برداشت غیرمجاز را ارسال کند.» بایننس افزود که «نقاط نقض اضافی» نیز وجود داشته است.
اما آنچه تریدر تریتور و دیگر هکرهای ارز دیجیتال کره شمالی را به طور استثنایی مؤثر می‌سازد، کاری است که پس از سرقت ارز دیجیتال انجام می‌دهند. پس از نفوذ به یک صرافی بزرگ ارز دیجیتال هندی در سال ۲۰۲۴، هکرها از الگوریتم‌ها برای پراکنده کردن وجوه در شبکه‌های جهانی ارز دیجیتال استفاده کردند و این کار را سریع‌تر از هر انسانی انجام دادند و بازیابی آنها را عملاً غیرممکن ساختند.
جاناتان رایتر، یکی از بنیانگذاران چین‌آرگوس (ChainArgos)، یک پلتفرم تحلیل بلاک‌چین، گفت: «هکرها ممکن است به معنای متعارف متخصصان امنیتی پیشرو نباشند، اما در بهره‌برداری از آسیب‌پذیری‌ها بسیار کارآمد هستند.»
سرقت‌های ارز دیجیتال به سودآورترین و حیاتی‌ترین منبع درآمد کره شمالی تبدیل شده و جایگزین صادرات زغال‌سنگ و منسوجات شده است که توسط تحریم‌های جهانی فلج شده بودند.
اما انجام سرقت‌های میلیارد دلاری تنها نیمی از کار است. تبدیل ارز دیجیتال سرقت شده به ارز سخت ممکن است ماه‌ها، اگر نه سال‌ها، طول بکشد. وجوه باید در بلاک‌چین‌های مختلف پراکنده شوند تا ردپاهای دیجیتال پاک شوند، قبل از اینکه از طریق شبکه‌های دلالان غیرقانونی که آنها را برای رژیم کیم جونگ اون نقد می‌کنند، منتقل شوند.
نقض بایننس نشان‌دهنده یک بازی فزاینده نامتقارن بین واشنگتن و پیونگ‌یانگ است. در حالی که ایالات متحده و متحدانش نرم‌افزارهای ردیابی را به کار می‌گیرند و گروه‌ها و افراد را برای مقابله با جرایم سایبری تحریم می‌کنند، هکرهای کره شمالی به راحتی ایمیل‌های فیشینگ را به کار می‌گیرند یا توسعه‌دهندگان ناآگاه را فریب می‌دهند تا میلیون‌ها دلار را در عرض چند دقیقه به سرقت ببرند.
مقامات آمریکایی گفته‌اند که جرایم سایبری تقریباً نیمی از برنامه موشکی کره شمالی را تأمین مالی می‌کند. در سال‌های اخیر، کره شمالی موشک‌های بالستیک قاره‌پیما با قابلیت رسیدن به خاک اصلی ایالات متحده، سیستم‌های مافوق صوت جدید و موشک‌های بالستیک کوتاه‌برد دقیق‌تر را آزمایش کرده است.
کیم جاه‌طلبی‌هایی را برای تسریع تولید موشک و انباشت کلاهک‌های هسته‌ای بیشتر مطرح کرده است. تزریق نقدی از سرقت پنجشنبه می‌تواند جاه‌طلبی کیم را برای توسعه پهپادهای پیشرفته، کشتی‌های جنگی و یک زیردریایی هسته‌ای تقویت کند.
در ماه مارس، کره شمالی اتهامات مربوط به دست داشتن در سرقت‌های سایبری جهانی را رد کرد. وزارت خارجه کره شمالی در بیانیه‌ای اعلام کرد که ایالات متحده در حال انتشار «افتراهای پوچ» برای خدشه‌دار کردن وجهه این کشور است.