في تطور كبير، قامت السلطات اليابانية والأمريكية رسميًا بإسناد سرقة 308 مليون دولار من العملات المشفرة من DMM Bitcoin في مايو 2024 إلى عناصر إلكترونية كورية شمالية. يبرز هذا الحادث المقلق التهديد المستمر الذي تشكله مجموعات القرصنة المتطورة المرتبطة بالنظام الكوري الشمالي.
نشاط تهديد TraderTraitor 🚨
ترتبط السرقة بكتلة نشاط تهديد إلكتروني تُعرف باسم TraderTraitor، والتي تُتابع أيضًا تحت أسماء مستعارة مختلفة، بما في ذلك Jade Sleet و UNC4899 و Slow Pisces. وفقًا للتنبيه الذي أصدره مكتب التحقيقات الفيدرالي (FBI) و مركز الجرائم الإلكترونية التابع لوزارة الدفاع و الوكالة الوطنية للشرطة في اليابان، يتميز TraderTraitor بتكتيكات الهندسة الاجتماعية المستهدفة التي تستهدف عدة موظفين ضمن نفس المنظمة في الوقت نفسه.
أغلقت DMM Bitcoin، وهي بورصة عملات مشفرة بارزة، عملياتها منذ ذلك الحادث، مما يبرز التأثير الشديد لهذه الجريمة الإلكترونية.
أسلوب عمل TraderTraitor 🕵️♂️
كان TraderTraitor نشطًا منذ عام 2020 على الأقل ولديه تاريخ في استهداف الشركات في قطاع Web3. تستخدم المجموعة تكتيكات متنوعة لجذب الضحايا لتحميل تطبيقات عملات مشفرة محملة بالبرامج الضارة، مما يسهل السرقة في النهاية. تضمنت الهجمات الأخيرة حملات هندسة اجتماعية ذات طابع وظيفي، حيث يتظاهر القراصنة بأنهم مجنّدون أو متعاونون في مشاريع GitHub، مما يؤدي إلى نشر حزم npm الضارة.
كان أحد الحوادث الملحوظة هو اختراق أنظمة JumpCloud، حيث حصلت المجموعة على وصول غير مصرح به لاستهداف العملاء في أسفل السلسلة.
الهجوم على DMM Bitcoin: تحليل مفصل 🔍
وثق مكتب التحقيقات الفيدرالي سلسلة هجوم محددة بدأت في مارس 2024 عندما اتصل عنصر TraderTraitor بموظف في Ginco، وهي شركة برمجيات محفظة عملات مشفرة مقرها اليابان. متظاهرًا بأنه مُجنّد، أرسل المهاجم رابطًا إلى برنامج Python ضار مستضاف على GitHub، متخفيًا في شكل اختبار توظيف مسبق.
الضحية، الذي كان لديه وصول إلى نظام إدارة المحفظة في Ginco، عرض نظامهم للخطر عن غير عمد عن طريق نسخ الكود الضار إلى صفحتهم الشخصية على GitHub. سمح هذا الاختراق للعدو باستغلال معلومات ملفات تعريف الارتباط للجلسة، متظاهرًا بأنه الموظف المخترق والحصول على الوصول إلى نظام الاتصالات غير المشفرة في Ginco.
في أواخر مايو 2024، من المحتمل أن المهاجمين استخدموا هذا الوصول للتلاعب في طلب معاملة شرعية من موظف في DMM، مما أدى إلى سرقة 4,502.9 BTC، التي كانت قيمتها 308 مليون دولار في ذلك الوقت. تم نقل الأموال المسروقة بعد ذلك إلى محافظ يسيطر عليها TraderTraitor.
نتائج Chainalysis وحركة الأموال 💸
بعد الحادث، أكدت شركة Chainalysis للذكاء في blockchain أن الاختراق كان مرتبطًا بالفعل بعناصر تهديد كورية شمالية. وأفادوا بأن المهاجمين استغلوا الثغرات في بنية DMM Bitcoin لتنفيذ سحوبات غير مصرح بها.
تم نقل العملة المشفرة المسروقة عبر عدة عناوين وسيطة قبل الوصول إلى خدمة خلط Bitcoin CoinJoin، التي أخفت أثر الأموال. بعد الخلط، تم تحويل جزء من الأصول المسروقة عبر خدمات جسر مختلفة، مما أدى في النهاية إلى الوصول إلى HuiOne Guarantee، وهو سوق عبر الإنترنت مرتبط بالتكتل الكمبودي HuiOne Group، المعروف بتسهيل الجرائم الإلكترونية.
تهديدات مستمرة من عناصر إلكترونية كورية شمالية 🔒
تزداد تعقيد الوضع بسبب أنشطة عنصر تهديد كوري شمالي آخر، يُطلق عليه اسم Andariel، والذي هو جزء من مجموعة Lazarus الأكبر. تشير التقارير الأخيرة من مركز أمان المعلومات AhnLab (ASEC) إلى أن Andariel ينشر باب خلفي SmallTiger في الهجمات التي تستهدف حلول إدارة الأصول المركزية والتوثيق في كوريا الجنوبية.$XRP
$BTC
استنتاج
تعتبر سرقة 308 مليون دولار من DMM Bitcoin تذكيرًا صارخًا بالتهديدات المستمرة والمتطورة التي تشكلها عناصر إلكترونية كورية شمالية. مع استمرار هذه المجموعات في تحسين تكتيكاتها واستغلال الثغرات في مجال العملات المشفرة، من الضروري أن تعزز المنظمات تدابير الأمن السيبراني الخاصة بها وتبقى يقظة ضد الهجمات المحتملة.
يسلط هذا الحادث الضوء على أهمية بروتوكولات الأمان القوية والحاجة إلى الوعي المستمر في المشهد المتغير بسرعة للعملات المشفرة والتهديدات الإلكترونية.