فريق TraderTraitor الكوري الشمالي.. تاريخ من الاختراقات آخرها Binance

في 20 دقيقة فقط، تحولت محافظ إلكترونية ساخنة تابعة لمنصة بينانس (Binance)، أكبر منصة لتداول العملات المشفرة في العالم، إلى عناوين فارغة، الخميس، بعد اختفاء 6.3 مليار دولار في أكبر سرقة عملات مشفرة معروفة في التاريخ.

ولم تكن سرقة اعتيادية؛ فخيوط العملية تقود، في تقييمات أولية أجرتها شركتا تحليل البلوكتشين TRM Labs وChainalysis، إلى مجموعة قرصنة من كوريا الشمالية متخصصة في سرقة العملات المشفرة تُعرف باسم "TraderTraitor"، يرى باحثون أن بصمتها ظاهرة في كل تفصيلة، من بروفة كاملة نُفذت قبل السرقة بنحو 36 ساعة، إلى أسلوب غسل الغنائم الذي يحمل توقيعها.

والسبت، قال مكتب التحقيقات الفيدرالي في الولايات المتحدة (FBI)، إن كوريا الشمالية مسؤولة عن محاولة الاختراق، وأوضح في بيان: "رصد مكتب التحقيقات الفيدرالي، بالتعاون مع شركائه في جهاز الخدمة السرية الأميركي (USSS) ووحدة التحقيقات الجنائية التابعة لمصلحة الضرائب الأميركية (IRS-CI)، قيام عناصر مجموعة تريدر تريتور (TraderTraitor) بتحويل الأصول المسروقة بصورة أساسية إلى عملة إيثر (Ethereum)".

وفيما أعلنت "بينانس" تمكنها من استرداد 90% من المبالغ المسروقة، السبت، قبل أن تستأنف، الأحد، السماح بسحب الأموال على مراحل، يظل الكثير من علامات الاستفهام معلقاً بملابسات السرقة الضخمة، ومجموعة "TraderTraitor".

من هي مجموعة TraderTraitor؟

"TraderTraitor" مجموعة قرصنة تركّز بشكل شبه كامل على سرقة العملات المشفرة، وتُعد جزءاً من مظلة "لازاروس" (Lazarus Group)، التي تؤكد وزارة الخزانة الأميركية أنها خاضعة لمكتب الاستطلاع العام (Reconnaissance General Bureau - RGB)، جهاز الاستخبارات الرئيسي في كوريا الشمالية.

ويختلف اسم المجموعة باختلاف الجهة التي ترصدها؛ فالحكومة الأميركية تسميها "TraderTraitor"، ومايكروسوفت تسميها "Jade Sleet"، فيما ترصدها Mandiant وجوجل باسم UNC4899، وفريق Unit 42 في Palo Alto Networks باسم "Slow Pisces"، وتُعرف أيضاً لدى بعض الجهات باسم PUKCHONG.

ورجّح باحثون في الأمن السيبراني أن المجموعة ظهرت مطلع عام 2022، وأنها امتداد لمجموعة APT38 التي حاولت سرقة مليار دولار من حساب البنك المركزي في بنجلاديش لدى الاحتياطي الفيدرالي في نيويورك عام 2016 عبر نظام SWIFT، وخرجت بنحو 81 مليون دولار فقط.

وقال الباحث المتخصص في كوريا الشمالية لدى شركة DTEX Systems، مايكل بارنهارت، إن بيونج يانج أدركت بعد تلك العملية أن الاعتماد على وسطاء بشريين يُضعف العمليات، فتحولت إلى سرقة العملات المشفرة مباشرة، واصفاً "TraderTraitor" بأنها "الأكثر تطوراً بين الجميع".

ووصفت مديرة استراتيجية الاستخبارات عن التهديدات في مايكروسوفت، شيرود دي جريبو، المجموعة بأنها "واحدة من أكثر المجموعات تطوراً" في مستواها.

ورغم أن تركيزها الأساسي هو العملات المشفرة، إلا أن نشاطها لا يقتصر عليه بالكامل؛ إذ رُبطت أيضاً باختراق شركة إدارة الهويات JumpCloud في يونيو 2023، في هجوم على سلسلة الإمداد البرمجية يرى باحثون أنه ربما كان يستهدف الوصول بشكل أخفى إلى عملاء الشركة في قطاع "الكريبتو".

بصمات رقمية لقراصنة كوريا الشمالية

أول توثيق رسمي لمجموعة القراصنة الكورية الشمالية كان في أبريل 2022، حين أصدر مكتب التحقيقات الفيدرالي (FBI)، ووكالة الأمن السيبراني، وأمن البنية التحتية (CISA)، ووزارة الخزانة الأميركية تنبيهاً مشتركاً عن حملات تعتمد تطبيقات تداول عملات مشفرة مُحصّنة ببرمجيات خبيثة مبنية بإطار Electron، تُروَّج عبر هندسة اجتماعية وعروض عمل مزيفة عالية الأجر، وأطلقت السلطات على هذه الحملات اسم "TraderTraitor".

وفي مايو 2024 سُرقت 4502.9 عملة بيتكوين، بقيمة نحو 308 ملايين دولار وقتها، من منصة DMM Bitcoin اليابانية.

وفي ديسمبر 2024 أسند FBI، ومركز الجرائم السيبرانية بوزارة الحرب الأميركية (البنتاجون)، ووكالة الشرطة الوطنية اليابانية، السرقة رسمياً إلى "TraderTraitor"، موضحةً، في تقرير رسمي، أن مجنداً مزيفاً على LinkedIn استهدف موظفاً في شركة Ginco المزودة لبرمجيات المحافظ باختبار توظيف مفخخ منشور على GitHub، قبل أن يستغل المهاجمون ملفات تعريف الارتباط الخاصة بجلسة الموظف لانتحال هويته والوصول إلى نظام الاتصالات الداخلي، ثم التلاعب بطلب تحويل مشروع قدّمه موظف في DMM.

وفي 21 فبراير 2025 تعرضت منصة Bybit لسرقة نحو 1.5 مليار دولار، أكبر سرقة عملات مشفرة في ذلك الحين، وبعد 5 أيام أعلن FBI مسؤولية كوريا الشمالية عنها، مسمياً هذا النشاط "TraderTraitor"، وناشد القطاع الخاص حظر التعامل مع عناوين قال إنها تابعة للمجموعة أو مرتبطة بها.

كيف تعمل مجموعة TraderTraitor؟

تعتمد "TraderTraitor" أساساً على الهندسة الاجتماعية الموجهة بدقة إلى موظفي تطوير البرمجيات والعمليات التقنية (DevOps) في شركات الكريبتو، وتقول دي جريبو إن المجموعة "تعرف الأفراد العاملين في هذه الشركات، وتتعقبهم، وتحتفظ بملفات عنهم، وتعرف أي المنصات تحقق أعلى أحجام التداول".

ووثّقت منصة GitHub في يوليو 2023 إنشاء المجموعة حسابات مزيفة على المنصة وعلى LinkedIn وSlack وتليجرام، لدعوة مطورين إلى التعاون على مشاريع برمجية قبل إصابتهم ببرمجيات خبيثة.

كما رصد فريق "Unit 42" استدراج مطوري عملات مشفرة عبر عروض توظيف على LinkedIn تتضمن "تحديات برمجية" مفخخة ببرمجيتين أطلق عليهما RN Loader وRN Stealer، وعثر الفريق على 50 حساباً مجنداً مزيفاً من كوريا الشمالية على LinkedIn، بحسب تقرير نشره الفريق البحثي.

وبحسب محلل التهديدات لدى جوجل، أدريان هرنانديز، تستخدم المجموعة أبواباً خلفية مخصصة لأنظمة macOS مثل PLOTTWIST وTIEDYE، مموهة بشدة لإعاقة الرصد والتحليل، وتتحرك داخل الشبكات بخفاء بعد الحصول على بيانات اعتماد صالحة.

بعد السرقة يتبع غسيل الأموال نمطاً شبه ثابت، كما وثّقته Elliptic في تحليلها لاختراق Bybit، وذلك عبر تحويل سريع للرموز المسروقة إلى أصول يصعب تجميدها مثل "إيثر" و"بيتكوين"، ثم تقسيم الأموال على عشرات المحافظ (50 محفظة في حالة Bybit)، فتمريرها عبر منصات تداول و"خلاطات" تمويه.

وتصف Elliptic كوريا الشمالية بأنها "أكثر مغاسل الأصول المشفرة تطوراً وتمويلاً في الوجود، وتواصل تكييف أساليبها للإفلات من الرصد والمصادرة".

كيف وقع اختراق منصة بينانس؟

بحسب منصة بينانس، بدأ الهجوم من حاسوب مخترق يعود لمهندس DevOps في الشركة، ما مكّن المهاجم من الوصول إلى حاوية خدمة (service container)، وتقديم معاملات سحب غير مصرّح بها، قبل أن يكشف التحقيق اللاحق "نقاط اختراق إضافية".

وقال الرئيس التنفيذي المشارك لمنصة بينانس (Binance)، ريتشارد تنج، إن المهاجم "لم يستخدم ببساطة صلاحيات مهندس واحد، ولم تكن العملية نقرة واحدة"، مؤكداً أن الشركة لم تعثر على دليل على تسريب مفاتيح خاصة بالمحافظ، وأن التحقيق لم يسند المسؤولية إلى أي فرد.

وبحسب TRM Labs، بدأ التجهيز للهجوم قبل السرقة بـ36 ساعة على الأقل، جرّب المنفذ شيفرته على محفظتين، ثم أجرى بروفة كاملة على محفظة ثالثة، وأعاد أموال الاختبار إلى نفسه، وبعد 4 ساعات زرع الشيفرة نفسها في محفظة ساخنة تابعة لبينانس.

وجُرّدت محافظ ساخنة على 10 سلاسل بلوكتشين على الأقل، بينها إيثيريوم وبيتكوين وترون وسولانا. ويشير روبنسون إلى أن المهاجم موّل محفظته عبر خلاط Tornado Cash وتدرّب على الهجوم مسبقاً "كما في Bybit"، واصفاً استهداف موظفي شركات الكريبتو بأنه "بصمة TraderTraitor".

سرقة الكريبتو.. اقتصاد بديل لتفادي العقوبات

تمثل سرقة العملات المشفرة شريان تمويل رئيسياً للنظام الكوري الشمالي الخاضع لعقوبات أممية وأميركية مشددة، وبحسب Chainalysis، سرق قراصنة كوريا الشمالية 2.02 مليار دولار في عام 2025، بزيادة 51% عن العام السابق، ليصل الإجمالي التراكمي الموثق إلى 6.75 مليار دولار كحد أدنى، مع استحواذ هجماتهم على 76% من اختراقات خدمات الكريبتو في 2025 رغم تراجع عدد الهجمات.

وقدّر تقرير فريق الرصد متعدد الأطراف لعقوبات الأمم المتحدة (MSMT)، الصادر في أكتوبر 2025، أن كوريا الشمالية سرقت 1.19 مليار دولار على الأقل من العملات المشفرة في 2024، و1.645 مليار دولار بين يناير وسبتمبر 2025، وأن سرقات الكريبتو شكّلت نحو ثلث إيرادات النقد الأجنبي للبلاد في 2024.

وذكر التقرير أن بيونج يانج تعتمد في تحويل الغنائم إلى عملات نقدية على شبكات من مواطنيها ووسطاء أجانب في الصين وروسيا والأرجنتين وكمبوديا وفيتنام ودول أخرى.

وكان فريق من خبراء الأمم المتحدة حقق في 58 هجوماً سيبرانياً مشتبهاً به جنت نحو 3 مليارات دولار بين عامي 2017 و2023، بحسب "رويترز".