בלי משרד, דובר או אתר: יחידת הצללים שהפכה לסיוט של תעשיית הקריפטו

TraderTraitor הצפון קוריאנית עומדת מאחורי השוד הדיגיטלי הגדול בהיסטוריה: 6.3 מיליארד דולר שנגנבו מבייננס. הקבוצה, שפועלת בשירות המשטר בפיונגיאנג, מתחזה למגייסים בלינקדאין, חודרת לספקי תוכנה ומלבינה את השלל בשיטות חדשות. היא גנבה עד היום מיליארדים שנועדו לממן נשק וטילים

ה-FBI הודיע כי יחידת ההאקרים הצפון קוריאנית TraderTraitor היא שעומדת מאחורי השוד הדיגיטלי הגדול בהיסטוריה: 6.3 מיליארד דולר שנגנבו מבייננס, בורסת הקריפטו הגדולה בעולם. בייננס טוענת כי כבר כיסתה 95% מהנזק מכספה וחידשה היום את המשיכות, אבל השאלה הגדולה נשארה פתוחה: מי היא בעצם הקבוצה שגנבה בתוך ארבע שנים סכומים שמתקרבים לתקציבים של מדינות שלמות?

לשם TraderTraitor אין משרד, אין דובר ואין אתר. זה השם שנתנה ממשלת ארה"ב לפעילות של קבוצת האקרים צפון קוריאנית שמתמחה כמעט רק בדבר אחד: גניבת קריפטו. כל חברת אבטחה מכנה אותה בשם אחר. מיקרוסופט קוראת לה Jade Sleet, מנדיאנט של גוגל קוראת לה UNC4899, ופאלו אלטו נטוורקס קוראת לה Slow Pisces. ה-FBI, משטרת יפן ומשרד ההגנה האמריקני משתמשים בכל השמות האלה במסמכים רשמיים, כשמות נרדפים לאותה פעילות.

היא שייכת למשפחה רחבה יותר שמוכרת בעולם בשם לזרוס. זה שם כולל לכמה יחידות סייבר שפועלות בשירות המשטר בפיונגיאנג. לפי הערכות של ממשלות מערביות, רובן כפופות ללשכה הכללית לסיור, שירות הביון הצבאי של צפון קוריאה. כשהממשל האמריקני חשף לראשונה את TraderTraitor, הוא תיאר אותה כקבוצה שהתעשייה מכירה גם בשמות לזרוס, APT38, BlueNoroff ו-Stardust Chollima.

שלא כמו רוב האקרי הסייבר של מדינות, שעוסקים בעיקר בריגול, TraderTraitor היא קודם כל מכונה לייצור הכנסות. צפון קוריאה נתונה לסנקציות בינלאומיות כבדות, והגישה שלה למערכת הפיננסית העולמית כמעט חסומה. הקריפטו מאפשר לה לעקוף את החסימה הזאת. ארה"ב, יפן ודרום קוריאה הצהירו במשותף שהמאבק בגניבות נועד למנוע מהמשטר מקורות הכנסה לתוכניות נשק להשמדה המונית ולטילים בליסטיים. לפי Chainalysis, פקידים בינלאומיים מעריכים שפיונגיאנג משתמשת בקריפטו הגנוב בדיוק למטרות האלה.

באפריל 2022 פרסמו ה-FBI, הסוכנות האמריקנית לאבטחת סייבר ותשתיות ומשרד האוצר האמריקני התראה משותפת. זו הייתה הפעם הראשונה שהשם TraderTraitor הופיע בציבור. לפי ההתראה, הקבוצה פועלת נגד חברות בלוקצ'יין וקריפטו מאז 2020 לפחות. היעדים שלה הם בורסות, פרויקטים של מימון מבוזר, משחקי "שחק והרווח", קרנות הון סיכון שמשקיעות בקריפטו ומחזיקים פרטיים בסכומים גדולים. השם עצמו בא מהשיטה: אפליקציות מסחר בקריפטו שנראות לגיטימיות לחלוטין, אבל בפועל הן סוס טרויאני.

הנשק העיקרי של הקבוצה הוא הנדסה חברתית, יותר מפרצות בקוד. ההאקרים מתחזים למגייסים בלינקדאין, מציעים לעובדים בחברות קריפטו משרות מפתות ושולחים "מבחן קבלה" שבתוכו קוד זדוני. כך נפרצה ב-2024 הבורסה היפנית DMM Bitcoin. ההאקר הציג את עצמו כמגייס ופנה לעובד בחברת תוכנת הארנקים גינקו (Ginco). הוא שלח לו סקריפט בפייתון שהוצג כמבחן מקדים לעבודה. אחרי כחודשיים השתמשו ההאקרים בגישה שהשיגו, שינו בקשת העברה לגיטימית של עובד בבורסה, ועל הדרך נעלמו 4,502.9 ביטקוינים בשווי 308 מיליון דולר. ה-FBI ציין שמאפיין בולט של הקבוצה הוא תקיפה של כמה עובדים באותה חברה בבת אחת.

שיטה נוספת היא תקיפת שרשרת האספקה. במקום לפרוץ ישירות ליעד, ההאקרים חודרים לספק תוכנה שהיעד סומך עליו. ב-2023 ייחסה מנדיאנט ל-UNC4899 פריצה לחברת ניהול הזהויות ג'אמפקלאוד (JumpCloud), שדרכה ניסו להגיע ללקוחות מעולם הקריפטו.

ההתראה מ-2022 הגיעה זמן קצר אחרי השוד שהפך את הקבוצה לשם מוכר: הפריצה לגשר רונין (Ronin) של משחק Axie Infinity במרץ 2022. משם נגנבו כ-620 מיליון דולר, וה-FBI ייחס את השוד ללזרוס. ביוני אותה שנה נפרץ גשר Horizon של הרמוני (Harmony) ונגנבו כ-100 מיליון דולר, ושוב הצביע ה-FBI על לזרוס.

ב-2023 התרחבו התקיפות לארנקים פרטיים ולאתרי הימורים. מארנקי משתמשים של אטומיק וולט (Atomic Wallet) נגנבו כ-100 מיליון דולר, ומאתר הימורי הקריפטו Stake.com נגנבו כ-41 מיליון דולר. ה-FBI ייחס גם את שני המקרים האלה לצפון קוריאה.

2024 הייתה שנת שיא באותה תקופה. מלבד DMM, ארה"ב ודרום קוריאה ייחסו לצפון קוריאה גם את הגניבה של 235 מיליון דולר מהבורסה ההודית WazirX ואת הגניבה של 50 מיליון דולר מ-Radiant Capital. ארה"ב, יפן ודרום קוריאה ייחסו לה גם גניבה של 50 מיליון דולר מהבורסה הדרום קוריאנית אפביט (Upbit).

ואז הגיע פברואר 2025. מהבורסה ביביט (Bybit) נגנבו כ-401 אלף יחידות אית'ריום בשווי של כמעט 1.5 מיליארד דולר. ההאקרים חדרו למחשב של מפתח בחברת Safe, שסיפקה לביביט את ממשק הארנק, ושתלו בו קוד זדוני. כשהבורסה אישרה מה שנראה כהעברה שגרתית, היא בפועל חתמה על העברת הכסף לתוקפים. ה-FBI ייחס את השוד ל-TraderTraitor בתוך חמישה ימים בלבד.

לפי Chainalysis, האקרים צפון קוריאנים גנבו כ-660 מיליון דולר ב-2023 ו-1.34 מיליארד דולר ב-2024, בתוך 47 תקיפות. זה היה 61% מכל הקריפטו שנגנב בעולם באותה שנה. ב-2025 הם גנבו לפחות 2.02 מיליארד דולר, שיא שנתי שנבע בעיקר מביביט, והגיעו ל-76% מכל הפריצות לחברות קריפטו. ההערכה המצטברת של Chainalysis לסוף 2025 עמדה על 6.75 מיליארד דולר לפחות, כמעט בדיוק הסכום שנגנב עכשיו מבייננס בשוד אחד.

נתון אחד בדוח מסביר את המגמה: מספר התקיפות ירד, אבל הסכומים זינקו. הקבוצה כבר לא מפזרת אש לכל עבר, אלא מכוונת ליעדים הגדולים ביותר. היא מחדירה עובדי IT צפון קוריאנים לחברות קריפטו, מתחזה לבכירים, ואחרי כל שוד מנהלת מחזור הלבנה של כ-45 יום דרך שירותי החלפה, גשרים בין רשתות ושירותי ערבול.

הפריצה לבייננס משלבת את מה שהקבוצה למדה בשש שנות פעילות: נקודת כניסה אנושית, תוכנה שמוחקת את עקבותיה, השתלטות על מנגנון החתימה, והלבנה מהירה בשיטות חדשות. השיא הקודם, השוד בביביט, עמד על כ-1.5 מיליארד דולר, והשוד בבייננס גדול ממנו פי ארבעה. לקוחות בייננס לא אמורים להפסיד דבר, אבל לפי ה-FBI, הלבנת השלל רק בתחילתה.