No dia 21 de fevereiro, começou a se desenrolar o maior roubo de criptomoedas da história. Hackers ganharam controle de uma carteira de criptomoedas pertencente à segunda maior exchange de criptomoedas do mundo, Bybit, e roubaram quase 1,5 bilhão de dólares em tokens digitais. Eles rapidamente transferiram o dinheiro entre dezenas de carteiras e serviços de criptomoedas para tentar obscurecer a atividade, antes de começar a sacar os fundos roubados.
O impressionante raid digital tinha todas as características de ter sido conduzido por um dos grupos de elite de hackers da Coreia do Norte. Enquanto a Bybit permaneceu solvente ao pegar emprestado criptomoedas e lançou um esquema de recompensa para rastrear os fundos roubados, o FBI rapidamente atribuiu a culpa aos hackers norte-coreanos conhecidos como TraderTraitor.
Antes do roubo da Bybit, o TraderTraitor já havia sido vinculado a outros roubos de criptomoedas de alto perfil e comprometimentos de software de cadeia de suprimentos.
Os hackers da Coreia do Norte, ao lado daqueles da China, Rússia e Irã, são consistentemente considerados uma das ameaças cibernéticas mais sofisticadas e perigosas para as democracias ocidentais. Embora todos esses países se envolvam em espionagem e roubo de dados sensíveis, as operações cibernéticas da Coreia do Norte têm seus próprios objetivos distintos: ajudar a financiar os programas nucleares do reino eremita.
Ao longo de pelo menos os últimos cinco anos, o regime totalitário de Kim Jong-un tem implantado trabalhadores de TI tecnicamente habilidosos para infiltrar empresas ao redor do mundo e ganhar salários que podem ser enviados de volta à pátria. Em alguns casos, após serem demitidos, esses trabalhadores extorquiam seus ex-empregadores ameaçando divulgar dados sensíveis. Ao mesmo tempo, hackers norte-coreanos, como parte do amplo grupo Lazarus, roubaram bilhões em criptomoedas de exchanges e empresas ao redor do mundo. TraderTraitor faz parte de uma parte do grupo Lazarus, que é administrado pelo Reconnaissance General Bureau, a agência de inteligência da Coreia do Norte.
TraderTraitor – também conhecido como Jade Sleet, Slow Pisces e UNC4899 por empresas de segurança – está principalmente interessado em criptomoedas.
“Eles usam uma variedade de técnicas criativas para entrar no blockchain, criptomoeda, tudo o que tem a ver com plataformas, fóruns de negociação, todas essas coisas diferentes que envolvem criptomoedas e finanças descentralizadas”, diz Sherrod DeGrippo, diretora de estratégia de inteligência de ameaças da Microsoft. “O grupo Jade Sleet (TraderTraitor) é um dos grupos mais sofisticados dentro desse escalão”, diz ela.
O TraderTraitor surgiu pela primeira vez no início de 2022, dizem vários pesquisadores de segurança cibernética, e provavelmente é um desdobramento do grupo norte-coreano APT38 que invadiu o sistema financeiro SWIFT e tentou roubar 1 bilhão de dólares do Banco Central de Bangladesh no início de 2016. “Eles saíram com muito pouco dinheiro”, diz Barnhart da DTEX Systems. “Naquele momento, houve uma mudança real e significativa.”
Barnhart diz que a Coreia do Norte percebeu que depender de outras pessoas – como mulas de dinheiro – poderia tornar suas operações menos eficazes. Em vez disso, eles poderiam roubar criptomoedas. Dois grupos surgiram dessa mudança tática, diz Barnhart, CryptoCore e TraderTraitor. “O TraderTraitor é o mais sofisticado de todos”, diz ele. “E por quê? Porque APT38 era o time A”.
