L'FBI attribuisce a TraderTraitor, gruppo di hacker vicino alla Corea del Nord, un furto di criptovalute superiore a 6 miliardi di dollari, come riportato da The Hacker News il 1° novembre. Binance ha dichiarato di aver ripreso i prelievi per fasi, dopo averli sospesi in seguito all'incidente, mentre i servizi di deposito sono rimasti aperti e non sono stati coinvolti.
Il rapporto quantifica il furto in 6,43 miliardi di dollari su undici blockchain, con l'82% dei fondi rubati su Ethereum e Bitcoin. Secondo il documento, 2,85 miliardi di dollari sono stati congelati on-chain, cioè bloccati sulla blockchain, da Tether, Circle, Ripple, Arbitrum e Optimism. Il bottino segnalato supera i 1,46 miliardi di dollari sottratti a Bybit nel febbraio 2025, il che lo rende il più grande furto di criptovalute mai segnalato.
Per i clienti di Binance, la conseguenza immediata è il graduale ritorno dei prelievi. Per le aziende e gli sviluppatori del settore cripto, l'attribuzione richiama l'attenzione su un gruppo le cui campagne documentate usano false opportunità di lavoro e strumenti di sviluppo compromessi per rubare informazioni e ottenere accesso remoto.
I prelievi riprendono mentre gli investigatori seguono i fondi
L'FBI, il Servizio Segreto degli Stati Uniti e la Criminal Investigation dell'Internal Revenue Service hanno dichiarato di aver osservato gli attaccanti convertire gli asset rubati prevalentemente in Ethereum, o ETH, riporta The Hacker News. L'FBI prevede ulteriore riciclaggio attraverso servizi di finanza decentralizzata, comunemente detta DeFi, e swap istantanei di criptovalute. Questo passo successivo atteso è distinto dalle conversioni che, secondo gli investigatori, erano già state osservate.
L'agenzia ha inoltre diffuso indirizzi di portafogli che, a suo dire, gli attaccanti usavano per riciclare gli asset.
Binance ha dichiarato che la prima fase di ripristino dei prelievi è iniziata il 1° novembre, tra le 06:00 e le 09:00 UTC. Nella dichiarazione riportata da The Hacker News, la piattaforma ha spiegato di aver adottato misure precauzionali, valutato la sicurezza e verificato la prontezza dei servizi interessati. Ulteriori prelievi sarebbero tornati progressivamente man mano che tali verifiche fossero completate.
La società di analisi blockchain Elliptic ha descritto il furto come un evento che quasi raddoppia il totale di cripto-asset rubati dalla Corea del Nord. Nella dichiarazione citata da The Hacker News, Elliptic ha affermato che si ritiene che soggetti collegati al Paese abbiano rubato più di 6,5 miliardi di dollari negli ultimi anni.
TraderTraitor è monitorato anche come Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces e UNC4899. Attivo almeno dal 2020, ha un passato di tentativi di convincere bersagli del settore cripto a scaricare applicazioni contenenti malware. Tra i furti precedenti attribuiti al gruppo figurano gli attacchi contro DMM Bitcoin, Bybit, KelpDAO e Bitget.
Le esche di reclutamento arrivano nei flussi di lavoro degli sviluppatori
Un'altra segnalazione riportata da The Hacker News, basata su dati di SentinelOne, Zscaler ThreatLabz e Microsoft, mostra che il gruppo usa provider Terraform malevoli e società di copertura per prendere di mira persone che lavorano nella cybersicurezza, nell'IA, nella blockchain e nella selezione del personale.
I provider Terraform sono componenti usati da uno strumento di gestione dell'infrastruttura per interagire con i servizi. Nella catena di attacco descritta, un provider alterato per contenere codice malevolo distribuisce un loader Bash, cioè uno script che scarica e avvia altro malware. Il loader seleziona il payload in base al sistema operativo della vittima, consentendo alla campagna di colpire sistemi macOS, Linux e Windows.
La catena include FLATROOF, un implant che usa uno stealer di informazioni basato su Python per raccogliere dati sensibili, seguito dalla backdoor ROOFDECK, che dà agli attaccanti il controllo remoto e un accesso persistente. Questi risultati descrivono i metodi più ampi del gruppo, non un punto d'ingresso accertato per il furto appena segnalato.
In un'analisi del 29 ottobre di Microsoft Threat Intelligence, Microsoft ha dichiarato che Jade Sleet ha avviato campagne attraverso tre società di copertura in una sola settimana. Una si presentava come società di intelligence blockchain basata sull'IA. Gli attaccanti hanno usato domini personalizzati, profili sui social media e conoscenze di settore per contattare potenziali ingegneri del software e fissare colloqui. Altre due società di copertura hanno sostenuto campagne di reclutamento simili nello stesso periodo.
Microsoft ritiene che l'uso dell'IA sia ormai consolidato nei flussi operativi di Jade Sleet. L'azienda descrive l'IA come un acceleratore di attività già esistenti, tra cui la creazione di esche, lo sviluppo di identità false e il lavoro sull'infrastruttura, mentre ritiene che le operazioni nordcoreane abilitate dall'IA restino guidate da esseri umani.
Tra le altre conclusioni: Onyx Sleet produce decine di esche personalizzate in pochi minuti, Coral Sleet sviluppa rapidamente un metodo per inserire codice malevolo nei repository di codice sorgente privati, e Diamond Sleet usa l'IA per supportare il targeting, le identità false e le società di copertura. Microsoft ha inoltre dichiarato che Onyx Sleet e Pearl Sleet usano ARTEX, un framework open source basato sull'IA per i test di penetrazione. Queste osservazioni riguardano gruppi distinti e non vanno lette come metodi accertati nel furto di criptovalute.
Azioni per i team di sicurezza e i recruiter
Le indicazioni di Microsoft riguardano il più ampio panorama delle minacce nordcoreane, che comprende phishing, malware, sistemi esposti e infiltrazione di dipendenti. Per le organizzazioni che affrontano attacchi a tema reclutamento, Microsoft raccomanda di formare gli utenti a riconoscere contatti non richiesti, allegati sospetti e richieste ricevute tramite social network o app di messaggistica, e a segnalare le attività sospette.
I team di selezione dovrebbero esaminare con attenzione i candidati provenienti da società di somministrazione, confrontare nomi, indirizzi e date tra candidature e verifiche dei precedenti, e controllare le referenze per telefono o video. Microsoft raccomanda inoltre di verificare la presenza di profili professionali o numeri di telefono duplicati, di cercare la stessa identità impiegata presso più aziende e di svolgere più sessioni video. Nelle sue indicazioni, problemi ripetuti con la videocamera o il microfono sono un segnale d'allarme, insieme a una presenza digitale assente o incoerente.
Gli amministratori della sicurezza dovrebbero mantenere aggiornate le definizioni antivirus e la protezione in tempo reale, attivare la protezione erogata dal cloud e usare strumenti di endpoint detection and response in grado di bloccare attività malevole dopo una violazione iniziale. Tra i rilevamenti pertinenti, Microsoft elenca l'avviso di Defender for Endpoint «Jade Sleet threat actor activity detected».
Per gli ambienti Microsoft, le raccomandazioni includono Safe Links e Safe Attachments, la rimozione retroattiva delle email malevole tramite Zero-hour auto purge e il blocco dell'autenticazione con codice dispositivo ove possibile. Quando questo metodo di autenticazione è necessario, gli amministratori dovrebbero controllarlo tramite le policy di accesso condizionale di Microsoft Entra.
Microsoft raccomanda anche di ridurre l'esposizione pubblica dei sistemi, usare accessi di rete protetti dove possibile, collocare i server pubblici necessari dietro infrastrutture di protezione e automatizzare le patch. Le sue indicazioni sulla riduzione della superficie d'attacco includono il blocco dei contenuti eseguibili nelle email, degli eseguibili non attendibili e degli script potenzialmente mascherati. Chi risponde agli incidenti può usare i suoi strumenti di analisi della posta per trovare e rimuovere i messaggi di phishing già recapitati, compresi quelli con oggetti o URL simili a esempi malevoli noti.
