Η TraderTraitor, γνωστή επίσης ως Jade Sleet, UNC4899 και Pukchong, είναι ομάδα κυβερνοεγκλήματος που συνδέεται με τη Βόρεια Κορέα και ειδικεύεται στην κλοπή κρυπτονομισμάτων.
Σύμφωνα με την CISA που είναι η αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (Cybersecurity and Infrastructure Security Agency), την ομοσπονδιακή υπηρεσία του υπουργείου Εσωτερικής Ασφάλειας των ΗΠΑ που ασχολείται με την προστασία των δικτύων, των ψηφιακών συστημάτων και κρίσιμων υποδομών από κυβερνοεπιθέσεις, η TradeTraitor αποτελεί μέρος της ευρύτερης ομάδας Lazarus και στοχεύει ανταλλακτήρια, προγραμματιστές blockchain και εταιρείες που παρέχουν λογισμικό στον κλάδο.
Η δράση της συνδυάζει τεχνικές κατασκοπείας με οικονομικά υποκινούμενες επιθέσεις. Τα χρήματα που αποσπά φέρεται να κατευθύνονται στην ενίσχυση του κράτους της Βόρειας Κορέας, συμβάλλοντας στην παράκαμψη των κυρώσεων και στη χρηματοδότηση κρατικών δραστηριοτήτων.
Η υπόθεση της Binance
Στις 29 Οκτωβρίου 2026, η Binance ανέστειλε τις αναλήψεις μετά από χάκινγκ με το οποίο υποκλάπηκε ποσό περίπου 6,3 δισ. δολαρίων. Η εταιρεία δεν έχει κατονομάσει υπεύθυνο. Η TRM Labs εκτίμησε, με «υψηλό βαθμό βεβαιότητας», ότι πίσω από την επίθεση πιθανότατα βρίσκεται η TraderTraitor, ενώ παρόμοια εκτίμηση διατύπωσε και ο διευθύνων σύμβουλος της Chainalysis, Τζόναθαν Λέβιν.
Η σύνδεση της ομάδας με την υπόθεση παραμένει εκτίμηση και δεν υπάρχει ακόμη επίσημη απόδοση ευθύνης από την Binance.
Ανάλυση των αναρτήσεων σε Telegram και X μετά το περιστατικό εξέτασε πότε άρχισε να εμφανίζεται το όνομα TraderTraitor σε υπόγεια διαδικτυακά κανάλια.
Από το phishing στα μολυσμένα εργαλεία
Σύμφωνα με την CISA, την αμερικανική υπηρεσία κυβερνοασφάλειας, η TraderTraitor ξεκίνησε τη δράση της το 2020 και έχει περάσει από απλές επιθέσεις ηλεκτρονικού «ψαρέματος» σε πιο σύνθετες επιχειρήσεις. Συχνά, οι επιτιθέμενοι προσεγγίζουν προγραμματιστές με ψεύτικα μηνύματα πρόσληψης και τους πείθουν να κατεβάσουν εφαρμογές ή εργαλεία που περιέχουν κακόβουλο λογισμικό.
Χρησιμοποιεί επίσης ψεύτικες πλατφόρμες κρυπτονομισμάτων και trojanized εργαλεία ανάπτυξης, δηλαδή νόμιμα προγράμματα στα οποία έχει ενσωματωθεί κακόβουλος κώδικας. Το λογισμικό της μπορεί να στοχεύσει υπολογιστές με Windows και macOS. Παράλληλα, η ομάδα φέρεται να έχει κρύψει κακόβουλο κώδικα σε βιβλιοθήκες ανοικτού λογισμικού, όπως πακέτα npm και PyPI, προσεγγίζοντας έτσι προγραμματιστές μέσα από εργαλεία που χρησιμοποιούν στην καθημερινή δουλειά τους.
Οι ονομασίες Jade Sleet, UNC4899 και Pukchong αναφέρονται σε επικαλυπτόμενες δραστηριότητες που στοχεύουν σταθερά τον χώρο των ψηφιακών χρηματοοικονομικών. Σε αντίθεση με άλλες υποομάδες της Lazarus, όπως οι APT38 και Andariel που που εστιάζουν κυρίως στην κατασκοπεία, η TraderTraitor φαίνεται να έχει ως βασικό στόχο την οικονομική απόδοση.
Το FBI έχει αποδώσει στη Βόρεια Κορέα την κλοπή περίπου 1,5 δισ. δολαρίων από το ανταλλακτήριο Bybit, τον Φεβρουάριο του 2025. Η συγκεκριμένη υπόθεση εντάσσεται σε ένα ευρύτερο μοτίβο επιθέσεων κατά εταιρειών κρυπτονομισμάτων και τεχνολογικών παρόχων.
Η CISA συστήνει στις εταιρείες να εφαρμόζουν πολυπαραγοντικό έλεγχο ταυτότητας, να εκπαιδεύουν τους εργαζομένους στην αναγνώριση τεχνικών κοινωνικής μηχανικής και να επαληθεύουν ότι τα προγράμματα που κατεβάζουν προέρχονται από αξιόπιστες ή επίσημες πηγές.
