FBI xác định nhóm tin tặc Triều Tiên đứng sau vụ trộm 6,43 tỷ USD tại Binance

Cục Điều tra Liên bang Mỹ (FBI), phối hợp cùng Sở Mật vụ (USSS) và Cơ quan Thuế vụ (IRS-CI), vừa chính thức công bố kết quả điều tra vụ tấn công vào sàn giao dịch tiền điện tử Binance. Theo đó, nhóm tin tặc khét tiếng TraderTraitor (còn được biết đến với các tên gọi như Jade Sleet, Pressure Chollima hay UNC4899) được xác định là thủ phạm đứng sau vụ trộm kỷ lục trị giá 6,43 tỷ USD.

Theo các cơ quan chức năng, nhóm này đang tích cực chuyển đổi số tài sản đánh cắp sang Ethereum (ETH) để thực hiện các bước rửa tiền tiếp theo thông qua các dịch vụ DeFi và công cụ hoán đổi tức thời. FBI cũng đã công bố danh sách các địa chỉ ví tiền điện tử liên quan đến hoạt động phi pháp này.

Về phía Binance, sàn giao dịch này cho biết đã bắt đầu khôi phục dần các dịch vụ rút tiền sau khi tạm dừng để thực hiện các biện pháp bảo mật và đánh giá hệ thống. Các dịch vụ nạp tiền vẫn hoạt động bình thường và không bị ảnh hưởng bởi sự cố.

Đây được coi là vụ trộm tiền điện tử lớn nhất trong lịch sử, vượt xa kỷ lục 1,46 tỷ USD của Bybit vào năm 2025. Theo công ty phân tích blockchain Elliptic, tổng số tiền điện tử mà các nhóm tin tặc liên quan đến Triều Tiên đánh cắp trong những năm gần đây đã vượt mốc 6,5 tỷ USD. Hiện tại, khoảng 2,85 tỷ USD trong số tài sản bị đánh cắp đã bị đóng băng trên chuỗi bởi các đơn vị như Tether, Circle, Ripple, Arbitrum và Optimism.

Phương thức hoạt động tinh vi

TraderTraitor, nhóm tin tặc hoạt động từ ít nhất năm 2020, nổi tiếng với việc sử dụng các ứng dụng chứa malware để tấn công ngành công nghiệp Web3.0. Các báo cáo từ SentinelOne, Zscaler và Microsoft chỉ ra rằng nhóm này liên tục nâng cấp kỹ thuật, bao gồm việc sử dụng các Terraform provider bị chèn mã độc để phát tán malware.

Cụ thể, các tin tặc đóng giả làm nhà tuyển dụng để tiếp cận chuyên gia trong lĩnh vực AI, blockchain và an ninh mạng. Khi nạn nhân tải về các công cụ hoặc tham gia quy trình tuyển dụng giả mạo, mã độc sẽ được kích hoạt. Các công cụ như FLATROOF (một loại implant đa nền tảng) và ROOFDECK (backdoor) được sử dụng để đánh cắp dữ liệu nhạy cảm và giành quyền kiểm soát từ xa đối với hệ thống của nạn nhân.

Chiến dịch này một lần nữa cho thấy cách các nhóm tin tặc Triều Tiên lợi dụng các quy trình phát triển phần mềm (developer workflow) đáng tin cậy để tấn công vào các hệ thống macOS, Linux và Windows, đồng thời sử dụng AI để tạo ra các kịch bản lừa đảo (phishing) và hồ sơ giả mạo đầy thuyết phục nhằm vượt qua các lớp kiểm duyệt bảo mật.

Nguồn tham khảo: The Hacker News