TraderTraitor แฮกเกอร์เกาหลีเหนือผู้อยู่เบื้องหลังการปล้นคริปโตครั้งใหญ่ที่สุดในโลก
โลกการเงินดิจิทัลต้องสั่นสะเทือนเมื่อเกิดเหตุการณ์โจรกรรมคริปโตเคอร์เรนซีครั้งประวัติศาสตร์ในวันที่ 21 กุมภาพันธ์ เมื่อกลุ่มแฮกเกอร์สามารถเจาะระบบกระเป๋าเงินดิจิทัลของ Bybit ซึ่งเป็นแพลตฟอร์มแลกเปลี่ยนคริปโตที่ใหญ่เป็นอันดับสองของโลก และกวาดทรัพย์สินดิจิทัลไปเกือบ 1.5 พันล้านดอลลาร์ โดยคนร้ายได้พยายามอำพรางร่องรอยด้วยการโอนเงินผ่านกระเป๋าเงินและบริการต่างๆ จำนวนมากก่อนจะเปลี่ยนเป็นเงินสด
แม้ Bybit จะยังคงรักษาสภาพคล่องได้ด้วยการกู้ยืมสินทรัพย์และตั้งรางวัลนำจับเพื่อตามหาเงินที่หายไป แต่ทาง FBI ได้ระบุชัดเจนว่าผู้อยู่เบื้องหลังเหตุการณ์นี้คือ TraderTraitor กลุ่มแฮกเกอร์ระดับหัวกะทิจากเกาหลีเหนือ
เจาะลึก TraderTraitor: กองกำลังไซเบอร์ใต้เงา Lazarus Group
TraderTraitor (หรือที่รู้จักในชื่อ Jade Sleet, Slow Pisces และ UNC4899) เป็นส่วนหนึ่งของ Lazarus Group ซึ่งดำเนินงานภายใต้สำนักข่าวกรองของเกาหลีเหนือ (Reconnaissance General Bureau) โดยกลุ่มนี้มีความเชี่ยวชาญเป็นพิเศษในการโจมตีระบบบล็อกเชน (Blockchain) และการเงินแบบกระจายศูนย์ (Decentralized Finance หรือ DeFi)
ผู้เชี่ยวชาญระบุว่า TraderTraitor เริ่มปรากฏตัวในช่วงต้นปี 2022 โดยเชื่อว่าเป็นกลุ่มที่แยกตัวออกมาจาก APT38 ซึ่งเคยพยายามโจรกรรมเงิน 1 พันล้านดอลลาร์จากธนาคารกลางบังกลาเทศในปี 2016 การเปลี่ยนกลยุทธ์จากเดิมที่ต้องพึ่งพา "บัญชีม้า" มาเป็นการโจมตีคริปโตโดยตรง ทำให้พวกเขามีประสิทธิภาพในการขโมยเงินได้รวดเร็วและแนบเนียนยิ่งขึ้น
| หัวข้อ | รายละเอียด |
|---|---|
| ชื่อเรียกอื่นๆ | Jade Sleet, Slow Pisces, UNC4899 |
| สังกัด | Lazarus Group (สำนักข่าวกรองเกาหลีเหนือ) |
| เป้าหมายหลัก | แพลตฟอร์มคริปโต, บริษัท Web3, ซอฟต์แวร์ Supply Chain |
| วัตถุประสงค์ | หาเงินทุนสนับสนุนโครงการนิวเคลียร์ของเกาหลีเหนือ |
| เหตุการณ์สำคัญ | ปล้น Bybit (1.5 พันล้านดอลลาร์), ปล้น DMM ในญี่ปุ่น (308 ล้านดอลลาร์) |
กลยุทธ์การโจมตีและการเจาะระบบ
TraderTraitor ไม่ได้ใช้เพียงแค่การสุ่มโจมตี แต่มีการวางแผนอย่างเป็นระบบ โดยมักพุ่งเป้าไปที่พนักงานในบริษัท Web3 โดยเฉพาะนักพัฒนาซอฟต์แวร์ ผ่านวิธีการ Spear-phishing (การส่งข้อความหลอกลวงที่ระบุเป้าหมายชัดเจน) เพื่อหลอกให้ติดตั้งมัลแวร์
- การสร้างตัวตนปลอม: ใช้บัญชีปลอมบน LinkedIn, Slack, Telegram และ GitHub เพื่อสร้างความน่าเชื่อถือและชวนนักพัฒนามาทำงานร่วมกัน ก่อนจะส่งโค้ดอันตรายให้เหยื่อ
- เครื่องมือเฉพาะทาง: ใช้ Backdoor (ช่องทางลับในการเข้าถึงระบบ) ที่พัฒนาขึ้นเอง เช่น PLOTTWIST และ TIEDYE ซึ่งออกแบบมาเพื่อโจมตี macOS โดยเฉพาะ และมีการพรางตัวเพื่อหลบเลี่ยงการตรวจจับ
- การเคลื่อนไหวในระบบ: เมื่อได้รหัสผ่านที่ถูกต้องแล้ว แฮกเกอร์จะเคลื่อนที่ไปยังส่วนต่างๆ ของระบบ (Lateral Movement) เพื่อเข้าถึงข้อมูลสำคัญโดยไม่ให้ถูกตรวจพบ
กระบวนการฟอกเงินดิจิทัลที่ซับซ้อน
เมื่อขโมยสินทรัพย์ได้แล้ว TraderTraitor จะใช้กระบวนการฟอกเงินที่ซับซ้อนเพื่อป้องกันการถูกอายัด โดยมีขั้นตอนหลักดังนี้:
- การแลกเปลี่ยนสินทรัพย์: เปลี่ยนโทเคนจากแพลตฟอร์มเฉพาะทางให้เป็นเหรียญหลักอย่าง Bitcoin หรือ Ether ซึ่งควบคุมได้ยากกว่า
- การสร้างชั้นธุรกรรม (Layering): แบ่งเงินจำนวนมหาศาลออกเป็นก้อนเล็กๆ แล้วกระจายไปยังกระเป๋าเงินดิจิทัลหลายสิบใบ (เช่น ในกรณี Bybit มีการกระจายเงินไปยัง 50 กระเป๋า)
- การใช้ Crypto Mixers: ส่งเงินผ่านบริการผสมเหรียญ (Mixers) เพื่อลบเส้นทางการทำธุรกรรม ทำให้ยากต่อการติดตามโดยเจ้าหน้าที่
ข้อเท็จจริงสำคัญ
- เป้าหมายทางการเมือง: การโจมตีไซเบอร์ของเกาหลีเหนือมีจุดประสงค์หลักเพื่อหาเงินทุนเข้าสู่โครงการอาวุธนิวเคลียร์
- การแทรกซึมแรงงาน: นอกจากการแฮก ยังมีการส่งเจ้าหน้าที่ IT ปลอมตัวเข้าไปทำงานในบริษัททั่วโลกเพื่อส่งเงินกลับประเทศ
- ความเหนือชั้นด้าน OPSEC: มีการประสานงานที่ดีเยี่ยมและรักษาความปลอดภัยในการปฏิบัติการ (OPSEC) สูงกว่ากลุ่มแฮกเกอร์จากรัสเซีย
- การพัฒนาต่อเนื่อง: มีการใช้มัลแวร์รุ่นใหม่ เช่น RN Loader ที่สามารถลบตัวเองทิ้งหลังทำงานเสร็จเพื่อทำลายหลักฐาน
คำถามที่พบบ่อย
TraderTraitor แตกต่างจากแฮกเกอร์ทั่วไปอย่างไร?
มีความเป็นมืออาชีพและมีการสนับสนุนจากรัฐบาล มีการวางแผนระยะยาว และมีความเชี่ยวชาญสูงในการเจาะระบบการเงินดิจิทัลและบล็อกเชนโดยเฉพาะ
กลุ่มนี้ใช้วิธีใดในการเข้าถึงเครื่องคอมพิวเตอร์ของเหยื่อ?
มักใช้การสร้างโปรไฟล์ปลอมบนโซเชียลมีเดียเพื่อหลอกล่อให้นักพัฒนาซอฟต์แวร์ดาวน์โหลดมัลแวร์ผ่านการชวนทำงานร่วมกันในโปรเจกต์ปลอม
ทำไมการติดตามเงินที่ถูกขโมยไปจึงทำได้ยาก?
เพราะมีการใช้เทคนิคการกระจายเงินไปยังกระเป๋าเงินจำนวนมาก และใช้ Crypto Mixers เพื่ออำพรางเส้นทางการโอนเงินให้ซับซ้อนจนไม่สามารถระบุปลายทางได้
นอกจากคริปโตแล้ว TraderTraitor โจมตีอะไรอีกบ้าง?
มีการโจมตีบริษัทในห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain) เช่น กรณีของ JumpCloud เพื่อใช้เป็นทางผ่านในการเข้าถึงเป้าหมายอื่นๆ ที่ใช้ซอฟต์แวร์เดียวกัน
