El grupo norcoreano TraderTraitor vinculado al robo récord de 6.430 millones de dólares en Binance

La Oficina Federal de Investigación de EE. UU. (FBI) ha identificado oficialmente a TraderTraitor, un clúster de hackers alineado con Corea del Norte, como el responsable del robo de más de 6.000 millones de dólares en activos virtuales de Binance. Esta atribución, publicada conjuntamente con el Servicio Secreto de EE. UU. y la División de Investigaciones Criminales del IRS, marca el mayor atraco de criptomonedas de la historia, superando los registros anteriores por un amplio margen.

Qué ocurrió

La brecha resultó en la pérdida de 6.430 millones de dólares distribuidos en 11 cadenas de bloques diferentes, siendo el 82% de los fondos robados localizados en las redes Ethereum y Bitcoin. La firma de análisis blockchain Elliptic señaló que este único incidente casi duplica el valor total de los criptoactivos previamente robados por el régimen. En respuesta al robo, importantes proveedores de stablecoins e infraestructura, incluidos Tether, Circle, Ripple, Arbitrum y Optimism, han logrado congelar 2.850 millones de dólares de los activos ilícitos on-chain.

Tras el incidente, Binance pausó los retiros para realizar evaluaciones de seguridad y proteger la plataforma. El exchange anunció que ha reanudado la fase uno de los retiros entre las 6:00 y las 9:00 UTC, indicando que los servicios de depósito no se vieron afectados durante todo el evento. El FBI observó que los atacantes están convirtiendo principalmente los fondos robados en Ethereum, probablemente preparándose para lavarlos a través de protocolos de finanzas descentralizadas y servicios de intercambio instantáneo.

TraderTraitor, también rastreado bajo alias como Jade Sleet, Pressure Chollima y UNC4899, ha estado activo desde al menos 2020. El grupo es responsable de una serie de ataques de alto perfil contra entidades Web3, incluyendo DMM Bitcoin, Bybit, KelpDAO y Bitget. Esta última operación representa una escalada significativa en escala y sofisticación para este actor patrocinado por el Estado.

Cómo funciona

El vector de ataque dependió de comprometer flujos de trabajo de desarrolladores de confianza en lugar de explotar vulnerabilidades directas de la infraestructura. Informes de SentinelOne, Zscaler ThreatLabz y Microsoft revelan que TraderTraitor distribuyó malware a través de proveedores Terraform troyanizados. Terraform es una herramienta ampliamente utilizada de infraestructura como código, lo que hace que sus proveedores sean un objetivo de alto valor para ataques a la cadena de suministro. Cuando los desarrolladores instalaban el proveedor contaminado, este ejecutaba un cargador Bash que detectaba el sistema operativo de la víctima y descargaba malware personalizado.

La carga útil incluía un implante multiplataforma llamado FLATROOF, que utilizaba un ladrón de información basado en Python para extraer datos sensibles de las máquinas comprometidas. Este acceso inicial permitió a los atacantes desplegar una puerta trasera de segunda etapa llamada ROOFDECK, otorgándoles control remoto completo sobre el entorno de la víctima. Este método permitió al grupo moverse lateralmente dentro de las organizaciones y acceder a credenciales administrativas críticas.

Para entregar estas cargas útiles, el grupo empleó campañas sofisticadas de ingeniería social aumentadas por inteligencia artificial. Crearon identidades falsas y empresas pantalla haciéndose pasar por reclutadores de una firma de inteligencia blockchain impulsada por IA. Al aprovechar conocimientos específicos de la industria y dominios personalizados, convencieron a ingenieros de software y profesionales de ciberseguridad de participar en entrevistas falsas, engañándolos finalmente para ejecutar código malicioso durante lo que parecía ser una evaluación técnica rutinaria.

Detalles clave

• La cantidad total robada es de 6.430 millones de dólares, lo que lo convierte en el mayor robo de criptomonedas de la historia.
• 2.850 millones de dólares de los activos han sido congelados por Tether, Circle, Ripple, Arbitrum y Optimism.
• El método principal de distribución de malware fueron proveedores Terraform troyanizados dirigidos a flujos de trabajo DevOps.
• La cadena de ataque involucró un cargador Bash, el implante FLATROOF y la puerta trasera ROOFDECK.
• Se utilizó IA para generar señuelos convincentes, identidades falsas y contenido de reclutamiento específico de la industria.
• Los fondos robados se están convirtiendo principalmente a Ethereum para su lavado a través de servicios DeFi.

Por qué importa

Para los ingenieros de software y los equipos DevOps, este incidente destaca los graves riesgos inherentes a la cadena de suministro de código abierto. Confiar en proveedores de terceros sin una verificación rigurosa puede conducir a brechas catastróficas. El uso de proveedores Terraform como mecanismo de entrega demuestra que los atacantes están apuntando a las herramientas en las que los constructores confían diariamente, no solo a las aplicaciones que construyen. Esto desplaza el perímetro de seguridad desde solo los entornos de producción hasta las máquinas de desarrollo locales y las tuberías CI/CD.

La integración de la IA en la ingeniería social hace que la vigilancia tradicional sea insuficiente. Los atacantes ahora pueden generar ofertas de empleo altamente creíbles y discusiones técnicas que imitan interacciones legítimas de la industria. Para los fundadores técnicos y los gerentes de contratación, esto significa que los procesos de reclutamiento estándar son ahora potenciales vectores de ataque. Verificar la identidad de los candidatos y la integridad del código o las herramientas compartidas se ha convertido en un requisito crítico de seguridad, no solo una formalidad de RR. HH.

Qué puedes hacer

• Verifica las sumas de comprobación y las firmas de todos los proveedores Terraform antes de la instalación en tu entorno.
• Implementa un aislamiento estricto para los entornos de desarrollo para limitar el movimiento lateral si una máquina está comprometida.
• Exige autenticación multifactor y llaves de hardware para todo el acceso administrativo a la infraestructura en la nube.
• Establece procesos de verificación fuera de banda para nuevos empleados y colaboradores externos que compartan código.
• Monitorea los árboles de dependencias para detectar cambios inesperados o actualizaciones no verificadas en módulos de infraestructura como código.
• Educa a los miembros del equipo sobre tácticas de ingeniería social mejoradas con IA y señuelos temáticos de reclutamiento.