Nhóm TraderTraitor của Triều Tiên liên quan đến vụ trộm Binance kỷ lục 6,43 tỷ USD

Cục Điều tra Liên bang Hoa Kỳ (FBI) đã chính thức xác định TraderTraitor, một nhóm hacker liên kết với Triều Tiên, là thủ phạm đứng sau vụ đánh cắp hơn 6 tỷ USD tài sản ảo từ Binance. Thông báo này, được công bố phối hợp cùng Cơ quan Mật vụ Hoa Kỳ và Đơn vị Điều tra Hình sự của IRS, đánh dấu vụ trộm tiền điện tử lớn nhất trong lịch sử, vượt xa các kỷ lục trước đó.

Chuyện gì đã xảy ra

Vụ tấn công gây thiệt hại 6,43 tỷ USD trên 11 blockchain khác nhau, trong đó 82% số tiền bị đánh cắp nằm trên các mạng Ethereum và Bitcoin. Công ty phân tích blockchain Elliptic lưu ý rằng riêng vụ việc này gần như nhân đôi tổng giá trị tài sản tiền điện tử mà chế độ này từng đánh cắp trước đây. Để phản ứng với vụ trộm, các nhà cung cấp stablecoin và hạ tầng lớn bao gồm Tether, Circle, Ripple, Arbitrum và Optimism đã thành công trong việc đóng băng 2,85 tỷ USD tài sản bất hợp pháp trên chuỗi.

Sau sự cố, Binance tạm dừng rút tiền để tiến hành đánh giá bảo mật và bảo vệ nền tảng. Sàn giao dịch thông báo đã nối lại giai đoạn một của việc rút tiền trong khoảng thời gian từ 6 giờ sáng đến 9 giờ sáng UTC, đồng thời khẳng định dịch vụ nạp tiền không bị ảnh hưởng trong suốt sự kiện. FBI quan sát thấy những kẻ tấn công chủ yếu chuyển đổi số tiền bị đánh cắp sang Ethereum, có khả năng chuẩn bị rửa tiền thông qua các giao thức tài chính phi tập trung (DeFi) và dịch vụ hoán đổi tức thì.

TraderTraitor, còn được theo dõi dưới các bí danh như Jade Sleet, Pressure Chollima và UNC4899, đã hoạt động ít nhất từ năm 2020. Nhóm này chịu trách nhiệm cho hàng loạt cuộc tấn công nổi tiếng nhằm vào các thực thể Web3, bao gồm DMM Bitcoin, Bybit, KelpDAO và Bitget. Chiến dịch mới nhất này đánh dấu sự leo thang đáng kể về quy mô và mức độ tinh vi của tác nhân được nhà nước bảo trợ.

Cách thức hoạt động

Vector tấn công dựa vào việc xâm nhập các quy trình làm việc của nhà phát triển đáng tin cậy thay vì khai thác trực tiếp các lỗ hổng hạ tầng. Các báo cáo từ SentinelOne, Zscaler ThreatLabz và Microsoft tiết lộ rằng TraderTraitor phân phối phần mềm độc hại thông qua các provider Terraform bị cài后门 (backdoor). Terraform là một công cụ cơ sở hạ tầng dưới dạng mã (infrastructure-as-code) được sử dụng rộng rãi, khiến các provider của nó trở thành mục tiêu giá trị cao cho các cuộc tấn công chuỗi cung ứng. Khi các nhà phát triển cài đặt provider bị nhiễm độc, nó sẽ thực thi một Bash loader phát hiện hệ điều hành của nạn nhân và tải xuống phần mềm độc hại được thiết kế riêng.

Payload bao gồm một implant đa nền tảng tên là FLATROOF, sử dụng một trình đánh cắp thông tin dựa trên Python để thu thập dữ liệu nhạy cảm từ các máy bị xâm nhập. Quyền truy cập ban đầu này cho phép những kẻ tấn công thả một backdoor giai đoạn hai gọi là ROOFDECK, cấp cho chúng quyền kiểm soát từ xa hoàn toàn đối với môi trường của nạn nhân. Phương pháp này giúp nhóm di chuyển ngang trong tổ chức và truy cập vào các thông tin đăng nhập quản trị quan trọng.

Để phân phối các payload này, nhóm đã sử dụng các chiến dịch kỹ thuật xã hội tinh vi được tăng cường bởi trí tuệ nhân tạo. Họ tạo ra các hồ sơ giả và công ty bình phong đóng vai trò là nhà tuyển dụng cho một công ty tình báo blockchain chạy bằng AI. Bằng cách tận dụng kiến thức chuyên ngành và các tên miền được tùy chỉnh, họ thuyết phục các kỹ sư phần mềm và chuyên gia an ninh mạng tham gia vào các cuộc phỏng vấn giả, cuối cùng lừa họ chạy mã độc trong cái được cho là các bài đánh giá kỹ thuật thường lệ.

Chi tiết chính

• Tổng số tiền bị đánh cắp là 6,43 tỷ USD, khiến đây trở thành vụ trộm tiền điện tử lớn nhất trong lịch sử.
• 2,85 tỷ USD tài sản đã bị đóng băng bởi Tether, Circle, Ripple, Arbitrum và Optimism.
• Phương pháp phân phối phần mềm độc hại chính là các provider Terraform bị cài后门 nhắm vào quy trình DevOps.
• Chuỗi tấn công bao gồm một Bash loader, implant FLATROOF và backdoor ROOFDECK.
• AI được sử dụng để tạo ra các mồi nhử thuyết phục, hồ sơ giả và nội dung tuyển dụng đặc thù ngành.
• Tiền bị đánh cắp đang được chuyển đổi chủ yếu sang Ethereum để rửa tiền qua các dịch vụ DeFi.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và đội ngũ DevOps, sự cố này nhấn mạnh những rủi ro nghiêm trọng vốn có trong chuỗi cung ứng mã nguồn mở. Việc tin tưởng vào các bên thứ ba cung cấp mà không có quá trình xác minh chặt chẽ có thể dẫn đến các vụ vi phạm thảm khốc. Việc sử dụng các provider Terraform làm cơ chế phân phối chứng tỏ rằng những kẻ tấn công đang nhắm vào các công cụ mà người xây dựng phụ thuộc hàng ngày, chứ không chỉ là các ứng dụng họ xây dựng. Điều này dịch chuyển ranh giới bảo mật từ chỉ các môi trường sản xuất sang cả các máy phát triển cục bộ và pipeline CI/CD.

Việc tích hợp AI vào kỹ thuật xã hội khiến sự cảnh giác truyền thống trở nên không đủ. Những kẻ tấn công hiện có thể tạo ra các lời mời làm việc và thảo luận kỹ thuật rất đáng tin cậy, mô phỏng các tương tác hợp pháp trong ngành. Đối với các nhà sáng lập kỹ thuật và nhà quản lý tuyển dụng, điều này có nghĩa là các quy trình tuyển dụng tiêu chuẩn giờ đây là các vector tấn công tiềm năng. Việc xác minh danh tính ứng viên và tính toàn vẹn của mã hoặc công cụ được chia sẻ đã trở thành yêu cầu bảo mật quan trọng, không chỉ là một thủ tục hình thức của bộ phận Nhân sự.

Bạn có thể làm gì

• Xác minh checksums và chữ ký số của tất cả các provider Terraform trước khi cài đặt vào môi trường của bạn.
• Triển khai sự cô lập nghiêm ngặt cho các môi trường phát triển để hạn chế di chuyển ngang nếu một máy bị xâm nhập.
• Yêu cầu xác thực đa yếu tố (MFA) và khóa phần cứng cho mọi quyền truy cập quản trị vào hạ tầng đám mây.
• Thiết lập các quy trình xác minh ngoài băng tần (out-of-band) cho nhân viên mới và cộng tác viên bên ngoài chia sẻ mã.
• Giám sát cây phụ thuộc (dependency trees) để tìm kiếm các thay đổi bất ngờ hoặc bản cập nhật chưa được xác minh trong các module infrastructure-as-code.
• Giáo dục các thành viên trong nhóm về các chiến thuật kỹ thuật xã hội được tăng cường bởi AI và các mồi nhử chủ đề tuyển dụng.