سرقت ۶ میلیارد دلاری بایننس نشان می دهد که چگونه کره شمالی هک را به یک جریان درآمد دولتی تبدیل کرده است

دفتر تحقیقات فدرال ایالات متحده (FBI) در 31 اکتبر اعلام کرد که کره شمالی مسئول سرقت بیش از 6 میلیارد دلار دارایی دیجیتال از بایننس - بزرگترین صرافی ارزهای دیجیتال در جهان از نظر حجم معاملات است. FBI عملیات هک پشت این حمله را TraderTraitor نامید. به گفته شرکت تجزیه و تحلیل بلاک چین TRM Labs، مهاجمان حدود 6.36 میلیارد دلار از کیف پول Binance در 10 بلاک چین جابه جا کردند. به گفته این شرکت، این امر باعث می شود این سرقت به بزرگترین سرقت تاریخ تبدیل شود. بیشتر پول در حدود 20 دقیقه باقی می ماند، از حدود ساعت 4 بعد از ظهر شروع می شود.

به وقت شرق ایالات متحده در 29 اکتبر. Binance گفت که حدود 3 میلیارد دلار از دارایی های دزدیده شده را مسدود کرده است و متعهد شده است که تمام زیان ها را پوشش دهد. این شرکت پس از حمله، برداشت‌های خود را متوقف کرد و «از سرگیری مرحله‌ای» را در 1 نوامبر آغاز کرد. در همین حال، توضیح علت پیچیده‌تر شد. ابتدا بایننس به یک لپ‌تاپ آسیب‌دیده اشاره کرد که متعلق به یک مهندس بود. بعدا، شرکت فاش کرد که تحقیقاتش نقاط نقض بیشتری پیدا کرده است. ایالات متحده

دونالد ترامپ، رئیس جمهور آمریکا در 31 اکتبر در محل اقامت خود در فلوریدا به خبرنگاران گفت: "ما نمی دانیم که آیا این کره شمالی است یا خیر." با این حال، FBI مطمئن تر به نظر می رسد. قبلا همان عملیات هک TraderTraitor را به سرقت حدود 1.5 میلیارد دلار از صرافی Bybit در فوریه 2025 متهم کرده بود. حجم بایننس بیش از چهار برابر این مبلغ است. پیونگ یانگ سال هاست که به سمت چنین سرقت سایبری عظیمی می رود. در طول دهه گذشته، کره شمالی به طور پیوسته یک دستگاه هک ساخته است که هدف اصلی آن جمع آوری پول برای رژیم کیم است. در سال 2019، ایالات متحده

وزارت خزانه داری گفت که اداره کل شناسایی، سازمان اطلاعاتی اصلی کره شمالی، گروه لازاروس را کنترل می کند، نامی که شرکت های امنیت سایبری برای چندین واحد هکر کره شمالی استفاده می کنند. فعالیت‌های گروه لازاروس حداقل به سال 2007 برمی‌گردد. از همان ابتدا، گروه لازاروس شهرت خود را از طریق ایجاد اختلال ایجاد کرد. در سال 2018، وزارت دادگستری یک برنامه نویس کره شمالی به نام پارک جین هیوک را در ارتباط با حمله سال 2014 به Sony Pictures Entertainment، شیوع WannaCry در سال 2017 و سرقت بانک در سال 2016 در بنگلادش متهم کرد.

در آخرین مورد، هکرها از اعتبار سرقت شده برای درخواست 851 میلیون دلار از حساب بانک مرکزی بنگلادش در بانک فدرال رزرو نیویورک استفاده کردند. قبل از اینکه یک اشتباه تایپی به کارکنان هشدار داد تا بقیه را متوقف کنند، حدود 80 میلیون دلار هزینه شد. بر اساس گزارش تیم نظارت بر تحریم‌های چندجانبه، گروهی متشکل از 11 کشور که شامل ایالات متحده، کره جنوبی و ژاپن می‌شود، کره شمالی در حدود سال 2017 عملیات هک خود را روی سرقت ارزهای دیجیتال متمرکز کرد.

همانطور که تیم نظارت خاطرنشان کرد، (با استفاده از نام اختصاری رسمی کره شمالی، جمهوری دموکراتیک خلق کره)، «کره شمالی از قابلیت‌های سایبری خود برای دور زدن تحریم‌های سازمان ملل و ایجاد درآمد برای اولویت‌های کره شمالی، از جمله توسعه غیرقانونی برنامه‌های سلاح‌های کشتار جمعی و موشک‌های بالستیک خود استفاده می‌کند.» در سال 2017، کره شمالی با اقتصاد ضعیف و تشدید تحریم ها مواجه شد و صنعت کریپتو جوان فاقد امنیت کامل بود.

بنابراین انگیزه و فرصت به هم پیوستند. بین سال‌های 2016 تا 2017، پس از اینکه واحدهای هک قبلی علیه بانک‌ها و سیستم سوئیفت موفق شدند، اداره کل شناسایی یک تیم تخصصی برای سرقت ارزهای دیجیتال تشکیل داد. محققان زمانی آن تیم هک کره شمالی را APT38 یا Bluenoroff نامیدند. اما تیم نظارت اکنون می گوید که شامل دو گروه به نام های TraderTraitor و CryptoCore است. TraderTraitor بازیگری است که FBI با بای‌بیت و بایننس مرتبط کرده است. برای TraderTraitor، یک حمله سایبری معمولا با جستجوی ورود به یک رایانه کارمند شروع می شود.

در سال 2022، FBI، آژانس امنیت سایبری و امنیت زیرساخت و وزارت خزانه داری هشدار دادند که این گروه تعداد زیادی پیام spearphishing را برای کارمندان شرکت های رمزنگاری - معمولا مدیران سیستم و توسعه دهندگان نرم افزار - ارسال می کند. Spearphishing شامل ارسال پیام های هدفمندی است که شخصی و قابل اعتماد به نظر می رسند. در عمل، پیام‌ها اغلب از تلاش‌های استخدام تقلید می‌کردند و مشاغل پردرآمد را پیشنهاد می‌کردند. حمله به Bybit در فوریه 2025 به دنبال آن فیلمنامه بود.

هکرها به عنوان استخدام‌کننده ظاهر شدند و یک توسعه‌دهنده در ارائه‌دهنده کیف پول Safe{Wallet} یک آزمایش جعلی قبل از استخدام را ارسال کردند که حاوی کد مخرب بود. احتمالا این آزمایش به آنها امکان دسترسی به شبکه داخلی شرکت را داد. با استفاده از این دسترسی، آنها در 21 فوریه صفحه ای را تغییر دادند که در آن کاربران Bybit برای نقل و انتقالات تایید می کنند. کاربران فکر می کردند که یک انتقال معمولی را تایید می کنند. در واقع، آنها کنترل کیف پول آفلاین صرافی را به هکرها واگذار کردند. توضیح اصلی ارائه شده توسط Binance - اینکه یک کامپیوتر آلوده حمله را آغاز کرده است - با همین الگو مطابقت دارد.

Binance و Bybit نیز تنها قربانیان نیستند. از اواسط سال 2024، TraderTraitor شرکت های خارجی را که کلید صرافی های رمزنگاری را در اختیار دارند، هدف قرار داده است. به گفته تیم نظارت بر تحریم‌های چندجانبه، این حملات حداقل 2 میلیارد دلار سرقت از Bybit، DMM Bitcoin در ژاپن و WazirX در هند ایجاد کرد. کره شمالی حداقل 2.84 میلیارد دلار ارز دیجیتال از ژانویه 2024 تا سپتامبر 2025 به سرقت برده است.

به گفته تیم نظارت، تنها TraderTraitor حدود 2.58 میلیارد دلار از این کل را به خود اختصاص داده است. طبق گفته تیم نظارت، دزدی‌ها در سال 2024 حداقل حداقل 1.19 میلیارد دلار بوده است که معادل حدود یک سوم درآمد ارزی کره شمالی در آن سال است. و این رقم فقط شامل هک هایی می شود که می توان با اطمینان تقریبا به کره شمالی نسبت داد. مجموع واقعی ممکن است بیشتر باشد. سرقت بایننس بیش از 6 میلیارد دلار بود.

این مقدار بیش از دو برابر کل سرقت شده در یک سرقت از ژانویه 2024 تا سپتامبر 2025 است. البته، سرقت سکه ها تنها نیمی از کار است. سپس مهاجمان باید وجوه را برداشت کنند. هکرها مسیر پول را با میکسرها، پل ها و صرافی های غیرمتمرکز پنهان می کنند. به طور خلاصه، این سرویس ها سکه ها را در حساب ها و شبکه ها به هم می ریزند. سپس دلالان در کشورهای ثالث سکه ها را به پول نقد تبدیل می کنند. تیم نظارت خاطرنشان کرد که تمام پول از Bybit تا سپتامبر 2025، حدود هفت ماه پس از هک اصلی، به پول نقد یا ارز تبدیل شده است.

در مورد بایننس، FBI مشاهده کرد که هکرها بیشتر دارایی‌های دزدیده شده را به اتریوم تبدیل کرده‌اند، احتمالا به عنوان اولین گام برای شستشوی بیشتر از طریق خدمات مالی غیرمتمرکز و خدمات مبادله فوری. مرحله ای که سکه های سرقت شده را به پول قابل خرج تبدیل می کند، به شدت به چین متکی است. تیم نظارتی دریافت که کره شمالی از حداقل 15 بانک چینی برای پولشویی از سرقت ها و کار فناوری اطلاعات (IT) استفاده کرده است. واحدهای کره شمالی همچنین برای تبدیل سکه های سرقت شده به پول نقد به معامله گران خارج از بورس در چین وابسته بودند. مشارکت چین فراتر از خدمات بانکی است.

کره هرالد، یکی از اصلی ترین روزنامه های کره ای که اخبار را به زبان انگلیسی گزارش می کند، گزارش داد که اتباع چینی اسناد شناسایی جعلی را در اختیار گروه های سایبری کره شمالی قرار داده اند. واحدهای کره شمالی از کارت های UnionPay و بانک های تجاری در چین برای تبدیل درآمدها به پول نقد استفاده کردند. همچنین، کره شمالی 1000 تا 1500 کارمند فناوری اطلاعات را در چین نگه می دارد که برای این کشور ارز خارجی دریافت می کنند. سپس در ماه سپتامبر، تیم نظارتی خاطرنشان کرد که یک هیئت دیپلماتیک کره شمالی در چین گزارش شده است که از نوامبر 2025 از طریق همکاران چینی، ارز دیجیتال سرقت شده را نقد کرده است.

پکن در برخی نقاط فشار وارد کرده است. این تیم نظارتی افزود که بررسی‌های دقیق‌تر ضد پولشویی در بانک‌های چین و سرکوب دلالان غیرقانونی، مسیرهای قدیمی مبادله پول را سخت‌تر کرده است. همچنین، مقامات چینی نظارت بر کارکنان فناوری اطلاعات کره شمالی را افزایش داده اند. گزارش شده است که افسران امنیت عمومی چین در آوریل 2025 یکی از این کارگران را به اتهام سرقت اسرار نظامی چین بازداشت کردند.

دولت های دخیل در تیم نظارتی بیشتر اطلاعات مربوط به چین را در گزارش سال 2025 در طول سال 2024 به پکن دادند و این اطلاعات شامل هویت اتباع کره شمالی و چینی بود که در فعالیت های غیرقانونی شرکت داشتند. با این وجود، حفره ها باقی می مانند. چین قطب اصلی است که در آن سکه های سرقت شده تبدیل به پول نقد می شوند. در ماه سپتامبر، تیم نظارتی همچنان چین را به عنوان مرکز اصلی پولشویی توصیف کرد. در واقع چین پس از گرم شدن دیپلماتیک در سال 2025 شروع به صدور روادید کارآموزی، دانشجویی و گذر از مرز برای کره شمالی کرد.

سوابق گذشته نشان می دهد که کارکنان فناوری اطلاعات کره شمالی - و هکرها - اغلب با ویزای کارآموزی یا دانشجویی وارد چین می شوند. به‌طور خلاصه، پکن چک‌هایی را که از بانک‌هایش در برابر تحریم‌های ثانویه محافظت می‌کند، سخت‌تر کرده است، اما پیونگ‌یانگ یک مسیر کارآمد برای پول نقد در داخل چین نگه می‌دارد. پکن هنوز با هیچ پیامد واقعی برای نقش توانمند خود مواجه نشده است. بنابراین پاسخ به سرقت بایننس یک نقطه ضعف را آزمایش خواهد کرد. FBI از شرکت های خصوصی خواسته است تا تراکنش هایی را که شامل آدرس های فهرست شده اتریوم است، مسدود کنند. با این حال، یک بلوک فقط در جایی کار می کند که شرکت در انتهای زنجیره همکاری می کند.

بنابراین، نقاط ضعف کارگزاران و بانک هایی هستند که خارج از دسترس FBI قرار دارند. تا زمانی که پکن راه های خروجی باقیمانده را نبندد، احتمالا رکورد بعدی سرقت همچنان در خزانه دولت کره شمالی به پایان می رسد.