Noord-Koreaanse cybercriminelen stelen 308 miljoen dollar aan Bitcoin

Aanval via social engineering

Eind maart 2024 nam een Noord-Koreaanse cybercrimineel, die zich voordeed als recruiter op LinkedIn, contact op met een werknemer van Ginco, een Japans bedrijf dat software voor cryptocurrency wallets ontwikkelt. De aanvaller stuurde het doelwit, die toegang had tot het wallet management systeem van Ginco, een URL die naar een kwaadaardig Python-script verwees. Het script werd vermomd als een pre-employment test op een GitHub-pagina. Het slachtoffer kopieerde de Python-code naar zijn persoonlijke GitHub-pagina en raakte daardoor geïnfecteerd met malware.

Misbruik van toegang

Na mid mei 2024 misbruikten TraderTraitor-leden sessie-cookie-gegevens om zich voor te doen als de gecompromitteerde werknemer. Hierdoor kregen ze toegang tot het niet-versleutelde communicatiesysteem van Ginco. Eind mei 2024 hebben de aanvallers deze toegang waarschijnlijk gebruikt om een legitiem transactie-verzoek van een DMM-medewerker te manipuleren, wat resulteerde in de diefstal van 4.502,9 BTC, ter waarde van $308 miljoen op het moment van de aanval. De gestolen fondsen zijn uiteindelijk naar door TraderTraitor gecontroleerde wallets overgebracht.

Samenwerking tegen cybercriminaliteit

De FBI, National Police Agency of Japan en andere Amerikaanse overheidspartners en internationale partners blijven Noord-Korea's gebruik van illegale activiteiten - waaronder cybercriminaliteit en diefstal van cryptocurrency - aanpakken om inkomsten voor het regime te genereren.