الكشف عن "تريدر ترايتور": العقل المدبر وراء أكبر سرقة عملات مشفرة في التاريخ وتمويل برامج الأسلحة

أعاد اختراق منصة "بينانس"، الذي أثر على أصول رقمية بقيمة 6.3 مليار دولار، تسليط الضوء على مجموعة القرصنة الكورية الشمالية "تريدر ترايتور"، بعدما أعلن مكتب التحقيقات الفيدرالي الأمريكي (إف بي آي) مسؤوليتها عن الهجوم الذي استهدف إحدى أكبر منصات تداول العملات المشفرة عالمياً. تعتمد "تريدر ترايتور" على الهندسة الاجتماعية والبرمجيات الخبيثة لاستهداف الأفراد ذوي صلاحيات الوصول إلى الأنظمة والأصول الرقمية، بدلاً من الاعتماد فقط على استغلال الثغرات التقنية. توفر العملات المشفرة المسروقة مصدراً مالياً خارج النظام المصرفي التقليدي، وتسهل عمليات غسل الأموال الرقمية إخفاء مصدر العائدات وتعقيد جهود تعقبها.

لم يحظ الاتهام الأمريكي بإجماع تام داخل الإدارة الأمريكية، حيث أعرب الرئيس دونالد ترامب عن عدم تأكد الولايات المتحدة من ضلوع كوريا الشمالية في الاختراق، مشيراً إلى أن واشنطن ستتواصل معها إذا ثبتت مسؤوليتها. تثير المجموعة مخاوف متزايدة في قطاع الأصول الرقمية، ليس فقط لقدرتها على اختراق المنصات وسرقة مليارات الدولارات، بل أيضاً لامتلاكها منظومة متكاملة تشمل استهداف الموظفين، واختراق الأنظمة، وغسل الأموال الرقمية، وإخفاء مصادرها، مما يوفر لكوريا الشمالية موارد مالية يُعتقد أنها تُستخدم في دعم برامجها العسكرية.

ليست أداة تداول! على عكس ما قد يوحي به اسمها، فإن "تريدر ترايتور" ليست برنامجاً للتداول أو منصة مالية، بل هي تسمية تستخدمها شركات الأمن السيبراني ومؤسسات تحليل البلوك تشين للإشارة إلى وحدة قرصنة إلكترونية ترعاها دولة كوريا الشمالية. ترتبط المجموعة بشبكة "لازاروس"، المظلة الأوسع لعمليات القرصنة الإلكترونية المنسوبة إلى كوريا الشمالية، والتي ارتبط اسمها بهجمات بارزة مثل اختراق شركة "سوني بيكتشرز" عام 2014، وسرقة 81 مليون دولار من البنك المركزي في بنغلاديش عام 2016. أما اسم "تريدر ترايتور"، فيعود إلى عائلة من البرمجيات الخبيثة التي كانت تتخفى في صورة برامج شرعية لتداول العملات المشفرة، بهدف استدراج العاملين في القطاع، وتحميلهم ملفات مصابة تسمح للقراصنة باختراق أجهزتهم وسرقة بياناتهم. تصنف شركة "تي آر إم لابس" المجموعة ضمن وحدات القرصنة النخبوية في كوريا الشمالية، نظراً لقدراتها التقنية والتنظيمية المتقدمة.

استهداف الموظفين قبل اختراق الأنظمة: تعتمد "تريدر ترايتور" على الهندسة الاجتماعية والبرمجيات الخبيثة للوصول إلى الأفراد ذوي صلاحيات إدارة الأنظمة والأصول الرقمية، بدلاً من الاعتماد حصرياً على اكتشاف الثغرات التقنية. من أبرز أساليبها انتحال صفة مسؤولي التوظيف عبر منصات التواصل المهني، والتواصل مع موظفين في شركات العملات المشفرة، ثم إقناعهم بفتح ملفات تبدو مرتبطة بفرص عمل أو اختبارات توظيف، لكنها تحتوي على شيفرات خبيثة تتيح اختراق أجهزتهم وسرقة بيانات الدخول. في هذا السياق، رصد مكتب التحقيقات الفيدرالي الأمريكي واقعة عام 2024، تواصل خلالها قرصان كوري شمالي مع موظف في منصة لمحافظ العملات المشفرة عبر "لينكد إن"، منتحلاً صفة مسؤول توظيف، قبل أن يسرق بيانات الموظف وينتحل شخصيته. وفي اختراق "بينانس" الأخير، تشير التحقيقات الأولية إلى أن الهجوم بدأ باختراق حاسوب محمول لأحد المهندسين، مما أتاح للمهاجمين الوصول إلى بيئة تشغيل داخلية، أرسلوا من خلالها معاملات سحب غير مصرح بها.

سجل من السرقات بمليارات الدولارات: اللافت أيضاً أن اسم المجموعة وشبكة القرصنة الكورية الشمالية ارتبط بسلسلة من أكبر عمليات سرقة العملات المشفرة خلال السنوات الماضية. اتهمت الولايات المتحدة قراصنة مرتبطين بمجموعة "لازاروس" بسرقة 620 مليون دولار من شبكة "رونين" عام 2022. وفي 2023، نسب مكتب التحقيقات الاتحادي إلى وحدة "تريدر ترايتور" 3 عمليات استهدفت منصات "أتوميك وولت" و"ألفابو" و"كوينزبايد"، بقيمة إجمالية قاربت 200 مليون دولار. في مايو (أيار) 2024، سرق قراصنة كوريون شماليون أصولاً بقيمة 308 ملايين دولار من منصة تداول العملات المشفرة اليابانية "دي بي إم إم"، وفقاً للسلطات الأمريكية واليابانية. وفي فبراير (شباط) 2025، اتهمت السلطات الأمريكية المجموعة بسرقة 1.5 مليار دولار من منصة "بايبت"، في واحدة من أكبر عمليات القرصنة التي شهدها قطاع العملات المشفرة. تشير تحليلات "تي آر إم لابس" إلى وجود أوجه تشابه بين هذه العمليات واختراق "بينانس"، من بينها الإعداد المسبق للهجمات، واستخدام خدمات خلط العملات المشفرة، وجمع البيانات والتوقيعات التقنية اللازمة مسبقاً ثم تنفيذها دفعة واحدة.

غسل الأموال عبر شبكات البلوك تشين: لا تنتهي مهمة المجموعة بمجرد الاستيلاء على الأصول الرقمية، بل تمثل عملية إخفاء مصدر الأموال وغسلها مرحلة أساسية لتحويل العملات المسروقة إلى أموال قابلة للاستخدام. تستخدم شبكات القرصنة الكورية الشمالية منصات خلط العملات المشفرة، التي تجمع أصولاً رقمية من مصادر متعددة ثم تعيد توزيعها، مما يصعّب تتبع مسار الأموال وتحديد مصدرها الأصلي. كما تلجأ إلى خدمات التبادل الخاصة لنقل الأموال وتحويلها إلى سيولة يصعب تعقبها. في اختراق "بينانس"، أعلن مكتب التحقيقات الفيدرالي الأمريكي رصد تحويل الأصول المسروقة إلى عملة "إيثر"، محذراً من عمليات غسل واسعة النطاق باستخدام تقنيات إخفاء المعاملات. كشف الهجوم أيضاً عن قدرات تنسيق متقدمة، حيث انتقلت التحويلات إلى 11 شبكة بلوك تشين خلال 3 ساعات، بينما نُفذت معظم عمليات السرقة خلال 20 دقيقة.

تمويل برامج الأسلحة في كوريا الشمالية: بخلاف خسائر منصات العملات المشفرة والمستثمرين، تشير تقارير إلى ارتباط عائدات أنشطة القرصنة الكورية الشمالية بتمويل برامج التسليح، في ظل العقوبات الدولية التي تقيد وصول بيونغ يانغ إلى النظام المالي العالمي ومصادر العملات الأجنبية. توفر العملات المشفرة المسروقة مصدراً مالياً خارج القنوات المصرفية التقليدية، فيما تسمح عمليات غسل الأموال الرقمية بإخفاء مصدر العائدات وتعقيد جهود تعقبها واستردادها. في هذا الشأن، أشار تقرير للأمم المتحدة صدر عام 2024 إلى أن عائدات الهجمات الإلكترونية ساهمت في تمويل تطوير أسلحة الدمار الشامل في كوريا الشمالية، مما يجعل نشاط مجموعات مثل "تريدر ترايتور" جزءاً من معادلة تتجاوز الجرائم المالية إلى تمويل الأنشطة العسكرية للدولة.