Seberapa Bahaya Hacker Korea Utara TraderTraitor yang Diduga Bobol Binance?

Kelompok peretas atau hacker yang dikaitkan dengan Korea Utara, TraderTraitor, diduga berada di balik pencurian aset kripto Binance US$ 6,3 miliar atau Rp 114,2 triliun (kurs Rp 18.127 per US$). Seberapa bahaya metode serangan mereka?

Dikutip dari Firstpost, perusahaan intelijen blockchain TRM Labs mengaitkan serangan terhadap Binance itu dengan TraderTraitor, dengan tingkat keyakinan tinggi. Menurut analisis TRM, hacker memindahkan sekitar US$ 6,36 miliar dari dompet Binance yang tersebar di 10 jaringan blockchain.

Sebagian besar aset itu berpindah hanya dalam waktu sekitar 20 menit, mulai pukul 20.05 UTC pada Kamis (29/10). Gelombang transaksi berikutnya sekitar pukul 23.05 UTC menjangkau dompet Binance di jaringan Avalanche dan Polygon.

TRM menilai nilai pencurian itu sekitar empat kali lipat dibandingkan peretasan Bybit pada Februari 2025, ketika hacker mengambil aset kripto sekitar US$ 1,5 miliar.

Meski demikian, identitas pelaku serangan Binance belum dipastikan secara resmi. Binance belum mengumumkan siapa yang bertanggung jawab atas insiden tersebut. 

Akan tetapi, Biro Investigasi Federal Amerika Serikat (FBI) menyatakan TraderTraitor, bertanggung jawab atas serangan terhadap Binance. FBI mengatakan para pelaku mengonversi aset kripto hasil curian menjadi Ethereum dan memperkirakan aset ini akan menjalani proses pencucian lebih lanjut menggunakan teknologi terkait.

Profil TraderTraitor, Kelompok Hacker Korea Utara

TraderTraitor merupakan sebutan otoritas Amerika Serikat untuk serangkaian aktivitas siber yang disponsori negara Korea Utara dan menyasar industri mata uang kripto. Nama ini mulai digunakan dalam imbauan bersama FBI, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA), serta Departemen Keuangan AS pada April 2022.

Kelompok ini merupakan bagian dari ekosistem operasi siber Korea Utara yang lebih luas dan dikaitkan dengan Lazarus Group. Dalam laporan WIRED pada Februari 2025, TraderTraitor disebut sebagai salah satu subkelompok peretas Korea Utara yang paling canggih.

WIRED mengutip penilaian Direktur Strategi Intelijen Ancaman Microsoft, Sherrod DeGrippo, yang menyebut TraderTraitor sebagai salah satu kelompok paling canggih di kelasnya. Kelompok hacker ini secara khusus menyasar industri kripto, termasuk perusahaan blockchain, platform perdagangan, dan layanan keuangan terdesentralisasi atau decentralized finance (DeFi).

Perusahaan keamanan siber menggunakan sejumlah nama lain untuk melacak aktivitas yang dikaitkan dengan kelompok ini, antara lain Jade Sleet, UNC4899, dan Slow Pisces. Nama-nama ini digunakan oleh Microsoft, Google, dan Palo Alto Networks untuk mengidentifikasi aktivitas yang mereka pantau.

TraderTraitor diduga merupakan turunan kelompok APT38, yang sebelumnya dikaitkan dengan serangan terhadap sistem keuangan SWIFT dan upaya pencurian US$ 1 miliar dari Bank Sentral Bangladesh pada 2016.

Peneliti keamanan siber yang mempelajari  Korea Utara di DTEX Systems yang dikutip WIRED, menyebut TraderTraitor sebagai kelompok paling canggih di antara sejumlah kelompok pencuri kripto Korea Utara. Ia mengaitkan kemampuan tersebut dengan latar belakang APT38 yang dinilainya sebagai tim andalan dalam operasi siber negara itu.

Salah satu hal yang membuat TraderTraitor berbahaya yakni pendekatannya. Kelompok hacker ini tidak hanya mengandalkan upaya menembus sistem secara teknis, tetapi juga menyasar orang-orang yang memiliki akses ke sistem perusahaan.

Menurut laporan WIRED, TraderTraitor kerap menargetkan karyawan perusahaan Web3, terutama pengembang perangkat lunak. Kelompok hacker ini menggunakan teknik spear-phishing, yakni pesan yang dirancang khusus untuk menipu target agar membuka tautan, menjalankan kode berbahaya, atau memberikan akses kepada penyerang.

Pesan dapat dikirim melalui platform profesional dan komunikasi seperti LinkedIn, Slack, Telegram, maupun GitHub.

Dalam sejumlah kasus, pelaku membuat identitas palsu atau menggunakan akun asli yang telah diretas. Mereka kemudian mengajak pengembang bekerja sama dalam proyek perangkat lunak sebelum menyisipkan malware ke perangkat korban.

Menurut DeGrippo, kelompok hacker itu mempelajari orang-orang yang bekerja di perusahaan sasaran, melacak aktivitas mereka, serta memahami platform perdagangan yang memiliki volume transaksi besar. Pendekatan ini menunjukkan bahwa serangan tidak selalu dimulai dengan eksploitasi kelemahan perangkat lunak. Pelaku juga dapat mengincar kepercayaan dan kebiasaan manusia.

Dalam kasus Binance misalnya, perusahaan menyatakan investigasi awal mengindikasikan laptop seorang engineer DevOps telah dikompromikan. Akses ini diduga memungkinkan penyerang memasuki sebuah service container dan mengirimkan instruksi penarikan aset tanpa izin.

Namun, Binance menyatakan tidak menemukan bukti bahwa private key dompet kripto bocor, sebagaimana dikutip dari Firstpost.

Analisis TRM Labs memberikan gambaran teknis tambahan. Pada jaringan Ethereum, penyerang menggunakan mekanisme EIP-7702 untuk mengubah fungsi dompet panas atau hot wallet Binance menjadi alat pemindah aset yang dapat dikendalikan penyerang. Sebanyak 50 otorisasi yang telah ditandatangani sebelumnya disiapkan untuk mendukung operasi tersebut.

Pada sembilan jaringan lainnya, dompet Binance mengirimkan aset melalui transfer bertanda tangan yang valid. TRM menilai pola transaksi itu mengindikasikan kemungkinan kompromi pada infrastruktur penandatanganan transaksi hot wallet Binance.

Dompet panas merupakan dompet kripto yang terhubung ke internet dan digunakan bursa untuk menangani transaksi, termasuk penarikan pengguna.

Menurut analisis TRM, dompet yang terdampak berada di berbagai jaringan dengan jenis kunci dan mekanisme penandatanganan berbeda. Meski demikian, transaksi yang sah secara kriptografis muncul dalam rentang waktu sekitar setengah jam.

Dengan kata lain, indikasi yang muncul bukan semata-mata bahwa penyerang berhasil memecahkan sistem kriptografi dompet. Sebaliknya, mereka diduga memperoleh kemampuan untuk membuat sistem Binance sendiri mengotorisasi pemindahan aset.

Meski demikian, mekanisme tersebut masih harus dibaca sebagai temuan investigasi awal. Binance belum mengumumkan pelaku secara resmi.

TraderTraitor juga dikaitkan dengan penggunaan identitas perekrut palsu. Dalam kasus pencurian Bybit pada 2025, FBI menyatakan Korea Utara bertanggung jawab atas pencurian itu dan menyebut aktivitas sibernya sebagai TraderTraitor.

Sementara itu, WIRED melaporkan bahwa peneliti Unit 42 dari Palo Alto Networks menemukan puluhan profil perekrut Korea Utara di LinkedIn yang dikaitkan dengan kelompok tersebut.

TraderTaitor Disebut Pakai Malware yang Sulit Dideteksi

Kemampuan TraderTraitor tidak berhenti pada social engineering atau rekayasa sosial. Kelompok hacker ini juga diketahui menggunakan perangkat lunak berbahaya yang dirancang untuk menyusup ke sistem dan menghindari deteksi.

Menurut WIRED, peneliti Google mengidentifikasi penggunaan pintu belakang atau backdoor khusus, termasuk PLOTTWIST dan TIEDYE, yang menargetkan perangkat macOS. Malware semacam ini dapat membantu hacker mempertahankan akses ke sistem korban.

Setelah mendapatkan kredensial yang valid, pelaku dapat berpindah dari satu akun atau sistem ke sistem lain. Teknik ini dikenal sebagai lateral movement. Pelaku berusaha mempertahankan akses dengan profil rendah agar tidak mudah terdeteksi oleh sistem keamanan.

Peneliti Unit 42 juga menemukan malware yang mereka sebut RN Loader. Malware ini dapat memasang pencuri informasi, kemudian menghapus dirinya sendiri sehingga keberadaannya lebih sulit ditemukan.

Direktur Senior Riset Ancaman Unit 42, Andy Piazza, mengatakan bahwa TraderTraitor terus meningkatkan kemampuan operasi dan memperbaiki cara mereka menghindari deteksi.

Kelompok hacker ifu juga dikaitkan dengan serangan terhadap rantai pasok perangkat lunak atau software supply chain. Dalam serangan terhadap JumpCloud pada Juni 2023, pelaku diduga memanfaatkan akses ke penyedia perangkat lunak untuk menjangkau sejumlah pelanggan di industri kripto.

Pendekatan ini berbahaya karena satu titik kompromi dapat membuka peluang untuk menyasar lebih banyak organisasi yang menggunakan perangkat lunak yang sama.

Rekam Jejak Hacker Korea Utara dalam Peretasan Bybit dan DMM Bitcoin

Sebelum insiden Binance, TraderTraitor telah dikaitkan dengan sejumlah pencurian kripto bernilai besar.

Salah satu kasus paling menonjol yakni peretasan Bybit pada 21 Februari 2025. Dalam serangan ini, hacker mencuri 401.346 ether dengan nilai sekitar US$ 1,4 miliar hingga US$ 1,5 miliar pada saat kejadian.

FBI kemudian menyatakan Korea Utara bertanggung jawab atas pencurian aset virtual tersebut dan menyebut aktivitas siber yang terkait sebagai TraderTraitor.

Menurut WIRED, penyerang dengan cepat memindahkan aset melalui puluhan dompet dan berbagai layanan kripto untuk menyamarkan aliran dana. Aset curian kemudian dikonversi menjadi mata uang kripto lain dan dipindahkan melalui berbagai alamat.

TraderTraitor juga dikaitkan dengan pencurian sekitar US$ 308 juta dari perusahaan kripto Jepang, DMM Bitcoin, pada Maret 2024. FBI, Departemen Pertahanan AS, dan kepolisian Jepang disebut mengaitkan serangan tersebut dengan kelompok ini.

Selain itu, kelompok hacker itu diduga terlibat dalam serangan terhadap JumpCloud, penyedia perangkat lunak yang digunakan sejumlah perusahaan. Kasus ini memperlihatkan bahwa operasi mereka tidak hanya menyasar dompet kripto secara langsung, tetapi juga dapat memanfaatkan penyedia perangkat lunak sebagai jalur menuju target.

Rekam jejak tersebut memperkuat perhatian peneliti keamanan terhadap dugaan keterlibatan TraderTraitor dalam serangan Binance.

Bagaimana TraderTraitor Menyamarkan Aset Curian?

Setelah memperoleh aset kripto, pelaku menghadapi tantangan berikutnya yakni memindahkan dana sebelum dibekukan atau teridentifikasi oleh bursa dan perusahaan analisis blockchain.

Menurut laporan Firstpost, TRM menemukan sejumlah kesamaan antara serangan Binance dan operasi yang sebelumnya dikaitkan dengan Korea Utara. Persamaan itu mencakup penggunaan penarikan kecil dari Tornado Cash untuk mendanai dompet operator, persiapan yang dimulai jauh sebelum pencurian, serta pengujian transaksi sebelum serangan utama.

Persiapan serangan Binance diperkirakan telah berlangsung setidaknya 36 jam sebelum pencurian. Dompet operator menerima tiga penarikan kecil dari Tornado Cash pada 28 Oktober. Penyerang kemudian menguji kode pada dua dompet dan melakukan latihan akhir pada dompet ketiga.

Setelah pencurian, penyerang berusaha mengonversi aset yang dapat dibekukan menjadi aset yang lebih sulit dibatasi.

Firstpost melaporkan bahwa pelaku menjual sekitar 325 juta USDT kepada market maker dengan diskon lebih dari 10% untuk ditukar menjadi ether. Penyerang juga meminjam ether dengan menjaminkan USDT melalui Aave.

Di sisi lain, sejumlah perusahaan berhasil membekukan sebagian aset. Tether, Circle, Ripple, dan World Liberty Financial dilaporkan membekukan sekitar US$ 2,67 miliar aset stablecoin. Pembekuan tambahan oleh Arbitrum membuat total aset yang dibekukan mencapai sekitar US$ 2,7 miliar, sementara pembaruan Binance menyebut angka sekitar US$ 3 miliar.

Namun, pembekuan aset tidak berarti seluruh dana dapat langsung dikembalikan kepada korban. Pemulihan memerlukan proses lebih lanjut, termasuk pelacakan aset dan prosedur hukum.

Firstpost melaporkan bahwa hacker masih memegang lebih dari 420.000 ETH dan 18.270 BTC, dengan nilai gabungan sekitar US$2,4 miliar menurut estimasi dalam laporan tersebut. TRM memperkirakan tahap pencucian berikutnya dapat melibatkan jembatan lintas blockchain, layanan pertukaran, dan broker over-the-counter.

Ada pula perbedaan antara pola pencucian dana dalam serangan Binance dan Bybit. TRM menyatakan bahwa pencucian dana dalam kasus Binance, yang melibatkan transaksi besar melalui market maker dan protokol pinjaman, berbeda dari pola yang lebih banyak menggunakan jembatan lintas blockchain setelah peretasan Bybit.

Perbedaan ini menjadi salah satu alasan penting untuk tidak langsung menganggap setiap serangan yang menyerupai operasi Korea Utara pasti dilakukan oleh kelompok yang sama.

Mengapa Hacker Korea Utara Menargetkan Kripto?

Menurut WIRED, operasi siber Korea Utara memiliki tujuan yang berbeda dari sekadar spionase atau pencurian data. Pencurian kripto diduga menjadi salah satu cara memperoleh dana untuk negara yang menghadapi sanksi internasional.

Laporan tersebut menjelaskan bahwa Korea Utara juga mengerahkan pekerja teknologi informasi untuk menyusup ke perusahaan di berbagai negara dan mengirimkan penghasilan mereka kembali ke negara asal. Dalam beberapa kasus, pekerja yang dipecat diduga memeras mantan perusahaan dengan mengancam membocorkan data sensitif.

Sementara itu, kelompok hacker seperti TraderTraitor menargetkan bursa kripto dan perusahaan teknologi untuk mencuri aset digital dalam jumlah besar.

WIRED mengutip penilaian perusahaan pelacak kripto Elliptic yang menyebut Korea Utara sebagai salah satu aktor paling canggih dan memiliki sumber daya besar dalam pencucian aset kripto curian.

Kendati demikian, tidak setiap serangan yang dikaitkan dengan Korea Utara otomatis dapat dipastikan mendanai program senjata. Hubungan antara pencurian tertentu dan penggunaan akhir dana memerlukan bukti tersendiri.

Dengan demikian, merujuk pada Firstpost dan Wired, hacker Korea Utara TraderTaitor disebut mampu menggabungkan rekayasa sosial dengan kemampuan teknis. Mereka tidak hanya berupaya mencari celah sistem, tetapi juga menargetkan orang yang memiliki akses ke sistem tersebut.

TraderTraitor diduga mampu merencanakan serangan secara bertahap, menguji kode, dan menyiapkan otorisasi sebelum memindahkan aset dalam jumlah besar. Dalam kasus Binance, sebagian besar aset dilaporkan berpindah dalam sekitar 20 menit.

Hacker Korea Utara itu juga disebut menggunakan berbagai metode untuk menghindari deteksi, termasuk malware khusus, identitas palsu, dan pemindahan aset melalui berbagai dompet serta layanan kripto.