TraderTraitor

TraderTraitor to jednostka północnokoreańskich hakerów państwowych, wchodząca w skład Lazarus Group, która specjalizuje się w największych włamaniach do firm kryptowalutowych. To ją FBI wskazało jako sprawcę kradzieży z Bybit (ok. 1,5 mld dolarów, luty 2025) i z Binance (ponad 6 mld dolarów, październik 2026) – dwóch największych kradzieży w historii, nie tylko kryptowalut.

Jeśli Lazarus to koncern, to TraderTraitor jest jego najbardziej dochodowym działem. Nie zajmuje się szpiegostwem ani drobnymi atakami – czeka miesiącami na jedno uderzenie, które przyniesie setki milionów albo miliardy dolarów.

Skąd wzięła się nazwa

Nazwa pojawiła się publicznie w kwietniu 2022 roku we wspólnym ostrzeżeniu FBI, CISA i Departamentu Skarbu USA (komunikat AA22-108A). Początkowo oznaczała konkretny typ złośliwego oprogramowania: zainfekowane aplikacje udające narzędzia do tradingu i prognozowania cen kryptowalut, z dopracowanymi stronami internetowymi i rzekomymi funkcjami AI. Hakerzy podsyłali je pracownikom firm blockchainowych, najczęściej pod przykrywką oferty pracy. Po instalacji aplikacja otwierała drogę do sieci firmy i do kluczy prywatnych.

Nazwa idealnie oddaje pomysł: „trader-zdrajca”, czyli narzędzie dla traderów, które cię zdradza. Z czasem FBI zaczęło nią określać samą grupę, a nie tylko jej oprogramowanie. W raportach firm bezpieczeństwa ta sama ekipa występuje też jako:

• Jade Sleet – nazwa Microsoftu,
• UNC4899 – nazwa Mandiant (Google), który powiązał ją m.in. z włamaniem do firmy JumpCloud w 2023 roku,
• Slow Pisces – nazwa Palo Alto Networks.

Ataki przypisane TraderTraitor

• Atomic Wallet (czerwiec 2023) – ok. 100 mln dolarów z portfeli zwykłych użytkowników.
• DMM Bitcoin (maj 2024) – 4502,9 BTC, czyli ok. 308 mln dolarów. Według FBI i japońskiej policji haker podał się na LinkedIn za rekrutera, zainfekował komputer pracownika firmy Ginco obsługującej portfele giełdy i podmienił zwykłe zlecenie przelewu. Giełda po ataku zakończyła działalność.
• Bybit (21 lutego 2025) – ok. 1,5 mld dolarów w ETH i tokenach pochodnych. Hakerzy przejęli komputer programisty Safe{Wallet}, czyli narzędzia, przez które Bybit zatwierdzał transakcje z cold walleta, i wstrzyknęli kod podmieniający treść transakcji w momencie podpisu. Podpisujący widzieli na ekranie zwykły transfer, a w rzeczywistości oddali kontrolę nad portfelem. Pięć dni później FBI oficjalnie wskazało TraderTraitor.
• KelpDAO (18 kwietnia 2026) – ok. 292 mln dolarów w tokenach rsETH przez most oparty na LayerZero, gdzie transakcje między sieciami potwierdzał tylko jeden weryfikator. LayerZero wstępnie przypisało atak TraderTraitor.
• Binance (29 października 2026) – ok. 6,3–6,4 mld dolarów z gorących portfeli na 11 blockchainach w ciągu kilku godzin. Binance mówił najpierw o przejętym laptopie inżyniera DevOps, potem o kolejnych punktach włamania. Na Ethereum atakujący wykorzystał mechanizm EIP-7702 i podpisy wygenerowane przez systemy samej giełdy, z pominięciem zwykłych procedur zatwierdzania. 31 października FBI przypisało atak TraderTraitor.

Nie każdy północnokoreański hack to TraderTraitor. Przykładem jest Drift Protocol (kwiecień 2026, ok. 285 mln dolarów) – według śledztwa Mandiant zrobił to inny zespół, a TRM Labs również uznało go za grupę odrębną.

Styl działania

Kiedy czytam raporty z kolejnych włamań, widzę ten sam schemat:

1. Cel to człowiek, nie kod. Fałszywy rekruter, „test rekrutacyjny” do pobrania, zainfekowana aplikacja, rozmowa na Zoomie. Wystarczy jedna osoba z dostępem.
2. Atak przez dostawcę. JumpCloud, Ginco przy DMM Bitcoin, Safe{Wallet} przy Bybit, infrastruktura weryfikatora przy KelpDAO – zamiast bronić się przed giełdą, atakują firmę, której giełda ufa.
3. Cierpliwość. Przy Bybit złośliwy kod czekał, aż giełda zacznie przenosić duże środki z cold walleta. Uderza się wtedy, gdy w portfelu jest najwięcej.
4. Szybkie i automatyczne pranie. Przy Binance stablecoiny błyskawicznie zamieniano na ETH, nawet ze stratą kilkunastu procent, rozpraszano po wielu adresach i sieciach. Elliptic opisuje, że pranie wyglądało na zautomatyzowane i szło przez całą dobę.

Słabym punktem TraderTraitor okazały się stablecoiny. Przy Binance Tether i Circle szybko zamrozili prawie 3 mld dolarów w USDT i USDC – blisko połowę łupu. Reszta, głównie ETH i BTC, pozostała w rękach hakerów.

Co to oznacza dla mnie jako tradera

Handluję na scentralizowanej giełdzie, więc atak na Binance to dla mnie konkretna lekcja. Nawet największa giełda świata, z funduszem SAFU i ogromnym budżetem na bezpieczeństwo, straciła miliardy w kilka godzin i musiała wstrzymać wpłaty i wypłaty. Binance zapowiedział pokrycie strat klientów, ale to giełda decyduje, kiedy odzyskasz dostęp do pieniędzy.

Moje zasady:

• na giełdzie trzymam tyle, ile potrzebuję do tradingu, a nie cały kapitał,
• nie trzymam wszystkiego na jednej giełdzie ani w jednym protokole,
• długoterminowe środki trzymam na portfelu sprzętowym i zawsze sprawdzam adres oraz kwotę na ekranie urządzenia,
• nie pobieram „testów rekrutacyjnych”, aplikacji do tradingu ani plików od nieznajomych,
• przy wiadomości o dużym hacku najpierw sprawdzam, co z płynnością i wypłatami, a dopiero potem myślę o pozycjach.

Więcej o ochronie konta i oszustwach znajdziesz w kategorii Bezpieczeństwo.

Najczęstsze pytania

Czy TraderTraitor i Lazarus Group to to samo?

TraderTraitor jest częścią Lazarus Group. Lazarus to szeroka nazwa na państwowych hakerów Korei Północnej, a TraderTraitor to zespół od największych kradzieży kryptowalut. Media często używają obu nazw zamiennie.

Ile ukradł TraderTraitor?

Licząc tylko ataki publicznie przypisane tej jednostce: Bybit ok. 1,5 mld dolarów, Binance ponad 6 mld dolarów, do tego m.in. DMM Bitcoin, Atomic Wallet i KelpDAO. To łącznie kilka miliardów dolarów więcej niż jakakolwiek inna grupa przestępcza w historii.

Czy TraderTraitor atakuje zwykłych ludzi?

Głównie celuje w firmy, ale do firm wchodzi przez ludzi – programistów, inżynierów i pracowników z dostępem do systemów. Jeśli pracujesz w branży krypto, to ty możesz być furtką.