FBI fastslog 31. oktober officielt, at Nordkorea står bag tyveriet af over 6 milliarder dollar fra Binance 29. oktober. Efterforskerne kalder aktiviteten TraderTraitor og beder branchen blokere adresserne, der er brugt til at flytte de stjålne midler.
Binance, verdens største kryptobørs, blev fredag aften ramt af, hvad der formentlig er det største kryptotyveri, der er registreret, med et tab selskabet selv har anslået til omkring 6,3 milliarder dollar. I dagene efter pegede blockchain-analyseselskaberne TRM Labs og Chainalysis på den nordkoreanske hackergruppe TraderTraitor, knyttet til den statsstøttede Lazarus Group, som formentlig ansvarlig, baseret på tekniske spor i angrebet. Den vurdering er nu løftet fra privat analyse til officiel bekræftelse: FBI, sammen med United States Secret Service (USSS) og IRS Criminal Investigation (IRS-CI), udsendte 31. oktober en meddelelse, der navngiver Nordkorea som ansvarlig.
I meddelelsen skriver FBI, at Nordkorea (Den Demokratiske Folkerepublik Korea) var ansvarlig for tyveriet af over 6 milliarder dollar i digitale aktiver fra Binance, omkring 29. oktober. FBI omtaler den konkrete aktivitet som "TraderTraitor".
FBI oplyser, sammen med USSS og IRS-CI, at man har observeret, at TraderTraitor-aktørerne har konverteret de stjålne aktiver hovedsageligt til ether (ETH). Efterforskerne venter, at gruppen nu vil forsøge at hvidvaske midlerne videre gennem DeFi-tjenester og såkaldte instant swap-tjenester, hvor kryptovaluta kan byttes hurtigt uden fuld kundekontrol.
FBI's attribution er den første officielle fra amerikanske myndigheder i sagen, men den bekræfter det, blockchain-analyseselskaberne allerede var nået frem til. Chainalysis beskrev i sit blogindlæg, hvordan angrebet brugte EIP-7702-fuldmagter og blev finansieret gennem en operationel wallet koblet til miksetjenesten Tornado Cash, og pegede på overlap med midler fra det tidligere Bitget-hack, der også tilskrives Nordkorea.
TRM Labs nåede frem til samme konklusion i sin egen analyse, med en mere detaljeret teknisk gennemgang af mekanikken: 50 forhåndssignerede autorisationer fordelt på flere blockchains, og hvidvaskning gennem market maker-salg med rabat, lån i Aave og det, TRM beskriver som en "BTC peel chain" — en metode, hvor bitcoin flyttes videre i stadig mindre dele for at vanskeliggøre sporing. TRM pegede også på, at beviserne tyder på et brud i Binances egen signeringsinfrastruktur, uden at selskabet har offentliggjort nogen rodårsag.
FBI, USSS og IRS-CI beder private aktører i branchen om at blokere transaktioner til eller fra de adresser, TraderTraitor-aktørerne bruger til at hvidvaske de stjålne aktiver. Opfordringen retter sig specifikt mod operatører af THORNode (noderne, der driver udvekslingsprotokollen THORChain), RPC-node-operatører, tjenester for hurtige vekslinger ("instant exchanges"), DeFi-tjenester, blockchain-analyseselskaber og andre udbydere af tjenester for virtuelle aktiver.
Som en del af meddelelsen har FBI offentliggjort en liste over konkrete adresser, der har holdt eller fortsat holder midler fra tyveriet, og som efterforskerne knytter direkte til eller tæt op ad de nordkoreanske TraderTraitor-aktører.
Kilder: FBI, TRM, Chainalysis
Du har læst det, du kan læse gratis. Med en konto får du ubegrænset adgang til alle nyheder og artikler på kaupr.io — og bliver en del af netværket af investorer, professionelle og builders, der følger onchain finance.