TRM og Chainalysis vurderer med høj sikkerhed, at hackergruppen TraderTraitor, knyttet til Nordkoreas Lazarus Group, står bag Binance-hacket. Pengene ser ud til at have været igennem de samme tegnebøger som udbyttet fra Bitget-hacket i september.
TraderTraitor er navnet på en undergruppe af Nordkoreas statstilknyttede Lazarus Group, kendt for at stå bag flere af de seneste års største krypto-kup, blandt andet Bybit-hacket i 2025. Gruppen opererer på den nordkoreanske stats foranledning, og stjålne kryptomidler har længe været en vigtig finansieringskilde for landets våbenprogrammer. Attributionen bygger på spor i transaktionsmønstre og tekniske fællestræk med tidligere angreb, ikke en bekræftelse fra Binance selv.
Både TRM Labs og Chainalysis er uafhængigt af hinanden kommet til, at TraderTraitor står bag Binance-hacket. Begge firmaer peger på, at pengene ser ud til at have været igennem de samme tegnebøger som udbyttet fra Bitget-hacket i september, et angreb der allerede er knyttet til samme gruppe. Det giver et selvstændigt teknisk belæg for attributionen, ud over lighederne i angrebsmetoden.
Ifølge TRM Labs fik angriberen adgang ved at udnytte EIP-7702, en funktion i Ethereums Pectra-opgradering, der lader almindelige tegnebogsadresser fungere som smarte kontrakter. Angriberen havde forinden fået underskrevet omkring 50 sådanne autorisationer på forskellige nonce-værdier og kunne dermed få sin egen kode til at køre direkte fra en af Binances varme tegnebøger, da den rette autorisation blev aktiveret.
Så snart midlerne var ude, blev de flyttet videre over omkring ti forskellige blockchains i løbet af få minutter, ifløge analysefirmaerne. Den hurtige spredning over mange netværk er et kendt TraderTraitor-mønster og gør det markant sværere for børser og myndigheder at følge pengestrømmen og fryse den i tide.
For at hvidvaske pengene har angriberen ifløge Chainalysis blandt andet brugt stjålne aktiver som sikkerhed for lån, solgt dele af beholdningen med rabat for hurtigere afregning og delt større bitcoin-beholdninger op i mange mindre transaktioner for at gøre sporet sværere at følge.
Analysefirmaerne anslår, at omkring 3 milliarder dollar af de stjålne midler indtil nu er frosset, i samarbejde med børser og blockchain-partnere. Størstedelen af beløbet er dog stadig under angriberens kontrol, og TRM og Chainalysis forventer, at arbejdet med at spore og fryse flere midler vil fortsætte fremover.
Kilder: TRM, Chainalysis
Du har læst det, du kan læse gratis. Med en konto får du ubegrænset adgang til alle nyheder og artikler på kaupr.io — og bliver en del af netværket af investorer, professionelle og builders, der følger onchain finance.