FBI slo 31. oktober offisielt fast at Nord-Korea står bak tyveriet av over 6 milliarder dollar fra Binance 29. oktober. Etterforskerne kaller aktiviteten TraderTraitor og ber bransjen blokkere adressene som er brukt til å flytte de stjålne midlene.
Binance, verdens største kryptobørs, ble fredag kveld rammet av det som trolig er den største kryptotyveri-saken som er registrert, med et tap selskapet selv har anslått til rundt 6,3 milliarder dollar. I dagene etter pekte blokkjedeanalyseselskapene TRM Labs og Chainalysis på den nord-koreanske hackergruppen TraderTraitor, knyttet til det statsstøttede Lazarus Group, som trolig ansvarlig, basert på tekniske spor i angrepet. Den vurderingen er nå løftet fra privat analyse til offisiell bekreftelse: FBI, sammen med United States Secret Service (USSS) og IRS Criminal Investigation (IRS-CI), gikk 31. oktober ut med en kunngjøring som navngir Nord-Korea som ansvarlig.
I kunngjøringen skriver FBI at Nord-Korea (Den demokratiske folkerepublikken Korea) var ansvarlig for tyveriet av over 6 milliarder dollar i digitale eiendeler fra Binance, på eller rundt 29. oktober. FBI omtaler den konkrete aktiviteten som «TraderTraitor».
FBI opplyser, sammen med USSS og IRS-CI, at de har observert at TraderTraitor-aktørene har konvertert de stjålne eiendelene hovedsakelig til ether (ETH). Etterforskerne venter at gruppen nå vil forsøke å hvitvaske midlene videre gjennom DeFi-tjenester og såkalte instant swap-tjenester, der kryptovaluta kan byttes raskt uten fullstendig kundekontroll.
FBIs attribusjon er den første offisielle fra amerikanske myndigheter i denne saken, men den stadfester det blokkjedeanalyseselskapene allerede hadde konkludert med. Chainalysis beskrev i sitt blogginnlegg hvordan angrepet brukte EIP-7702-fullmakter og ble finansiert gjennom en operasjonell lommebok koblet til miksetjenesten Tornado Cash, og pekte på overlapp med midler fra det tidligere Bitget-hacket som også tilskrives Nord-Korea.
TRM Labs kom til samme konklusjon i sin egen analyse, med en mer detaljert teknisk gjennomgang av mekanismen: 50 forhåndssignerte autorisasjoner fordelt på flere blokkjeder, og hvitvasking gjennom market maker-salg med rabatt, lån i Aave og det TRM beskriver som en «BTC peel chain» — en metode der bitcoin flyttes videre i mindre og mindre deler for å vanskeliggjøre sporing. TRM pekte også på at bevisene tyder på et brudd i Binances egen signeringsinfrastruktur, uten at selskapet har offentliggjort noen rotårsak.
FBI, USSS og IRS-CI ber private aktører i bransjen om å blokkere transaksjoner til eller fra adressene TraderTraitor-aktørene bruker til å hvitvaske de stjålne eiendelene. Oppfordringen retter seg spesifikt mot operatører av THORNode (nodene som driver utvekslingsprotokollen THORChain), RPC-node-operatører, tjenester for raske vekslinger («instant exchanges»), DeFi-tjenester, blokkjedeanalyseselskaper og andre leverandører av virtuelle eiendelstjenester.
Som en del av kunngjøringen har FBI publisert en liste over konkrete adresser som har holdt eller fortsatt holder midler fra tyveriet, og som etterforskerne knytter direkte til eller tett opp mot de nord-koreanske TraderTraitor-aktørene.
Kilder: FBI, TRM, Chainalysis
Du har lest det du kan lese gratis. Med en konto får du ubegrenset tilgang til alle nyheter og artikler på kaupr.io — og blir en del av nettverket av investorer, profesjonelle og builders som følger onchain finance.