TRM og Chainalysis mener med høy sikkerhet at hackergruppen TraderTraitor, knyttet til Nord-Koreas Lazarus Group, står bak Binance-hacket. Midlene ser ut til å ha vært innom de samme lommebøkene som utbyttet fra Bitget-hacket i september.
TraderTraitor er navnet på en undergruppe av Nord-Koreas statstilknyttede Lazarus Group, kjent for å stå bak flere av de største kryptøranene de siste årene, blant annet Bybit-hacket i 2025. Gruppen opererer på oppdrag fra den nordkoreanske staten, og stjålne kryptomidler har lenge vært en viktig finansieringskilde for landets våpenprogrammer. Attribusjonen bygger på sporing av transaksjonsmønstre og tekniske fellestrekk med tidligere angrep, ikke en bekreftelse fra Binance selv.
Både TRM Labs og Chainalysis har uavhengig av hverandre kommet til at TraderTraitor står bak Binance-hacket. Begge selskapene peker på at de stjålne midlene ble sporet sammenblandet med utbyttet fra Bitget-hacket i september, et angrep som allerede er knyttet til samme gruppe. Det gir et selvstendig teknisk belegg for attribusjonen, utover likhetene i angrepsmetoden.
Ifølge TRM Labs fikk angriperen tilgang ved å utnytte EIP-7702, en funksjon i Ethereums Pectra-oppgradering som lar vanlige lommebokadresser kjøre som smartkontrakter. Angriperen hadde på forhånd fått signert rundt 50 slike autorisasjoner på ulike nonce-verdier, og kunne dermed få egen kode til å kjøre direkte fra en av Binances varme lommebøker da den rette autorisasjonen ble aktivert.
Så snart midlene var ute, ble de flyttet videre over rundt ti forskjellige blokkjeder i løpet av få minutter, ifølge analyseselskapene. Den raske spredningen over mange nettverk er et kjent TraderTraitor-mønster, og gjør det vesentlig vanskeligere for børser og myndigheter å følge pengestrømmen i å fryse den i tide.
For å hvitvaske midlene har angriperen ifølge Chainalysis blant annet brukt stjålne eiendeler som sikkerhet for lån, solgt deler av beholdningen med rabatt for å få raskere oppgjør, og delt opp større bitcoin-beholdninger i mange mindre transaksjoner for å gjøre sporet vanskeligere å følge.
Analyseselskapene anslår at rundt 3 milliarder dollar av de stjålne midlene så langt er fryst, i samarbeid med børser og blokkjedepartnere. Mesteparten av summen er imidlertid fortsatt under angriperens kontroll, og TRM og Chainalysis venter at arbeidet med å spore og fryse flere midler vil fortsette i tiden som kommer.
Kilder: TRM, Chainalysis
Du har lest det du kan lese gratis. Med en konto får du ubegrenset tilgang til alle nyheter og artikler på kaupr.io — og blir en del av nettverket av investorer, profesjonelle og builders som følger onchain finance.