FBI slog den 31 oktober officiellt fast att Nordkorea ligger bakom stölden av över 6 miljarder dollar från Binance den 29 oktober. Utredarna kallar aktiviteten TraderTraitor och ber branschen blockera adresserna som använts för att flytta de stulna medlen.
Binance, världens största kryptobörs, drabbades på fredagskvällen av vad som troligen är den största kryptostölden som registrerats, med en förlust bolaget självt uppskattat till omkring 6,3 miljarder dollar. Under dagarna därefter pekade blockkedjeanalysbolagen TRM Labs och Chainalysis ut den nordkoreanska hackargruppen TraderTraitor, kopplad till den statsstödda Lazarus Group, som trolig ansvarig, baserat på tekniska spår i angreppet. Den bedömningen har nu lyfts från privat analys till officiell bekräftelse: FBI, tillsammans med United States Secret Service (USSS) och IRS Criminal Investigation (IRS-CI), gick den 31 oktober ut med ett meddelande som namnger Nordkorea som ansvarig.
I meddelandet skriver FBI att Nordkorea (Demokratiska folkrepubliken Korea) var ansvarig för stölden av över 6 miljarder dollar i digitala tillgångar från Binance, omkring den 29 oktober. FBI benämner den konkreta aktiviteten som "TraderTraitor".
FBI uppger, tillsammans med USSS och IRS-CI, att man observerat att TraderTraitor-aktörerna konverterat de stulna tillgångarna huvudsakligen till ether (ETH). Utredarna väntar sig att gruppen nu försöker tvätta medlen vidare genom DeFi-tjänster och så kallade instant swap-tjänster, där kryptovaluta kan växlas snabbt utan fullständig kundkontroll.
FBI:s attribuering är den första officiella från amerikanska myndigheter i ärendet, men den bekräftar det blockkedjeanalysbolagen redan hade kommit fram till. Chainalysis beskrev i sitt blogginlägg hur angreppet använde EIP-7702-fullmakter och finansierades genom en operativ plånbok kopplad till mixningstjänsten Tornado Cash, och pekade på överlapp med medel från det tidigare Bitget-hacket som också tillskrivs Nordkorea.
TRM Labs kom till samma slutsats i sin egen analys, med en mer detaljerad teknisk genomgång av mekaniken: 50 förhandssignerade auktoriseringar fördelade på flera blockkedjor, och penningtvätt genom market maker-försäljning med rabatt, lån i Aave och det TRM beskriver som en "BTC peel chain" — en metod där bitcoin flyttas vidare i allt mindre delar för att försvåra spårning. TRM pekade också på att bevisen tyder på ett intrång i Binances egen signeringsinfrastruktur, utan att bolaget offentliggjort någon grundorsak.
FBI, USSS och IRS-CI ber privata aktörer i branschen att blockera transaktioner till eller från adresserna TraderTraitor-aktörerna använder för att tvätta de stulna tillgångarna. Uppmaningen riktar sig särskilt till operatörer av THORNode (noderna som driver utväxlingsprotokollet THORChain), RPC-nodoperatörer, tjänster för snabba växlingar ("instant exchanges"), DeFi-tjänster, blockkedjeanalysbolag och andra leverantörer av tjänster för virtuella tillgångar.
Som en del av meddelandet har FBI publicerat en lista över konkreta adresser som har hållit eller fortfarande håller medel från stölden, och som utredarna kopplar direkt till eller nära intill de nordkoreanska TraderTraitor-aktörerna.
Källor: FBI, TRM, Chainalysis
Du har läst det du kan läsa gratis. Med ett konto får du obegränsad tillgång till alla nyheter och artiklar på kaupr.io — och blir en del av nätverket av investerare, professionella och builders som följer onchain finance.