TRM och Chainalysis bedömer med hög säkerhet att hackergruppen TraderTraitor, kopplad till Nordkoreas Lazarus Group, ligger bakom Binance-hacket. Pengarna verkar ha passerat samma plånböcker som utbytet från Bitget-hacket i september.
TraderTraitor är namnet på en undergrupp inom Nordkoreas statskopplade Lazarus Group, känd för att ligga bakom flera av de senaste årens största kryptostölder, bland annat Bybit-hacket 2025. Gruppen agerar på uppdrag av den nordkoreanska staten, och stulna kryptotillgångar har länge varit en viktig finansieringskälla för landets vapenprogram. Attributionen bygger på spårning av transaktionsmönster och tekniska likheter med tidigare attacker, inte en bekräftelse från Binance själv.
Både TRM Labs och Chainalysis har oberoende av varandra kommit fram till att TraderTraitor ligger bakom Binance-hacket. Båda bolagen pekar på att pengarna verkar ha passerat samma plånböcker som utbytet från Bitget-hacket i september, en attack som redan är kopplad till samma grupp. Det ger ett självständigt tekniskt stöd för attributionen, utöver likheterna i tillvägagångssättet.
Enligt TRM Labs fick angriparen tillgång genom att utnyttja EIP-7702, en funktion i Ethereums Pectra-uppgradering som låter vanliga plånboksadresser köra som smarta kontrakt. Angriparen hade i förväg fått signerat omkring 50 sådana auktoriseringar på olika nonce-värden, och kunde därmed få egen kod att köra direkt från en av Binances varma plånböcker när rätt auktorisering aktiverades.
Så snart pengarna var ute flyttades de vidare över omkring tio olika blockkedjor inom loppet av några minuter, enligt analysbolagen. Den snabba spridningen över många nätverk är ett känt TraderTraitor-mönster, och gör det betydligt svårare för börser och myndigheter att följa flödet och frysa det i tid.
För att tvätta pengarna har angriparen enligt Chainalysis bland annat använt stulna tillgångar som säkerhet för lån, sålt delar av innehavet med rabatt för snabbare uppgörelse, och delat upp större bitcoin-innehav i många mindre transaktioner för att göra spåret svårare att följa.
Analysbolagen uppskattar att omkring 3 miljarder dollar av de stulna pengarna hittills är frysta, i samarbete med börser och blockkedjepartner. Merparten av summan är dock fortfarande under angriparens kontroll, och TRM och Chainalysis räknar med att arbetet med att spåra och frysa mer pengar fortsätter framöver.
Källor: TRM, Chainalysis
Du har läst det du kan läsa gratis. Med ett konto får du obegränsad tillgång till alla nyheter och artiklar på kaupr.io — och blir en del av nätverket av investerare, professionella och builders som följer onchain finance.