De hackersgroep TraderTraitor, van Noord-Koreaanse komaf, zou achter de Binance-hack zitten. Dat meldt de FBI. Bij de diefstal van de beurs werd 6 miljard aan cryptovaluta gestolen, de grootste buit bij een dergelijke roof ooit.
De groep is bekend onder meerdere namen naast TraderTraitor, zoals Lazarus Group, Jade Sleet en APT38. Analyses van TRM Labs en Chainanalysis hadden vóór de FBI de link gelegd tussen de Binance-diefstal en deze cyberdreiging.
Volgens Binance begon de diefstal met een gecompromitteerde laptop van een DevOps-engineer. Via dat apparaat bereikten de aanvallers een service container en diende men ongeautoriseerde geldopnames in. Ongeveer 6,36 miljard dollar verdween, verspreid over tien blockchains. Het merendeel van de buit was binnen twintig minuten gestolen.
Witwassen via DeFi
De FBI ziet dat TraderTraitor de buit vooral omzet naar Ethereum. Vervolgens verwacht de inlichtingendienst dat de aanvallers het witwassen via DeFi-platformen en instant swap-diensten. Samen met de Amerikaanse Secret Service en IRS-CI vraagt de FBI exchanges, node-operators en andere aanbieders om transacties te blokkeren. Om dat te bewerkstelligen, publiceerde de FBI 628 adressen die geblokkeerd moeten worden. Het gaat om 608 adressen voor Ethereum, 19 voor Bitcoin en één voor Solana. Blockchainpartners hebben volgens Binance al zo’n 3 miljard dollar ‘on-chain’ bevroren.
Bekend patroon
Lazarus benadert medewerkers van cryptobedrijven al jaren, bijvoorbeeld door zich via Telegram voor te doen als medewerkers van investeringsfirma’s. Ook nep-vacatures uit de campagne ‘Operation DreamJob’ hebben als doel om slachtoffers malware te laten installeren. Bij Bybit (met een buit van 1,5 miljard dollar, februari 2025) en DMM Bitcoin (308 miljoen dollar, mei 2024) begon de diefstal eveneens bij een gecompromitteerde computer. Dit jaar volgden Drift (280 miljoen) en Bitget (387,5 miljoen). Volgens Chainalysis stalen Noord-Koreaanse hackers in 2025 minstens 2,02 miljard dollar, 51 procent meer dan een jaar eerder.
Binance zelf kondigde op zondag aan dat het de eerste fase van opnames hervat. Inmiddels is ongeveer 95 procent van het getroffen bedrag gedekt. De rest bestaat uit minder liquide tokens die via de markt en OTC-kanalen worden opgekocht. Stortingen bleven onaangetast. “Binance draagt de financiële impact van de gestolen tegoeden. Deze verliezen worden niet doorgeschoven naar gebruikers”, aldus het bedrijf.