Het FBI schrijft officieel de recorddiefstal van cryptovaluta bij platform Binance toe aan door de Noord-Koreaanse staat gesteunde hackers. De dienst vraagt de cryptovaluta-industrie om te helpen voorkomen dat de gestolen fondsen worden witgewassen.
- Het FBI schrijft de recorddiefstal bij Binance officieel toe aan Noord-Koreaanse hackers.
- De aanval kostte ruim 6,3 miljard dollar en duurde minder dan 20 minuten.
- Binance zegt dat de aanval complexer was dan een gecompromitteerde laptop en heeft ongeveer 95% van de verliezen vervangen.
- Blockchainanalisten wijzen op geautomatiseerd witwassen, dat mogelijk maanden kan duren.
De aanval vond plaats op 29 oktober. De hackers hebben hot wallets van Binance, digitale portemonnees die met internet verbonden zijn, op verschillende blockchains leeggehaald en het grootste deel van de fondsen in iets minder dan 20 minuten overgemaakt. Binance schat de impact op ongeveer 6,3 miljard dollar, wat het de grootste geregistreerde cryptodiefstal ooit zou maken.
In de uren daarna hebben de blockchain-analysebedrijven TRM Labs en Chainalysis de aanval gelinkt aan de Noord-Koreaanse groep TraderTraitor. Binance had aanvankelijk aangegeven dat de inbraak mogelijk begon met de gecompromitteerde laptop van een DevOps-engineer, en had toegezegd alle verliezen te dekken.
Een formalisering van de toeschrijving door het FBI
Het FBI publiceerde zijn waarschuwing op 31 oktober, twee dagen na de diefstal. « Het FBI heeft, samen met partners van de USSS en de IRS-CI, waargenomen dat actoren van TraderTraitor de gestolen activa voornamelijk omzetten in Ethereum (ETH). Er wordt verwacht dat deze activa vervolgens worden witgewassen door ze via DeFi-diensten en instant exchanges om te wisselen, als voorbereiding op volgende stappen in het witwassen », aldus de dienst.
De waarschuwing somt 608 Ethereum-adressen, 19 Bitcoin-adressen en één Solana-adres op die momenteel de buit van de diefstal bevatten, of hebben bevat. Samen met de Secret Service en de IRS-CI vraagt het FBI aan operators van THORChain-nodes en RPC-nodes, instant exchanges, DeFi-diensten en blockchain-analysebedrijven om transacties gelinkt aan deze adressen te weigeren. De dienst had eerder al dezelfde groep de diefstal van 1,5 miljard dollar bij Bybit in februari 2025 toegeschreven.
Binance spreekt over een bredere aanval dan één enkele computer
Binance heeft sindsdien haar eerste bevindingen verduidelijkt. In een verklaring stelt mede-CEO Richard Teng: « Ons eerste onderzoek suggereerde dat het beveiligingsincident mogelijk een gecompromitteerde laptop betrof, maar ons vervolgonderzoek heeft aanvullende compromitteringspunten aan het licht gebracht. » Hij beschrijft een complexe aanval, die « niet door één enkele persoon is uitgevoerd », en geeft aan dat de aanvaller een delegatiefunctie van Ethereum, de EIP-7702, heeft gebruikt, die « niet door onze gebruikelijke goedkeuringscontroles is gegaan ». Binance heeft deze aanvullende compromitteringspunten nog niet gedetailleerd en belooft een technische post-mortemanalyse zodra de feiten zijn geverifieerd. Volgens Richard Teng heeft de aanvaller ook een zelfvernietigingsmechanisme ingezet dat zijn tools en sporen heeft gewist, wat het onderzoek bemoeilijkt. De opnames zijn vanaf 1 november gefaseerd hervat, te beginnen met het Bitcoin-netwerk. Zondag rond het midden van de ochtend gaf de exchange aan ongeveer 4,6 miljard dollar aan opnames en 1 miljard dollar aan stortingen te hebben verwerkt. Het beweert ongeveer 95% van het gestolen bedrag met eigen fondsen te hebben vervangen en koopt de resterende, minder liquide tokens op de markt en over-the-counter.
Een witwasoperatie die geautomatiseerd lijkt
Het bedrijf Elliptic schat de diefstal op 6,43 miljard dollar verdeeld over 11 blockchains, waarvan 2,85 miljard dollar op de keten zijn bevroren of in beslag genomen. Volgens haar laatste gegevens controleert de aanvaller nog steeds ongeveer 3,25 miljard dollar aan activa die geen uitgever kan bevriezen, verdeeld over meer dan 800 adressen, waaronder ongeveer 584.000 ETH, 18.327 BTC en 233 miljoen XRP. Elliptic benadrukt dat het witwassen « niet slaapt », in tegenstelling tot de menselijke werkschema’s die werden waargenomen bij de diefstal bij Bybit.
De belangrijkste portemonnee die de fondsen op Tron verdeelde, bleef meer dan een dag lang elk uur uitbetalingen doen. Toen een cross-chain bridge stortingen weigerde, leidde het systeem het geld via nieuw aangemaakte portemonnees naar dezelfde bestemming. Eind oktober was ongeveer 196 miljoen dollar van deze portemonnee naar een veertigtal… naar ongeveer 200 andere portemonnees overgemaakt, waarbij THORChain de belangrijkste uitweg vormde, tot een bedrag van ongeveer 31 miljoen dollar. Elliptic kan niet vaststellen of de automatisering berust op AI-agenten of op klassieke scripts, en verwacht een witwasoperatie die zich over meerdere maanden uitstrekt, zoals na de diefstal bij Bybit. Chainalysis merkt voor haar part witwaspatronen op die wijzen op automatisering, waaronder duizenden transacties in korte tijd en veel recente adressen waarvan de eerste overschrijving precies 1 TRX bedroeg.
