Chainalysis en TRM Labs koppelen Binance-hack van 6,3 miljard dollar aan TraderTraitor uit Noord-Korea
Blockchainanalysebedrijven Chainalysis en TRM Labs hebben de hack van 6,3 miljard dollar bij Binance toegeschreven aan de Noord-Koreaanse hackersgroep TraderTraitor. Binance heeft meer dan 6,34 miljard dollar gereserveerd om het incident te dekken, en stablecoin-uitgevers hebben miljarden aan gestolen fondsen bevroren.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Berichtgeving: Bitcoin Magazine – dit verhaal is tot nu toe gebaseerd op één bron.
Toeschrijving en omvang
Chainalysis en TRM Labs hebben beide de Binance-hack toegeschreven aan TraderTraitor, een Noord-Koreaanse hackersgroep. TRM Labs zei de toeschrijving "met grote zekerheid" te hebben vastgesteld op basis van "robuuste on- en offchain-inlichtingen", en schatte de diefstal op ongeveer 6,36 miljard dollar. Chainalysis becijferde het totaal op ongeveer 6,4 miljard dollar. Beide bedrijven omschrijven het als de grootste cryptodiefstal ooit, ongeveer vier keer de 1,5 miljard dollar van de Bybit-hack van februari 2025, die de FBI aan dezelfde groep toeschreef.
Chainalysis zei dat het sterkste bewijs kwam toen onderzoekers zagen dat uit Binance gestolen fondsen in real time vermengd raakten met opbrengsten van de Bitget-exploit van vorige maand, die eveneens aan Noord-Koreaanse actoren was gekoppeld. Het in Singapore gevestigde Pangolin Intelligence vertelde CNN dat het tot een vergelijkbare conclusie kwam. Noord-Korea heeft eerdere beschuldigingen van hacks ontkend.
Hoe de aanval verliep
Volgens TRM Labs verlieten fondsen Binance-wallets op 10 blockchains, de meeste binnen ongeveer 20 minuten, vanaf 16.05 uur Eastern Time op donderdag. Chainalysis zei dat de operationele wallet van de aanvaller werd gefinancierd via de Tornado Cash-mixer, en TRM zei dat dit kenmerk en de voorbereiding, die ruim vóór de diefstal begon, overeenkwamen met eerdere door Noord-Korea gekoppelde aanvallen, waaronder de Bybit-hack en de KelpDAO-exploit van april.
Op Ethereum zei TRM dat de aanvaller een EIP-7702-delegatie gebruikte, een functie die met de Pectra-upgrade is geïntroduceerd en een gewone wallet laat draaien als smart contract-code, om een Binance hot wallet om te vormen tot een sweeper die de aanvaller controleerde. Hij bereidde vooraf 50 vooraf ondertekende autorisaties voor. Wallets op de andere negen chains stuurden fondsen via gewone ondertekende transfers. TRM concludeerde dat dit wijst op een compromittering van de infrastructuur voor het ondertekenen van de hot wallet van Binance.
Binance zei dat het onderzoek begon met de laptop van een gecompromitteerde engineer, maar dat er sindsdien "aanvullende inbreukpunten" aan het licht zijn gekomen. Eerdere berichtgeving meldde dat de beurs geen bewijs had gevonden van een lek van privésleutels; die verklaring moet nu worden gelezen naast de nieuwere bevinding.
Witwassen en stablecoin-bevriezingen
Chainalysis zei "nooit eerder geziene witwaspatronen" waar te nemen, met duizenden transacties in korte tijd, wat wijst op automatisering om fondsen tussen adressen rond te sluizen. TRM zei dat de aanvaller USDT had verkocht aan market makers en ETH had geleend met USDT via het Aave-leenprotocol, om bevriezingen door uitgevers voor te blijven. TRM schat dat de aanvaller nu meer dan 420.000 ETH en 18.270 BTC bezit, ongeveer 2 miljard dollar.
Stablecoin-uitgevers zijn overgegaan tot indamming. Tether-CEO Paolo Ardoino zei dat het bedrijf meer dan 1,567 miljard dollar aan USDT had bevroren. Circle-CEO Jeremy Allaire zei dat Circle in samenwerking met de wetshandhaving meer dan 800 miljoen dollar aan USDC had bevroren. First Digital-CEO Vincent Chok zei dat gestolen FDUSD is bevroren. Binance zegt dat in totaal ongeveer 3 miljard dollar onchain is bevroren.
Binance zegt meer dan 6,34 miljard dollar aan bedrijfsmiddelen te hebben gereserveerd om het incident te dekken. Ongeveer 5 miljard dollar van die reserve bestaat uit de getroffen tokens, en het resterende deel wordt aangekocht via markt- en OTC-kanalen. Bevroren en beschermde activa blijven onderhevig aan verificatie, en de beurs is van plan een bijgewerkte Proof of Reserves te publiceren.
Marktreactie
Bitcoin zakte vrijdagochtend richting 76.000 dollar en noteerde daarna rond 77.400 dollar. De totale liquidaties in de markt bedroegen 1,5 miljard dollar, waarvan 468 miljoen dollar bitcoin en 358 miljoen dollar ether. Long-posities droegen het grootste deel van de verliezen. De koersdaling viel samen met een afzonderlijk incident bij het gedecentraliseerde wedplatform Polymarket, dat de internationale handel opschortte nadat hackers meer dan 2,6 miljoen dollar uit gebruikersaccounts hadden weggesluisd.
Geoffrey Kendrick van Standard Chartered vertelde CoinDesk dat de negatieve koersontwikkeling mogelijk nog verder kan gaan, en dat er een nieuwe bodem zal ontstaan zodra activa zijn ontdooid en meer details naar buiten komen. Hij betoogde dat het incident een verschuiving naar gedecentraliseerde beurzen zou kunnen versnellen.
Wetshandhaving en waarschuwingen
Reuters meldde, op basis van een persoon die op de hoogte is van de zaak, dat Binance samenwerkt met de FBI en de U.S. Secret Service. Oud-CEO Changpeng Zhao, die nog steeds een belangrijke aandeelhouder is, schreef op X: "Het lijkt inderdaad een hack."
Chainalysis heeft gewaarschuwd dat oplichters zich voordoen als het bedrijf, onder meer door fondsherstel- en wervingsdiensten aan te bieden. Slachtoffers moeten ongevraagde herstelaanbiedingen met voorzichtigheid behandelen en voor updates vertrouwen op officiële kanalen.
Waarom het ertoe doet
Voor traders
Doorlopende liquidaties en de ongeveer 2 miljard dollar aan niet-gewitwasten bezit van de aanvaller maken de koersontwikkeling op korte termijn kwetsbaar totdat bevriezingen en activaverificatie vorderen.
Voor beleggers
De toeschrijving aan een door een staat gelinkte groep en een verlies van ongeveer vier keer dat van Bybit roepen vragen op over bewaring door beurzen, reserves en blootstelling aan sancties.
Voor bouwers
Het misbruik van EIP-7702-delegatie en vooraf ondertekende autorisaties laat zien dat de infrastructuur voor het ondertekenen van hot wallets en smart-accountfuncties strengere toetsing van machtigingen nodig hebben.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
