Nordkorea hat die Beschuldigung des FBI zurückgewiesen, seine Hacker hätten mehr als 6 Milliarden Dollar von Binance gestohlen, und den Vorwurf als „an absurd rhetoric and nothing new“ (absurde Rhetorik und nichts Neues) bezeichnet.

Die Äußerung stammte von Kim Yo Jong, der Schwester des Machthabers Kim Jong Un und Direktorin einer Abteilung des Zentralkomitees der Partei der Arbeit Koreas, in einer am 2. November veröffentlichten Presseerklärung, die von der staatlichen Nachrichtenagentur KCNA verbreitet wurde.

Kim Yo Jong nennt die Anschuldigung eine schwere politische Provokation

„The FBI is trying to brand the DPRK as a ‘cyber criminal state’, claiming that it obtained information that a hacking organization ‘supported’ by the DPRK was involved in the incident“, sagte Kim in der Erklärung und beschrieb den Vorwurf als „a grave political provocation against the DPRK“ (eine schwere politische Provokation gegen die DVRK).

Kim verknüpfte die Anschuldigung mit dem Bybit-Hack des Vorjahres, für den Washington, so ihre Aussage, ebenfalls versucht habe, Pjöngjang verantwortlich zu machen. Der Bybit-Diebstahl im Februar 2025, auf rund 1,5 Milliarden Dollar geschätzt, wurde von Analysten und US-Behörden nordkoreanisch verbundenen Hackern zugeschrieben. Sie verwies auf den Plan der USA, beschlagnahmte Kryptowährungen als strategische Reserve zu halten, und argumentierte, ein Blick darauf, wer die gestohlenen Mittel zurückerhält, „may get a clue about who is behind the hacking incident“. Die von ihr erwähnte Reserve geht auf eine Exekutivanordnung vom März 2025 zurück, die die US-Regierung anweist, in Straf- und Zivilverfahren eingezogene Kryptowährungen zu behalten, statt sie zu verkaufen.

Pjöngjang habe angesichts der feindseligen Haltung Washingtons „issues to reconsider in diverse aspects“ (in verschiedenen Hinsichten zu überdenkende Fragen), sagte Kim in der Erklärung. Konkrete Schritte wurden nicht genannt, und auf die Zuschreibung gab es keine technische Widerlegung.

Pjöngjangs Dementi trifft auf TraderTraitor-Beweise von drei Firmen

In einer am 31. Oktober veröffentlichten Warnung erklärte das FBI, Nordkorea sei für den Diebstahl „was responsible“, der am oder um den 29. Oktober stattfand. Das Bureau bezeichnet die Aktivität als „TraderTraitor“ und arbeitet mit dem Secret Service und IRS-CI zusammen; dabei wurde beobachtet, dass die Angreifer die gestohlenen Assets überwiegend in Ether umwandeln. US-Behörden verwenden die Bezeichnung TraderTraitor seit 2022 für Kryptodiebstahl-Kampagnen nordkoreanisch verbundener Akteure.

Das Blockchain-Analyseunternehmen TRM Labs gehörte zu drei Firmen, die den Angriff noch vor dem FBI nordkoreanischen Akteuren zuschrieben. Chainalysis-Mitgründer Jonathan Levin machte auf X dieselbe Zuschreibung.

Der Angreifer nutzte EIP-7702 auf Ethereum, um ein Binance-Hot-Wallet in ein sweeper unter seiner Kontrolle umzuwandeln, und bereitete 50 vorab signierte Autorisierungen vor, sodass eine bei der Ausführung gültig war. EIP-7702, seit Ethereums Pectra-Upgrade im Mai 2025 aktiv, ermöglicht gewöhnlichen Wallets, vorübergehend Smart-Contract-Code auszuführen.

Binance schätzte den Verlust auf etwa 6,3 Milliarden Dollar, während Elliptic ihn als den größten Diebstahl seiner Art bezeichnete und den Verlust auf 6,43 Milliarden Dollar schätzte.

Laut Cryptopolitan hat das FBI zudem THORChain-Knotenbetreiber und andere DeFi-Dienste gebeten, Wallets im Zusammenhang mit den gestohlenen Mitteln zu blockieren. Die Liste umfasst 608 Ethereum-Adressen, 19 Bitcoin-Adressen und eine einzige Solana-Adresse. Da THORChain und ähnliche Protokolle von unabhängigen Knotenbetreibern geführt werden, hängen solche Bitten vom freiwilligen Kooperieren ab, nicht von direkter Kontrolle.

Der Analyst SomaXBT schätzte, dass etwa 242 Millionen Dollar innerhalb von zwei Tagen über Tron bewegt wurden, davon rund 140 Millionen Dollar über Cross-Chain-Dienste wie Relay, THORChain, Chainflip und Symbiosis geleitet.

Microsoft Threat Intelligence berichtete letzte Woche, dass nordkoreanische Gruppen Krypto-Börsen ins Visier nahmen.

Binance hat etwa 3 Milliarden Dollar der gestohlenen Mittel eingefroren. Am 2. November teilte die Börse mit, dass sie etwa 95 % des betroffenen Betrags aus eigenen Mitteln ausgeglichen habe. Der Weg der verbleibenden gestohlenen Mittel durch Cross-Chain-Dienste und ob weitere Einfrierungen oder Blockierungsanfragen folgen, sind die nächsten Details, die zu beobachten sind.