Blockchain-beveiligingsonderzoekers en onchain-onderzoekers hebben de hack van $6,3 miljard op cryptovalutabeurs Binance in verband gebracht met TraderTraitor, een cybercriminaliteitsgroep die geassocieerd wordt met Noord-Korea. Als de schatting van het verlies klopt, zou dit de grootste enkele diefstal uit de geschiedenis van crypto zijn, waarmee eerdere incidenten die aan de groep worden toegeschreven — waaronder de hack van DMM Bitcoin van meer dan $300 miljoen — verbleken.

TRM Labs schreef de aanval met "hoge zekerheid" toe aan TraderTraitor, op basis van zowel onchain- als offchain-informatie, volgens het onderzoek.

Onchain-onderzoeker ZachXBT zei dat geld dat van Binance en van de eerdere Bitget-exploit was gestolen, op hetzelfde adres werd samengevoegd nadat het via THORChain was gegaan, een cross-chain-protocol waarmee gebruikers activa tussen blockchains kunnen ruilen. "Dit wijst erop dat waarschijnlijk dezelfde dader achter beide incidenten zit", aldus hij, eraan toevoegend dat de Bitget-aanval al aan TraderTraitor was toegeschreven.

Jonathan Levin, medeoprichter en ceo van Chainalysis, wees ook op de Noord-Koreaanse groep en zei dat deze $6,4 miljard stal — iets meer dan de geschatte impact van $6,3 miljard bij Binance. "Wij achten het waarschijnlijk dat de Binance-hack van $6,4 miljard is uitgevoerd door de DPRK-groep TraderTraitor vanwege links met eerdere hacks", aldus hij.

De toeschrijving volgt op een eerdere beoordeling door Ido Ben-Natan, ceo van beveiligingsbedrijf Blockaid, die aan Cointelegraph vertelde dat de verfijning van de aanval en de onchain-voorbereidingen leken op Noord-Koreaanse activiteit.

Amerikaanse autoriteiten hebben TraderTraitor — de naam die Amerikaanse instanties gebruiken voor een cluster van Noord-Koreaanse activiteit gericht op het stelen van cryptocurrency — eerder in verband gebracht met enkele van de grootste diefstallen in crypto, waaronder de Bybit-hack in februari 2025. De FBI voegde zich bij Amerikaanse en Japanse onderzoekers om de diefstal van meer dan $300 miljoen bij DMM Bitcoin in mei 2024 toe te schrijven aan Noord-Koreaanse actoren.

Volgens de FBI richt TraderTraitor zich via social engineering op werknemers van bedrijven. In het DMM-geval stuurde een aanvaller die zich voordeed als recruiter een kwaadaardige programmeertest naar een werknemer van wallet-aanbieder Ginco. Onderzoekers zeiden dat de verkregen toegang waarschijnlijk werd gebruikt om een legitieme transactieverzoek te manipuleren, waarbij geld naar portemonnees van de aanvaller werd omgeleid.

Hoe het gestolen geld vervolgens wordt verplaatst — en of instanties het soort publieke reactie herhalen dat na Bybit werd gezien, toen de FBI crypto-bedrijven oproept de witwasstromen van gestolen geld te blokkeren — is een van de open vragen na de toeschrijving. Het samenvoegen van geld van Binance en Bitget op één adres geeft analisten een gedeeld onchain-spoor om te volgen.

Verder lezen: Bitget-ceo vermoedt dat Noord-Korea achter $352 miljoen-hack zit, met IP-aanwijzingen