Het Amerikaanse ministerie van Justitie (DOJ) heeft gerechtelijke toestemming verkregen om meer dan $1,2 miljard aan cryptocurrency die door Noord-Koreaanse militaire hackers van Binance is gestolen in beslag te nemen of te bevriezen. De handhavingsmaatregel, op 12 november aangekondigd, richt zich op fondsen die verband houden met wat officials een cyberaanval van $6,3 miljard noemen, en maakt deel uit van een bredere strategie om de cryptocurrency-diefstaloperaties van het regime te verstoren (aankondiging ministerie van Justitie).

Sinds de aanval op 29 oktober heeft de Amerikaanse regering, samen met partners, meer dan $2,7 miljard van de gestolen cryptocurrency bevroren. Het bedrag dat onder de gerechtelijke order van het DOJ valt, omvat bijna de helft van de bevroren gestolen fondsen, en de onderzoeken om het restant op te sporen lopen nog. De reactie verliep snel: de inbreuk vond plaats op 29 oktober, de FBI publiceerde zijn toeschrijvingswaarschuwing op 31 oktober, en de door de rechtbank goedgekeurde actie volgde op 12 november. De FBI heeft de aanval toegeschreven aan TraderTraitor (cyberwaarschuwing FBI).

De actie van 12 november richt zich ook op een tweede schema met Noord-Koreaanse banden, FaceStealer, dat in 18 maanden tijd meer dan $400 miljoen aan cryptocurrency heeft gestolen via vooraf opgenomen video's en deepfake-technologie.

Ministerie van Justitie Richt Zich op Noord-Koreaanse Cryptodiefstal

Het DOJ stelt dat de DPRK cryptodiefstal gebruikt als middel om geld te genereren voor de financiering van de staat en illegale bewapening. Bij de laatste reeks maatregelen waren meerdere instanties betrokken, waaronder de National Security Division, de Criminal Division, de FBI, de U.S. Secret Service en IRS Criminal Investigation.

Het Amerikaanse ministerie van Justitie nam infrastructuur in beslag die verbonden was met het Noord-Koreaanse cryptodiefstalschema FaceStealer ter waarde van $400 miljoen en bevroor meer dan $1,2 miljard aan cryptocurrency gestolen van Binance. #Crypto #Binance — Lego (@Doctor_Stefan) November 12, 2026

Bron: X-post

De betrokkenheid van aanbieders van diensten rond virtuele activa maakte het voor de autoriteiten mogelijk om miljarden dollars te bevriezen voordat het geld hun jurisdictie verliet. Voor de crypto-industrie laat dat detail zien hoe handhavingsuitkomsten kunnen afhangen van de samenwerking met dienstverleners: fondsen die bij een exchange of custodialplatform worden aangehouden, kunnen worden geïmmobiliseerd voordat ze worden verspreid. Assistant Attorney General A. Tysen Duva legde uit dat de Criminal Division en haar collega's snel handelden om ongeveer de helft van de enorme Binance-hack te stoppen.

De rechtbank gelastte de regering om meer dan $1,2 miljard van de $2,7 miljard die was bevroren in beslag te nemen of te bevriezen. Dit onderscheid is belangrijk: het bevriezen van cryptocurrency betekent het voorkomen van geldstromen, terwijl het 'restrain' betekent dat het recht wordt verkregen om de fondsen in beslag te nemen.

TraderTraitor Verplaatst Gestolen Binance-activa Via Cryptonetwerken

De FBI verklaarde dat militairen van de Democratische Volksrepubliek Korea achter de aanval op Binance op 29 oktober zaten en het pseudoniem "TraderTraitor" gebruikten. In een cyberwaarschuwing van 31 oktober meldde de FBI dat de aanvallers de activa overbrachten naar rekeningen waar de gestolen fondsen werden omgezet in Ether (ETH).

De FBI zei dat de aanvallers gedecentraliseerde financiële (DeFi)-applicaties en directe wisseldiensten zouden gebruiken om de cryptocurrencies om te zetten in andere vormen van geld. Dat zou het voor onderzoekers moeilijker maken om transacties te traceren, omdat het geld door meerdere blockchainnetwerken en digitale activa beweegt.

De FBI heeft cryptocurrency-beursaanbieders, DeFi-diensten, blockchain-inlichtingenbedrijven en infrastructuur aanbieders opgeroepen alle transacties te blokkeren die verband houden met de walletadressen die het voor de witwasoperatie heeft vrijgegeven.

Het onderzoek loopt nog steeds, aangezien Noord-Koreaanse hackers blijven proberen de gestolen fondsen te verplaatsen via crypto-bridges, mixers en exchanges.

FaceStealer Gebruikt Deepfakes om Meer Dan $400 Miljoen te Stelen

Naast de maatregel rond Binance kondigde het ministerie van Justitie de inbeslagname aan van cloudinfrastructuur die werd gebruikt in de FaceStealer-campagne. Volgens de FBI toonde het onderzoek aan dat de daders mensen betrokken bij cryptocurrency, Web3 en de ontwikkeling van open-sourcesoftware hebben gecompromitteerd en in 18 maanden tijd meer dan $400 miljoen aan cryptocurrency hebben gestolen.

De videogesprekken werden geregeld met gecompromitteerde accounts. De hackers toonden tijdens de gesprekken vooraf opgenomen beelden van mensen die de slachtoffers kenden, en gebruikten bovendien met kunstmatige intelligentie gegenereerde video's om invloedrijke figuren in de crypto- en Web3-wereld te imiteren.

Tijdens de videogesprekken verzonnen de aanvallers valse technische problemen — zoals het niet kunnen horen van het slachtoffer — en gaven vervolgens links of aanwijzingen voor oplossingen, wat leidde tot de installatie van malware op de apparaten van de slachtoffers die toegang gaf tot cryptocurrency en andere informatie.

De aanvallers wachtten maanden of zelfs jaren na de eerste infectie van een computer voordat zij overgingen tot diefstal of het overnemen van communicatieaccounts. Ze gebruikten de gecompromitteerde computers ook om toegang te krijgen tot de contacten, socialemedia-accounts en berichten van slachtoffers om meer doelen te identificeren.

FBI-agenten namen meer dan 900 webcamopnames in beslag met een bevel van een federale rechtbank, verstoorden de cloudcomputingbronnen die in de campagne werden gebruikt en publiceerden een technisch rapport (gezamenlijk cybersecurityadvies) waarin werd uitgelegd hoe de operatie werd uitgevoerd.

DOJ-actie Onderstreept Risico's Voor Crypto- en Softwareontwikkelaars

FaceStealer richtte zich op ontwikkelaars van open-sourcesoftware. De campagne was gericht op het hacken van accounts van mensen die verantwoordelijk zijn voor de ontwikkeling en het onderhoud van software, om zo supply-chain-aanvallen uit te voeren op applicaties van andere organisaties. Bij een supply-chain-aanval is het compromitteren van een vertrouwde ontwikkelaar of dependency van belang, omdat elke downstream-applicatie die op die code leunt, de blootstelling overneemt.

De impact reikt daarom verder dan alleen cryptohouders. Hackers kunnen niet alleen mensen schaden die met cryptocurrencies werken, maar ook softwarebedrijven en hun producten, wat betekent dat bedrijven die met open-sourcesoftware werken risico kunnen lopen, zelfs als ze geen handel drijven in cryptocurrencies.

Patrick Grandy, Assistant Director van het FBI-kantoor in Los Angeles, zei dat de operatie zelfs technische experts kon misleiden door vertrouwde contacten en betrouwbaarde videogesprekstools te misbruiken. Mensen die niet geloofden dat ze door dergelijke aanvallen konden worden misleid, hebben volgens Grandy mogelijk niet alle mogelijke manieren overwogen.

Voor cryptobedrijven onderstrepen de ontwikkelingen het belang van het controleren van uitnodigingen voor vergaderingen, het verifiëren van identiteiten via afzonderlijke communicatiekanalen en het vermijden van onbekende software-installatieprompten. Walletmonitoring en snelle reactie op meldingen van wetshandhavers zijn ook cruciaal geworden voor exchanges en infrastructuuraanbieders.

Volgens het ministerie van Justitie gaan het traceren, bevriezen, in beslag nemen en confisceren van de aan Binance gerelateerde activa door. De onderzoeken naar zowel de TraderTraitor- als de FaceStealer-operaties lopen nog, en de autoriteiten hebben verzoeken gedaan om verdachte-activiteitenrapporten. Waar men voortaan op moet letten, is procedureel: of de bevriezingen leiden tot definitieve confiscatie, en of er extra inbeslagnames volgen naarmate onderzoekers het restant van de gestolen fondsen traceren.