De FBI heeft de $6,3 miljard hack op Binance officieel toegeschreven aan TraderTraitor, een hackoperatie gelinkt aan Noord-Korea, waarbij honderden aan de diefstal gelinkte crypto-adressen zijn geïdentificeerd en exchanges, gedecentraliseerde financiële (DeFi)-protocollen en aanbieders van blockchain-infrastructuur worden opgeroepen transacties met de gestolen fondsen te blokkeren. Het besluit staat in een waarschuwing gepubliceerd op 31 oktober, twee dagen nadat aanvallers de hot wallets van de beurs compromitteerden en miljarden dollars over meerdere blockchains verplaatsten.

Ongeveer $3 miljard aan getroffen activa is inmiddels bevroren dankzij samenwerking met stablecoin-uitgevers en blockchainpartners. Binance heeft inmiddels ongeveer 95% van de getroffen activa hersteld met bedrijfsreserves en noodfondsen, in voorbereiding op het herstarten van klantopnames op 1 november.

Federale instanties volgen witwassing van gestolen fondsen

In de aankondiging schreef de FBI de diefstal van 29 oktober toe aan TraderTraitor, een operatie die eerder al werd gelinkt aan grote crypto-diefstallen. De groep werd voor het eerst genoemd in Amerikaanse overheidsadviezen in 2022, toen federale instanties deze verbonden aan de diefstal van ongeveer $620 miljoen van de Ronin-brug, destijds de grootste exploit in de sector. In samenwerking met de U.S. Secret Service en IRS Criminal Investigation stelden federale onderzoekers vast dat de gestolen activa voornamelijk worden omgezet in Ethereum, waarna verdere witwassing wordt verwacht via gedecentraliseerde exchanges, instant-swapdiensten en andere DeFi-infrastructuur. In eerdere aan TraderTraitor gelinkte zaken liepen witwasroutes via mixingdiensten, een patroon dat het Amerikaanse ministerie van Financiën in 2022 aanzette tot sancties tegen mixers zoals Blender.io en Tornado Cash.

De instanties riepen handelsplatformen, THORNode-operators, RPC-aanbieders en blockchain-analysebedrijven op transacties met geïdentificeerde, door aanvallers gecontroleerde adressen te blokkeren. De FBI publiceerde ook een uitgebreide lijst met crypto-adressen die aan de operatie zijn gekoppeld, waaronder honderden op Ethereum en aanvullende adressen op Bitcoin en Solana. Het op deze manier publiceren van adreslijsten geeft exchanges en analysebedrijven een gemeenschappelijk screeningsreferentiekader, waarbij centrale toegangspunten en blokkeerfuncties van uitgevers praktische afgrendelpunten worden.

De toerekening bevestigt eerdere bevindingen van blockchain-intelligencebedrijven TRM Labs en Chainalysis, die transactiepatronen identificeerden die consistent zijn met Noord-Koreaanse operaties. Amerikaanse functionarissen en VN-sanctiemonteurs hebben eerder geconcludeerd dat crypto-diefstal een belangrijke inkomstenbron vormt voor Noord-Korea's wapenprogramma's. TraderTraitor was ook betrokken bij de aanval op Bybit in februari 2025, die verliezen van ongeveer $1,5 miljard tot gevolg had. De inbreuk bij Binance is meer dan vier keer zo groot, waarmee het op basis van huidige schattingen de grootste crypto-diefstal ooit is.

President Donald Trump reageerde voorzichtig toen hij op 31 oktober werd gevraagd naar de Noord-Koreaanse connectie, en zei dat zijn regering de situatie nog beoordeelde. "We weten niet of het Noord-Korea is, maar als dat zo is, zullen we er met Noord-Korea over praten", aldus Trump tijdens opmerkingen op Mar-a-Lago.

Binance herstelt 95% van de activa voor herstart van opnames

Binance heeft snel gehandeld om de getroffen reserves op te bouwen, waarbij de dekkingsgraad steeg van 80% op 30 oktober naar 90% de volgende dag en ongeveer 95% op 1 november. De beurs bevestigde dat tien grote activa nu volledig gedekt zijn: BTC, ETH, USDT, USDC, BNB, SOL, XRP, USD1, RLUSD en ZEC. De resterende 5% bestaat voornamelijk uit minder liquide tokens, die Binance blijft verwerven via marktaankopen en over-the-counter-transacties.

De aanvulling is afkomstig van Binance' Secure Asset Fund for Users (SAFU), het futures-verzekeringsfonds en de bedrijfsschatkamer. SAFU werd in 2018 opgericht als noodreserve om klantmiddelen te beschermen bij tekorten van de beurs. Het vervangen van reserves is echter iets anders dan het terugvorderen van de gestolen cryptocurrency: de ongeveer $3 miljard die on-chain is bevroren, is niet noodzakelijk teruggekeerd naar de beurs.

Opnames worden volgens een aankondiging van het bedrijf geleidelijk hervat tussen 06:00 en 09:00 UTC op 1 november, te beginnen met grote netwerken zoals Bitcoin, Ethereum, BNB Chain, Solana, Tron en XRP Ledger. Stortingen zijn tijdens het herstelproces operationeel gebleven.

Binance' eerste onderzoek wees op een mogelijk gecompromitteerde laptop van een DevOps-medewerker en ongeautoriseerde toegang tot interne opname-infrastructuur, hoewel latere bevindingen extra compromitteerpunten aan het licht brachten. De beurs zei geen bewijs te hebben gevonden dat privésleutels van wallets zijn gelekt. Een volledige technische uitleg blijft voorlopig uit.

Nu de toerekening door de FBI formeel is, verschuift de aandacht naar het opsporen en verstoren van de geldstromen van de gestolen fondsen. Ontwikkelingen om in de gaten te houden zijn onder meer of opnames op 1 november volgens schema hervatten, of een deel van de ongeveer $3 miljard aan bevroren activa via juridische kanalen wordt teruggevorderd, en de technische evaluatie die Binance nog moet publiceren. De omvang van de aanval, ondanks Binance' toezegging om klantverliezen op te vangen, onderstreept de blijvende dreiging die staat gesponsorde hackoperaties vormen voor crypto-infrastructuur.