De Federal Bureau of Investigation heeft bevestigd dat Noord-Korea achter de diefstal van meer dan $6 miljard bij Binance zit. In de aankondiging van 31 oktober schreef het bureau de aanval toe aan activiteit die het volgt als TraderTraitor, waarmee de vraag naar de verantwoordelijkheid van Noord-Korea, die boven deze zaak hing, is beantwoord.

Waarom het verzoek naar de infrastructuur gaat

De FBI, de Secret Service en IRS Criminal Investigation hebben THORNode-operators, RPC-operators, instant exchanges, DeFi-diensten, analysebedrijven en andere virtual-asset providers gevraagd transacties te blokkeren die aan de gepubliceerde adressen zijn gekoppeld. Volgens de instanties worden de gestolen activa vooral omgezet in ETH, en wordt verdere witwaspraktijk via DeFi- en instant-swap-diensten verwacht.

Die omzetting verklaart waarom het verzoek zoveel soorten diensten bereikt. Uitgevers van stablecoins kunnen hun eigen tokens bevriezen, en een deel van de buit werd op die manier binnen enkele uren bevroren. ETH heeft geen uitgever die kan worden aangeschreven. Zodra de aanvaller waarde in ETH heeft omgezet, hangt het stoppen ervan af van de diensten waarnaast de fondsen vervolgens passeren.

De adressenlijst is het startpunt. De FBI omschrijft de vermelde wallets als wallets die gestolen activa aanhouden of eerder hebben aangehouden en als worden beheerd door TraderTraitor-actoren of nauw aan hen verbonden. Sommige zijn mogelijk al leeg. Elke provider moet nog uitzoeken wat, zo al iets, binnen de eigen rol kan worden gedaan.

Vijf betekenissen van “blokkeren”

Interventie loopt van de zwakste vorm van actie naar de sterkste, en alleen de laatste sport brengt geld terug:

1. Traceren. Analysebedrijven brengen in kaart waar fondsen heen bewegen en waarschuwen anderen — informatie, geen controle.
2. Een verbinding weigeren. Een RPC-provider of app-interface weigert verzoeken van gemarkeerde adressen op de eigen dienst.
3. Een protocol stilleggen. Een netwerk zoals THORChain kan de handel of een hele chain pauzeren, waardoor de transacties van iedereen worden gestopt, niet alleen die van de aanvaller.
4. Bevriezen in bewaring. Een exchange of custodian die de activa aanhoudt, ontzegt er toegang toe.
5. Fondsen terugstorten. Geïdentificeerde activa worden daadwerkelijk teruggestort.

Elke sport vereist ander bewijs. Een geweigerde verbinding toont dat één dienst nee heeft gezegd. Een stillegging toont dat activiteit voor enige tijd is gepauzeerd. Een bevriezing in bewaring toont dat activa worden aangehouden, in afwachting van een juridisch proces. Alleen een terugbetaling toont herstel. De providers die in het verzoek worden genoemd, zitten op verschillende sporten: analysebedrijven traceren, RPC-operators en app-interfaces weigeren, protocoloperators kunnen stilleggen en custodians bevriezen.

Een verbinding weigeren

Toepassingen bereiken Ethereum via nodes, vaak beheerd door RPC-providers, om gegevens te lezen of transacties te versturen, zoals de JSON-RPC-documentatie van Ethereum uitlegt. Een provider kan verzoeken die via zijn dienst lopen weigeren, maar de regels van het netwerk veranderen daardoor niet. Broadcasting, block-inclusie en finaliteit zijn aparte stappen, en een transactie die door één provider wordt geweigerd, kan nog steeds via een andere worden verstuurd. Hetzelfde geldt voor een website die zijn interface beperkt terwijl het onderliggende protocol gewoon blijft draaien.

Een protocol stilleggen: het standpunt van THORChain

De FBI noemde THORNode-operators rechtstreeks — de operators die het THORChain-netwerk draaien — waardoor het ontwerp van THORChain onder de loep komt. In een bericht van 1 oktober, gepubliceerd vóór de Binance-diefstal, stelde het project dat zijn protocol een chain of het hele netwerk uit veiligheidsoverwegingen kan pauzeren, maar geen enkele controle heeft om één enkele swap te verwijderen. Het kwartaalrapport van 23 oktober herhaalde dat standpunt.

De ontwikkelaarsdocumentatie van het project beschrijft verschillende soorten pauzes, van het stoppen van de handel tot het stoppen van outbound signing tot het stilleggen van een chain. Elk daarvan zou elke gebruiker van die route raken, niet alleen de aanvaller.

Een ongeluk heeft al laten zien hoe een ongeplande onderbreking eruitziet. Op 31 oktober meldde Chainalysis dat een Ethereum-blockreorganisatie ertoe leidde dat THORChain een dubbele terugbetaling uitvoerde aan iemand die 10 ETH had gestort, waarmee het witwassen van fondsen die bij Binance waren gestolen onbedoeld werd vertraagd. Dat was een operationele fout, geen opzettelijke beperking — en vertraagde fondsen zijn geen herstelde fondsen.

THORChain just inadvertently delayed the laundering of a significant amount of funds stolen from Binance. The reason? An Ethereum reorg. One happened this morning and caused THORChain to incorrectly issue a double refund to someone who had deposited 10 ETH. This triggered an “emergency pause” on THORChain, preventing all users, including DPRK’s money launderers, from using cross-chain swaps. Until the service comes back online, neither the hackers nor anyone else can swap through a majority of THORChain’s bridges.

— Chainalysis (@chainalysis) October 31, 2026 — geplaatst op X

Bevriezen in bewaring

Het sterkste controlepunt is een bedrijf dat de activa daadwerkelijk aanhoudt. ETH heeft geen uitgeversblacklist, maar een exchange of custodian die gestolen ETH voor een klant aanhoudt, kan die account vergrendelen. Waar sancties van toepassing zijn, vereist de OFAC-richtlijn dat een Amerikaans persoon die geblokkeerde virtuele valuta aanhoudt, de toegang ontzegt en voldoet aan regels voor het aanhouden en rapporteren. De waarschuwing van de FBI is een verzoek, geen sanctieaanwijzing of gerechtelijk bevel, dus elke houder heeft nog steeds een eigen juridische basis nodig om op te treden.

Wat als vooruitgang zou tellen

Updates die het waard zijn om serieus te nemen, noemen de provider, de genomen actie, de getroffen activa en het moment waarop het gebeurde. Een bevestigde beperking toont dat het pad van de aanvaller smaller wordt. Een bevriezing in bewaring toont dat activa worden aangehouden. Alleen een gedocumenteerde terugbetaling toont dat geld terugkeert — en dat is het cijfer dat uiteindelijk zal uitdrukken hoeveel van de $6 miljard de reactie daadwerkelijk heeft gered.

Dit artikel wordt uitsluitend ter informatie verstrekt en vormt geen financieel of beleggingsadvies.