Noord-Koreaanse hackers verplaatsen de circa $6,4 miljard die uit Binance is gestolen in een ongekend tempo, waarbij ongeveer elke 25 seconden een nieuwe cryptocurrency-wallet wordt aangemaakt. Dat blijkt uit het onderzoek dat blockchain-analysebedrijf Elliptic maandag publiceerde naar de witwasoperatie.

In minder dan vier dagen heeft de aanvaller de fondsen verdeeld over ongeveer 12.000 wallets op 11 blockchains, met in totaal meer dan 40.000 transacties. Elliptic omschreef de operatie als sterk geautomatiseerd, maar zei geen aanwijzingen te hebben gevonden voor het gebruik van kunstmatige intelligentie.

Uitgevers van stablecoins gingen echter sneller dan de dieven de gelden konden verspreiden. Ongeveer $2,85 miljard, of 44% van de buit, is bevroren of in beslag genomen — een scherp contrast met de circa 3% die werd bevroren na Noord-Korea's hack van $1,5 miljard bij Bybit in februari 2025, tot dan toe de grootste crypto-diefstal ooit. De inbraak bij Binance is meer dan vier keer zo groot.

Snelheid bleek cruciaal, omdat stablecoins $3,46 miljard, of 54%, van de gestolen fondsen uitmaakten en hun uitgevers de mogelijkheid behouden om ze te bevriezen. Tether sloot de gestolen USDT op Ethereum 37 minuten nadat deze in de wallet van de aanvaller was aangekomen, terwijl Circle alle $823 miljoen aan gestolen USDC bevroor voordat ook maar iets ervan kon worden omgezet, zo concludeerde Elliptic.

Voordat die bevriezingen ingingen, wisselde de hacker 434 miljoen USDT om naar ETH op gedecentraliseerde exchanges zoals Uniswap, leende 19.762 ETH op het leningprotocol Aave tegen nog eens 59,9 miljoen USDT, en ruilden 234 miljoen USDT voor de TRX-token van Tron. In totaal ontsnapten ongeveer $786 miljoen aan stablecoins aan het ingrijpen van de uitgevers.

De inbraak begon donderdag laat, toen aanvallers begonnen met het ledigen van de hot wallets van Binance — wallets die met het internet zijn verbonden en die exchanges gebruiken om klantopnames te verwerken, waardoor ze de meest kwetsbare laag van het bewaardelijkssysteem van een exchange vormen. De FBI heeft de diefstal sindsdien toegeschreven aan TraderTraitor, een Noord-Koreaanse hackergroep met banden met de staat die Amerikaanse autoriteiten eerder ook verbonden aan andere grote crypto-diefstallen, en publiceerde honderden gelinkte adressen. Binance, dat heeft toegezegd alle klantverliezen te dekken, heropende de opnames op zondag en registreerde circa $3,64 miljard aan netto uitstromen in de eerste negen-en-een-half uur.

De witwasoperatie die volgde was niet te stoppen. Tron werd het belangrijkste kanaal, met een piek van ongeveer 1.300 transacties in één uur. Dat tempo voedde speculatie dat AI-agents de verplaatsingen orkestreerden, maar Elliptic verwierp die interpretatie en wees op vaste timing, vaste bedragen, blinde herhalingen en pauzes die lijken op menselijke werkuren. Hoewel de witwasoperatie duidelijk geautomatiseerd is, schreef het bedrijf, "hebben we niets gezien dat duidt op een AI-agent die beslissingen neemt."

Aanzienlijke bedragen zijn nog onaangeroerd. Ongeveer $3,24 miljard ligt op adressen die met de diefstal in verband worden gebracht, voornamelijk in ETH en de 18.270 gestolen Bitcoin, die sinds de dag van de aanval niet zijn verplaatst. Elliptic gaat ervan uit dat die fondsen zeer waarschijnlijk nog in handen zijn van Noord-Korea — VN-onderzoekers hebben eerder gemeld dat Noord-Koreaanse crypto-diefstallen bijdragen aan de financiering van het wprogramma van het land — terwijl het geld dat al door het witwascircuit beweegt mogelijk is overgedragen aan Chinese witwasnetwerken. Slechts een verwaarloosbaar bedrag lijkt te zijn uitgecasht. Ook is circa $16 miljoen gestroomd naar adressen met opbrengsten van de Bitget-exploit van september.

Op basis van het patroon dat werd waargenomen na de Bybit-hack verwacht Elliptic dat de aanvaller zijn ETH in kleine porties voor Bitcoin zal omwisselen en in de loop van enkele maanden zal uitcashen via over-the-counter brokers. Verdere bevriezingen zullen lastiger te realiseren zijn, aldus het bedrijf, omdat ETH en Bitcoin niet bevroren kunnen worden. De beste resterende kansen liggen bij gecentraliseerde diensten, waar de fondsen uiteindelijk aan het licht moeten komen — en waar de honderden gepubliceerde adressen van de FBI compliance-teams een concreet screeningsinstrument geven.

De diefstal bij Binance bekroont een zware periode voor de security van de cryptosector. BTCPay Server riep handelaars maandag op hun servers uit te schakelen na meldingen van aanvallen op hot wallets, en de Braziliaanse exchange Mercado Bitcoin staakte de opnames na een hack van $40 miljoen. Het is onduidelijk of een van deze incidenten verbonden is aan de aanval op Binance.