Noord-Korea heeft banden met de Binance-hack ontkend, terwijl blockchain-analysebedrijven miljarden dollars aan gestolen middelen volgen die over duizenden wallets en meerdere netwerken bewegen. Pyongyang noemde de Amerikaanse toeschrijving een "ernstige politieke provocatie", terwijl Elliptic en Chainalysis een complexe witwasoperatie beschreven die steeds van de ene blockchain naar de andere verschuift. Onderzoekers volgen de gestolen Binance-middelen, en hun bevindingen draaien om de omvang en de volgorde van die bewegingen.

Witwaspraktijken beslaan 11 blockchains en 12.000 wallets

Elliptic meldde dat hackers in de eerste vier dagen na de aanval ongeveer 12.000 wallets op 11 blockchains gebruikten. Het bedrijf telde meer dan 40.000 transacties, met gemiddeld elke 25 seconden een nieuwe wallet in gebruik, en omschreef de activiteit als uiterst complex en geautomatiseerd.

Een groot deel van de initiële witwaspraktijken vond plaats op Tron, volgens Elliptic. Het netwerk wordt veelvuldig gebruikt voor stablecoin-overdrachten. De middelen werden verspreid over ongeveer 7.700 adressen voordat ze via cross-chain bridges — diensten die activa tussen anders gescheiden netwerken verplaatsen — naar Ethereum gingen; minstens 147 miljoen dollar verliet Tron via die route, aldus het bedrijf.

Hackers wisselden ook gestolen stablecoins om via gedecentraliseerde exchanges — platforms waar gebruikers tokens kunnen verhandelen zonder centrale tussenpersoon — in cryptocurrencies die uitgevers niet kunnen bevriezen, waaronder ether. Tether en Circle, de uitgevers van de USDT- en USDC-stablecoins, kunnen tokens op uitgeversniveau bevriezen, een mogelijkheid die ether niet heeft. Elliptic meldde dat ongeveer 786 miljoen dollar aan stablecoins was omgezet voordat Tether en Circle de resterende activa bevroren. De bewegingen breidden zich later uit naar andere netwerken, waaronder Solana.

Chainalysis meldde dat aan Noord-Korea gelinkte actoren een nieuwe witwASFase waren begonnen nadat zij meer dan 500 miljoen dollar hadden verplaatst via tussenliggende wallets op Tron. Apart daarvan identificeerde Elliptic de eerste tekenen van bitcoin-mixing, een techniek die is ontworpen om transacties moeilijher traceerbaar te maken.

Bevroren middelen, omzettingen en een langzamer tempo dan bij Bybit

Begin maandag waren ongeveer 28 bitcoin, ter waarde van 2,2 miljoen dollar, via 18 mixing-transacties gegaan, aldus Elliptic. Het bedrijf meldde dat ongeveer 2,85 miljard dollar — 44% van de 6,43 miljard dollar waarvan het zegt dat deze is gestolen — was bevroren of in beslag genomen, terwijl ongeveer 3,24 miljard dollar achterbleef op adressen die met de diefstal in verband worden gebracht, vooral in bitcoin en ether.

Slechts een verwaarloosbaar bedrag leek te zijn geïncasseerd. Het grootste deel van de activiteit bestond uit overdrachten of omzettingen tussen cryptocurrencies in plaats van omwisselingen in besteedbare middelen.

Elliptic merkte op dat deze witwaspraktijken langzamer verlopen dan na de hack van Bybit van 1,5 miljard dollar in februari 2025 — destijds de grootste crypto-diefstal ooit geregistreerd — toen Noord-Koreaanse hackers alle gestolen ether binnen 10 dagen verplaatsten. Het bedrijf verwacht dat de resterende middelen geleidelijk in bitcoin worden omgezet en mogelijk in de loop van enkele maanden worden geïncasseerd via over-the-counter brokers — bureaus die grote transacties buiten de publieke orderboeken afwikkelen — en exchanges.

Binance herstelt opnames

Binance meldde dat het na de hack van vorige week de opnames voor extra crypto-activa op meer netwerken geleidelijk zal heropenen. De beurs meldde ook dat zij ongeveer 95% van het getroffen bedrag heeft gedekt, waarbij de resterende 5% bestaat uit minder liquide tokens waarvan de verkrijging langer duurt; Binance meldt dat zij samenwerkt met industrietpartners om die activa te verkrijgen.

Eerdere berichtgeving van BlockTelegraph documenteerde de uitstroom van Binance na de hack en de wallet-machtigingen die bij een ander incident werden gemeld. Een apart rapport volgt gestolen middelen die naar Zcash bewegen. Die artikelen behandelen afzonderlijke berichtgeving en vestigen geen aanvullende feiten over de hier beschreven overdrachten.

De volgende aangekondigde ontwikkeling is de gefaseerde heropening van opnames door Binance, terwijl het bedrijf met industrietpartners samenwerkt om de resterende minder liquide tokens te verkrijgen. De verslagen van de analysebedrijven beschrijven ondertussen middelen die nog steeds bewegen via gelinkte adressen, omzettingen en mixing-transacties.