Badacze bezpieczeństwa blockchain i śledczy onchain powiązali hack giełdy kryptowalut Binance o wartości 6,3 miliarda dolarów z grupą TraderTraitor, związaną z Koreą Północną. Jeśli szacunki się potwierdzą, będzie to największa pojedyncza kradzież w historii kryptowalut, przyćmiewająca wcześniejsze incydenty przypisywane tej grupie, w tym hack DMM Bitcoin o wartości ponad 300 milionów dolarów.

TRM Labs przypisało atak grupie TraderTraitor z „wysoką pewnością”, powołując się zarówno na dane onchain, jak i offchain, zgodnie z jej analizą.

Śledczy onchain ZachXBT powiedział, że środki skradzione z Binance i z wcześniejszego ataku na Bitget zostały zmieszane pod tym samym adresem po przejściu przez THORChain, protokół międzyłańcuchowy umożliwiający użytkownikom wymianę aktywów między blockchainami. „To wskazuje, że za oboma incydentami prawdopodobnie stoi ten sam sprawca”, powiedział, dodając, że atak na Bitget został już przypisany grupie TraderTraitor.

Jonathan Levin, współzałożyciel i dyrektor generalny Chainalysis, również wskazał na północnokoreańską grupę, stwierdzając, że ukradła ona 6,4 miliarda dolarów — nieco więcej niż szacowane straty Binance wynoszące 6,3 miliarda dolarów. „Oceniamy, że hack Binance na 6,4 mld USD został prawdopodobnie przeprowadzony przez północnokoreańską grupę TraderTraitor ze względu na powiązania z wcześniejszym hackiem”, powiedział.

Atrybucja następuje po wcześniejszej ocenie Ido Ben-Natana, dyrektora generalnego firmy bezpieczeństwa Blockaid, który poinformował Cointelegraph, że wyrafinowanie ataku i przygotowania onchain przypominały działalność Korei Północnej.

Amerykańskie władze wcześniej łączyły TraderTraitor — nazwę, którą amerykańskie agencje używają dla klastra północnokoreańskiej działalności ukierunkowanej na kradzież kryptowalut — z niektórymi z największych kradzieży w kryptowalutach, w tym hakiem Bybit w lutym 2025 roku. FBI dołączyło również do amerykańskich i japońskich śledczych, przypisując kradzież ponad 300 milionów dolarów z DMM Bitcoin w maju 2024 roku północnokoreańskim aktorom.

Według FBI TraderTraitor celuje w pracowników firm za pomocą inżynierii społecznej. W sprawie DMM atakujący, podający się za rekrutera, wysłał złośliwy test programistyczny pracownikowi dostawcy portfeli Ginco. Śledczy stwierdzili, że uzyskany dostęp został prawdopodobnie wykorzystany do manipulacji legalnym żądaniem transakcji, przekierowując środki do portfeli kontrolowanych przez atakującego.

Sposób przemieszczania skradzionych środków — oraz to, czy agencje powtórzą rodzaj publicznej reakcji widzianej po Bybit, gdy FBI wzywało firmy kryptowalutowe do blokowania prania skradzionych środków — pozostaje jednym z otwartych pytań po atrybucji. Zmieszanie skradzionych środków z Binance i Bitget pod jednym adresem daje analitykom wspólny ślad onchain do śledzenia.

Powiązane: CEO Bitget podejrzewa Koreę Północną o hack o wartości 352 mln dolarów, wskazując na ślady IP