FBI formalnie przypisało 6,3-miliardowy hack Binance grupie TraderTraitor, powiązanej z Koreą Północną, identyfikując setki adresów kryptowalutowych związanych z kradzieżą i wzywając giełdy, protokoły finansów zdecentralizowanych (DeFi) oraz dostawców infrastruktury blockchain do blokowania transakcji z udziałem skradzionych środków. Rozstrzygnięcie przedstawiono w ostrzeżeniu opublikowanym 31 października, dwa dni po tym, jak atakujący przejęli kontrolę nad gorącymi portfelami giełdy i przenieśli miliardy dolarów przez wiele blockchainów.

Około 3 miliardy dolarów dotkniętych aktywów zostało od tego czasu zamrożonych dzięki współpracy z emitentami stablecoinów i partnerami blockchainowymi. Binance w międzyczasie odtworzyło około 95% dotkniętych aktywów, wykorzystując rezerwy korporacyjne i fundusze awaryjne, przygotowując się do wznowienia wypłat dla klientów 1 listopada.

Agencje federalne śledzą pranie skradzionych środków

W swoim komunikacie FBI przypisało kradzież z 29 października grupie TraderTraitor, wcześniej powiązanej z większymi kradzieżami kryptowalut. Ta grupa została po raz pierwszy wymieniona w rządowych ostrzeżeniach USA w 2022 roku, kiedy agencje federalne powiązały ją z kradzieżą około 620 milionów dolarów z mostu Ronin, wówczas największym wykorzystaniem luk w historii branży. Współpracując z Secret Service i IRS Criminal Investigation, federalni śledczy ustalili, że skradzione aktywa są wymieniane głównie na Ethereum, a dalsze pranie oczekiwane jest przez zdecentralizowane giełdy, usługi natychmiastowej wymiany i inną infrastrukturę DeFi. W poprzednich przypadkach związanych z TraderTraitor łańcuchy prania pieniędzy przebiegały przez usługi miksujące — schemat, który skłonił Departament Skarbu USA do nałożenia sankcji na miksery, w tym Blender.io i Tornado Cash, w 2022 roku.

Agencje wezwały platformy handlowe, operatorów THORNode, dostawców RPC i firmy zajmujące się analityką blockchain do blokowania transakcji z udziałem zidentyfikowanych adresów kontrolowanych przez atakujących. FBI opublikowało również obszerną listę adresów kryptowalutowych powiązanych z tą operacją, w tym setki na Ethereum oraz dodatkowe adresy na Bitcoinie i Solanie. Publikowanie w ten sposób list adresów daje giełdom i firmom analitycznym wspólny punkt odniesienia do weryfikacji, przekształcając scentralizowane punkty wejścia i funkcje zamrażania emitentów w praktyczne punkty interwencji.

To przypisanie potwierdza wcześniejsze ustalenia firm analityki blockchain TRM Labs i Chainalysis, które zidentyfikowały wzorce transakcyjne zgodne z operacjami północnokoreańskimi. Amerykańscy urzędnicy i monitorzy sankcji ONZ wcześniej oceniali, że kradzieże kryptowalut stanowią istotne źródło przychodów dla programów zbrojeniowych Korei Północnej. TraderTraitor była również zamieszana w atak na Bybit z lutego 2025 roku, który przyniósł straty około 1,5 miliarda dolarów. Włam do Binance jest ponad cztery razy większy, co czyni go największą kradzieżą kryptowalut w historii według obecnych szacunków.

Prezydent Donald Trump zareagował ostrożnie, gdy został zapytany o powiązanie z Koreą Północną 31 października, mówiąc, że jego administracja nadal ocenia sytuację. „Nie wiemy, czy to Korea Północna, ale jeśli tak, porozmawiamy o tym z Koreą Północną” — powiedział Trump podczas wystąpienia w Mar-a-Lago.

Binance odtwarza 95% aktywów przed wznowieniem wypłat

Binance szybko przystąpiło do odbudowy dotkniętych rezerw, zwiększając pokrycie wymiany z 80% 30 października do 90% następnego dnia i około 95% do 1 listopada. Giełda potwierdziła, że dziesięć głównych aktywów jest teraz w pełni zabezpieczonych: BTC, ETH, USDT, USDC, BNB, SOL, XRP, USD1, RLUSD i ZEC. Pozostałe 5% stanowią głównie mniej płynne tokeny, które Binance nadal nabywa poprzez zakupy rynkowe i transakcje over-the-counter.

Uzupełnienie rezerw opiera się na funduszu Secure Asset Fund for Users (SAFU), funduszu ubezpieczeniowym futures oraz zasobach korporacyjnych Binance. SAFU zostało utworzone w 2018 roku jako rezerwa awaryjna mająca chronić środki klientów w przypadku niedoborów giełdy. Wymiana rezerw jest jednak odrębna od odzyskiwania skradzionych kryptowalut: około 3 miliardy dolarów zamrożonych on-chain niekoniecznie wróciło na giełdę.

Wypłaty mają zostać wznowione stopniowo między 06:00 a 09:00 UTC 1 listopada, począwszy od głównych sieci, w tym Bitcoin, Ethereum, BNB Chain, Solana, Tron i XRP Ledger, zgodnie z ogłoszeniem firmy. Wpłaty pozostawały sprawne przez cały proces przywracania.

Wstępne śledztwo Binance zidentyfikowało potencjalnie skompromitowany laptop pracownika DevOps oraz nieautoryzowany dostęp do wewnętrznej infrastruktury wypłat, choć kolejne ustalenia ujawniły dodatkowe punkty kompromitacji. Giełda oświadczyła, że nie znalazła dowodów na wyciek kluczy prywatnych portfeli. Pełne wyjaśnienie techniczne pozostaje wstrzymane.

Po oficjalnym przypisaniu atakowi przez FBI uwaga przesuwa się na śledzenie i zakłócanie przepływu skradzionych środków. Warto obserwować, czy wypłaty zostaną wznowione zgodnie z harmonogramem 1 listopada, czy któraś z około 3 miliardów dolarów zamrożonych aktywów zostanie odzyskana kanałami prawnymi oraz raport końcowy Binance, który dopiero ma zostać opublikowany. Skala ataku, mimo zobowiązania Binance do pokrycia strat klientów, podkreśla trwałe zagrożenie, jakie operacje hakerskie wspierane przez państwa stanowią dla infrastruktury kryptowalutowej.