Korea Północna odrzuciła oskarżenie FBI, że jej hakerzy ukradli z Binance ponad 6 miliardów dolarów, nazywając ten zarzut „absurdalną retoryką, w której nie ma nic nowego”.

Uwaga ta padła w oświadczeniu prasowym wydanym 2 listopada przez Kim Yo Jong, siostrę przywódcy Kim Jong Una i kierowniczko departamentu Komitetu Centralnego Partii Pracy Korei, i zostało przekazane przez państwową agencję informacyjną KCNA.

Kim Yo Jong nazywa oskarżenie poważną prowokacją polityczną

„FBI próbuje nazwać KRLD »państwem cyberprzestępczym«, twierdząc, że uzyskało informacje, że w incydent była zaangażowana organizacja hakerska »wspierana« przez KRLD” — oświadczyła Kim w komunikacie, opisując zarzut jako „poważną prowokację polityczną wobec KRLD”.

Kim powiązała oskarżenie z ubiegłorocznym hackiem Bybit, za który — jak powiedziała — Waszyngton również próbował obciążyć Pjongjang. Kradzież z Bybit z lutego 2025 roku, wyceniona na około 1,5 miliarda dolarów, została przez analityków i amerykańskie agencje przypisana hakerom powiązanym z Koreą Północną. Wskazała na plan USA utrzymywania skonfiskowanych kryptowalut jako rezerwy strategicznej, argumentując, że spojrzenie na to, kto odzyskuje skradzione środki, „może dać wskazówkę, kto stoi za incydentem hakerskim”. Rezerwa, do której się odwołała, wynika z marcowego rozporządzenia wykonawczego z 2025 roku nakazującego rządowi USA zatrzymywanie kryptowalut przejętych w sprawach karnych i cywilnych zamiast ich sprzedawać.

Pjongjang ma „kwestie do ponownego rozważenia w różnych aspektach” w związku z wrogą postawą Waszyngtonu — oświadczyła Kim. Nie wskazano żadnego konkretnego kroku ani nie przedstawiono merytorycznego polemiki z przypisaniem ataku.

Zaprzeczenie Pjongjangu spotyka się z dowodami TraderTraitor od trzech firm

W ostrzeżeniu opublikowanym 31 października FBI oświadczyło, że Korea Północna „była odpowiedzialna” za kradzież, do której doszło około 29 października. Biuro określa tę działalność jako „TraderTraitor” i współpracuje z Secret Service oraz IRS-CI, a także zaobserwowało, że atakujący przekonwertowali skradzione aktywa głównie na Ether. Amerykańskie agencje używają nazwy TraderTraitor od 2022 roku na określenie kampanii kradzieży kryptowalut powiązanych z Koreą Północną.

Firma zajmująca się analizą blockchainu TRM Labs była jedną z trzech firm, które jeszcze przed FBI zidentyfikowały atak jako dzieło operatorów z Korei Północnej. Ten sam wniosek na X przedstawił współzałożyciel Chainalysis Jonathan Levin.

Atakujący użyli EIP-7702 na Ethereum, aby przekształcić hot wallet Binance w sweeper pod ich kontrolą, przygotowując 50 wcześniej podpisanych autoryzacji, aby jedna była ważna w momencie wykonania. EIP-7702, aktywny od aktualizacji Pectra w Ethereum z maja 2025 roku, pozwala zwykłym portfelom tymczasowo wykonywać kod inteligentnych kontraktów.

Binance oszacował straty na około 6,3 miliarda dolarów, a Elliptic nazwał to największą kradzieżą tego rodzaju, szacując straty na 6,43 miliarda dolarów.

Według Cryptopolitan FBI poprosiło również operatorów węzłów THORChain i inne usługi DeFi o zablokowanie portfeli powiązanych ze skradzionymi środkami. Lista obejmuje 608 adresów Ethereum, 19 adresów Bitcoin i jeden adres Solana. Ponieważ THORChain i podobne protokoły są prowadzone przez niezależnych operatorów węzłów, takie prośby opierają się na dobrowolnej współpracy, a nie na bezpośredniej kontroli.

Analityk SomaXBT oszacował, że około 242 milionów dolarów przepłynęło przez Tron w ciągu dwóch dni, z czego około 140 milionów przekazano przez usługi międzyłańcuchowe, takie jak Relay, THORChain, Chainflip i Symbiosis.

Microsoft Threat Intelligence poinformował w zeszłym tygodniu, że grupy z Korei Północnej celowały w giełdy kryptowalut.

Binance zamroził około 3 miliardów dolarów skradzionych środków. 2 listopada giełda oświadczyła, że pokryła z własnych środków około 95% dotkniętej kwoty. Dalsza droga skradzionych środków przez usługi międzyłańcuchowe oraz to, czy nastąpią kolejne zamrożenia lub prośby o blokadę, to kolejne szczegóły, na które warto zwracać uwagę.