Nordkoreanska hackare stal $6,3 miljarder från Binance
Binance uppskattar omfattningen av intrånget till cirka $6,3 miljarder och uppger att omkring $3 miljarder har frysts. Analytiker vid TRM Labs och Chainalysis kopplar attacken till den nordkoreanska hackergruppen TraderTraitor, medan börsens preliminära utredning pekar på att en anställds bärbara dator hackats.
Enligt TRM Labs beräkningar förde angriparna den 29 oktober bort cirka $6,36 miljarder från Binance-plånböcker i tio blockkedjor. Huvuddelen av tillgångarna stals under ungefär 20 minuter med start klockan 20. B05 UTC. Analytiker kallar händelsen den största kryptovalutastölden någonsin: beloppet är ungefär fyra gånger större än förlusterna efter Bybit-intrånget i februari 2025.
Vem misstänks ligga bakom attacken?
TRM Labs tillskriver med hög säkerhet intrånget TraderTraitor – en nordkoreansk hackergrupp med kopplingar till Lazarus. Företaget hänvisar till samlade uppgifter från blockkedjor och andra källor.
Lazarus kopplas direkt till Nordkoreas statliga strukturer. USA:s finansdepartement räknar gruppen till de organisationer som står under den nordkoreanska regeringens kontroll via landets underrättelsetjänst, General Bureau of Reconnaissance (RGB).
Myndigheter i USA, Japan och Sydkorea ser kryptovalutastölder utförda av nordkoreanska hackare som en källa till olagliga intäkter för att finansiera landets program för massförstörelsevapen och ballistiska robotar. Det är dock ännu inte fastställt vad de medel som stals från just Binance ska användas till.
Chainalysis medgrundare och vd Jonathan Levin pekade också ut TraderTraitor som en trolig aktör bakom attacken. Binance har ännu inte offentliggjort egna slutsatser om vilka angriparna är och samarbetar fortsatt med brottsbekämpande myndigheter.
Så hackades Binance
Enligt börsens preliminära bedömning kan angriparna ha fått tillgång till en DevOps-ingenjörs bärbara dator. Därifrån tog de sig in i en tjänstecontainer och skickade obehöriga transaktioner för att föra bort medel.
Binance har dock inte hittat några tecken på att plånböckernas privata nycklar har läckt. Företagets preliminära bedömning pekar därmed på att den interna infrastrukturen som användes för uttag komprometterats. Den exakta attackmetoden återstår att fastställa.
Börsen återkallade behörigheten för den berörda adressen och stoppade tillfälligt insättningar och uttag tills säkerhetskontrollerna är klara. Binance lovar att publicera en utförlig teknisk rapport när utredningen är avslutad.
Vad händer med kundernas tillgångar?
Tillsammans med sina partner lyckades Binance frysa tillgångar i blockkedjor till ett värde av cirka $3 miljarder. Företaget fortsätter att spåra de återstående medlen och samarbetar med tokenutgivare, analysföretag och brottsbekämpande myndigheter för att få till stånd fler frysningar och återfå tillgångarna.
Att medel inte har frysts innebär inte att de är förlorade för gott: sökandet efter dem pågår. En frysning hindrar tillgångarna från att flyttas, men betyder inte i sig att de har återförts till börsen.
Binance uppgav att bolaget kommer att täcka alla förluster med medel från reservfonden SAFU och egna tillgångar. Företaget försäkrade användarna om att deras tillgångar är säkra och lovade att publicera en uppdaterad Proof of Reserves-rapport när återställningsarbetet är klart.
