Jens Asbjørn Bøgen
Pyongyang’s cyber units have spent years quietly draining crypto exchanges, and investigators say the past 20 months have been their most lucrative yet.
Federal Bureau of Investigation (FBI) tillskrev på lördagen Nordkorea stölden på omkring 6,3 miljarder dollar från Binance och kallade den ett verk av ett statligt hackarnätverk som myndigheten spårar under namnet TraderTraitor. Själva stölden ägde rum den 29 oktober 2026 eller däromkring och är den största kryptostölden som någonsin har registrerats.
Myndigheten placerade attacken i samma kategori som intrånget mot Bybit i februari 2025, vilket den tillskrev samma grupp och värderade till omkring 1,5 miljarder dollar. Tillsammans uppgår de två stölderna till ungefär 7,8 miljarder dollar i stulen krypto på mindre än två år, varav nästan allt ackumulerades under ett enda 20-månadersfönster.
Penningtvätt i industriell skala via Ethereum
Utredare uppger att stulna tillgångar i första hand slussas till Ethereum innan de delas upp för vidare penningtvätt. FBI uppgav tillsammans med Secret Service och IRS Criminal Investigation att de har ”observerat TraderTraitor-aktörer omvandla stulna tillgångar primärt till Ethereum”, och att de förväntar sig att gruppen slussar medlen genom decentraliserade finansplattformar och snabbväxlingstjänster.
För att bromsa penningflödet publicerade myndigheten en lista över 628 plånboksadresser kopplade till penningtvätten – 608 på Ethereum, 19 på Bitcoin och en enskild Solana-adress – enligt SecurityWeek, och uppmanade leverantörer av virtuella tillgångstjänster, DeFi-plattformar och blockkedjeanalysföretag att blockera alla transaktioner som berör dem.
Själva intrånget spårades till en komprometterad bärbar dator tillhörande en DevOps-ingenjör, rapporterade BleepingComputer, vilket gav angriparna åtkomst till en tjänstecontainer som användes för att skicka uttagstransaktioner. Större delen av medlen flyttades ut inom cirka 20 minuter, spridda över tio blockkedjor.
Binance tar förlusten
Binance har meddelat användarna att börsen, inte kunderna, kommer att ta smällen. I ett uttalande som återgavs av BleepingComputer sade företaget att det kommer att ”bära de ekonomiska konsekvenserna av de stulna medlen. Dessa förluster kommer inte att vältras över på användarna.” Börsen uppger att den har ersatt cirka 90 % av det som stals från företagets reserver, medan en mindre del svårlikviderade tokens fortfarande återstår.
TraderTraitor-nätverket, som amerikanska myndigheter även spårar som Lazarus Group och APT38, har tidigare kopplats till stölden på 308 miljoner dollar i maj 2024 från japanska DMM Bitcoin. Utredare från USA och FN har länge kopplat dessa intäkter till Nordkoreas sanktionsbelagda vapenprogram.
