FBI liitti Binancelta 29. lokakuuta varastetut 6,3 miljardin dollarin arvoiset virtuaalivarat Pohjois-Korean TraderTraitor-ryhmään, mutta tutkijat selvittävät yhä, miten hyökkääjät pääsivät järjestelmään ja mitä varoista voidaan saada takaisin.
Mitä tutkijat tietävät hyökkäyksestä
Binancen mukaan hyökkääjät tyhjensivät varoja sen kuumalompakkoinfrastruktuurista, eivät tuhansien asiakkaiden yksittäisiltä tileiltä, ja yhtiö aikoo kattaa puuttuvan summan. Binance kertoi ensin, että työntekijän kannettava tietokone saattoi joutua murretuksi ja avata pääsyn sisäiseen palveluun, jota käytetään nostopyyntöjen tekemiseen. Myöhemmin yhtiö kertoi löytäneensä lisää murtautumisreittejä eikä sillä ole näyttöä siitä, että lompakoiden yksityiset avaimet olisivat paljastuneet. Yhtiö ei ole julkaissut kattavaa teknistä selvitystä tapahtuneesta.
TRM Labsin mukaan hyökkääjä käytti Ethereumissa lompakon ominaisuutta ohjatakseen Binancen kuumalompakon siirtämään varoja hyökkääjän hallintaan. Muissa verkoissa siirrot näyttivät tavalliseen tapaan allekirjoitetuilta transaktioilta. TRM:n mukaan havainnot viittaavat siihen, että pörssin transaktioiden allekirjoitusinfrastruktuuri oli murrettu. Jos näin on, hyökkääjät ovat saattaneet löytää keinon saada järjestelmä hyväksymään päteviltä näyttäviä siirtoja pääavaimen varastamisen sijaan.
Mikä tukee syytöstä Pohjois-Korean osallisuudesta
FBI:n julkinen arvio tekijöistä seurasi lohkoketjuanalyysiyritysten johtopäätöksiä, mutta virasto ei ole esittänyt kattavaa selvitystä todisteistaan. TRM:n mukaan sen arvio perustuu ketjussa ja sen ulkopuolella kerättyyn tiedustelutietoon sekä yhtäläisyyksiin aiempien Pohjois-Koreaan yhdistettyjen varkauksien kanssa. Chainalysisin mukaan varastetut Binance-varat sekoitettiin toisen varkauden varoihin, jotka se oli yhdistänyt Pohjois-Koreaan. FBI kertoo tutkijoiden havainneen, että hyökkääjät vaihtoivat varastetut varat pääosin Ethereumiksi, ja on luetellut lompakko-osoitteita, jotka se yhdistää TraderTraitor-ryhmään. Nämä ovat tutkintaan liittyviä havaintoja, eivät julkinen tuomioistuimen ratkaisu, jossa yksittäiset tekijät olisi tunnistettu.
Helmikuussa 2025 FBI syytti TraderTraitoria noin 1,5 miljardin dollarin varastamisesta kryptopörssi Bybitiltä. Chainalysis arvioi myöhemmin, että pohjoiskorealaiset hakkerit varastivat kryptovaluuttoja yksin vuoden 2025 aikana 2,02 miljardin dollarin arvosta. Yhdysvaltain valtiovarainministeriön virkamiesten mukaan valtiollisiin toimijoihin liittyvät kybervarkaudet ja rahanpesu auttavat Pjongjagia hankkimaan rahaa aseohjelmiinsa, kun pakotteet rajoittavat sen pääsyä perinteisen rahoituksen piiriin. Julkiset todisteet eivät kerro, mihin kaikki Binancelta varastetut rahat lopulta päätyisivät.
Miksi varojen palauttaminen voi olla vaikeaa
Rahanpesulla pyritään vaikeuttamaan varastettujen kryptovarojen jäljittämistä, jäädyttämistä ja muuttamista käyttörahaksi. Lohkoketjut tallentavat siirrot julkisesti, mutta lompakko-osoitteista ei voi suoraan päätellä niiden omistajia. FBI arvioi varojen kulkevan hajautetun rahoituksen palveluiden ja pikavaihtopalveluiden kautta ja on pyytänyt pörssejä, solmuoperaattoreita ja muita kryptoyrityksiä estämään lueteltuihin osoitteisiin liittyvät transaktiot.
Stablecoinien liikkeeseenlaskijat voivat jäädyttää merkittyihin osoitteisiin liittyviä tokeneita, mutta Bitcoinilla ja Ethereumilla ei ole samanlaista määräysvaltaa käyttävää keskitettyä liikkeeseenlaskijaa. Binance kertoi, että varoja oli jäädytetty noin 3 miljardin dollarin arvosta; TRM:n varhainen arvio oli noin 2,7 miljardia dollaria, ja sen mukaan huomattava määrä bitcoineja ja etheriä oli yhä liikkeeseenlaskijoiden tavoittamattomissa. Jäädytys ei palauta rahoja: määräysvallan siirtäminen edellyttää yhä oikeudellisia ja käytännön toimia.
Binancen suunnitelma asiakkaita varten
Binance kertoi korvanneensa 90 prosenttia menetetystä summasta käyttäjien hätätilanteisiin tarkoitetusta suojarahastosta, osalla futuurikaupan vakuutusrahastostaan ja yhtiön varoilla. Yhtiön mukaan jäljellä oleva 10 prosenttia koostuu vähemmän likvideistä tokeneista, joita se hankkii yhä. Binance on luvannut vastata taloudellisista menetyksistä sen sijaan, että siirtäisi ne käyttäjille.
Binance aikoi aloittaa nostot vaiheittain 1. marraskuuta kello 06.00–09.00 UTC ja avata lisää verkkoja turvallisuustarkastusten jälkeen. Yhtiön mukaan täydellisen kryptografisen todisteen varannoistaan odotettiin valmistuvan 3. marraskuuta, ja se lupasi julkaista kattavamman selvityksen tutkinnan jälkeen. Seuraavaksi nähdään, pystyykö Binance palauttamaan käyttöoikeudet turvallisesti ja saavatko tutkijat ja alan kumppanit muutettua transaktioiden jäljen varoiksi, jotka voidaan palauttaa.