FBI tillskriver TraderTraitor-gruppen i Nordkorea stölden av virtuella tillgångar för 6,3 miljarder dollar från Binance den 29 oktober, men utredarna undersöker fortfarande hur angriparna tog sig in och vad som går att återvinna.
Vad utredarna vet om attacken
Binance säger att angriparna tömde tillgångar från företagets infrastruktur för hotplånböcker, inte från tusentals enskilda kundkonton, och att företaget kommer att täcka underskottet. Binance uppgav först att en medarbetares komprometterade bärbara dator kan ha gett åtkomst till en intern tjänst som används för att skicka uttag. Senare rapporterade företaget om ytterligare intrångspunkter och att det inte finns några belägg för att plånböckernas privata nycklar röjdes. Företaget har inte publicerat någon fullständig teknisk redogörelse.
TRM Labs uppger att angriparen på Ethereum använde en plånboksfunktion för att styra Binances hotplånbok så att den flyttade tillgångar under angriparens kontroll. På andra nätverk såg överföringarna ut som transaktioner som signerats på vanligt sätt. Enligt TRM tyder resultaten på att börsens infrastruktur för transaktionssignering komprometterades. Om det stämmer kan angriparna ha hittat ett sätt att få systemet att godkänna överföringar som såg giltiga ut, i stället för att stjäla en huvudnyckel.
Vad som talar för att Nordkorea ligger bakom
FBI:s offentliga utpekande följde på slutsatser från företag som analyserar blockkedjor, men myndigheten har inte offentliggjort någon fullständig redogörelse för bevisningen. TRM säger att bedömningen bygger på information både från blockkedjan och från andra källor samt likheter med tidigare stölder med koppling till Nordkorea. Chainalysis uppger att de stulna Binance-medlen blandades med medel från en annan stöld som företaget tillskrivit Nordkorea. FBI säger att utredarna såg hur angriparna främst växlade de stulna tillgångarna till Ethereum och listar plånboksadresser som myndigheten kopplar till TraderTraitor. Det rör sig om utredningsresultat, inte en offentlig domstolsdom som pekar ut enskilda gärningspersoner.
I februari 2025 anklagade FBI TraderTraitor för att ha stulit omkring 1,5 miljarder dollar från kryptobörsen Bybit. Chainalysis uppskattade senare att nordkoreanska hackare stal kryptovalutor för 2,02 miljarder dollar bara under 2025. Företrädare för USA:s finansdepartement säger att cyberstölder och penningtvätt med koppling till staten hjälper Pyongyang att få in pengar till vapenprogram, samtidigt som sanktioner begränsar landets tillgång till traditionella finansiella tjänster. Offentligt tillgängliga bevis visar inte vart varje dollar som stals från Binance i slutänden skulle ta vägen.
Varför det kan vara svårt att få tillbaka tillgångarna
Syftet med penningtvätten är att göra de stulna kryptotillgångarna svårare att spåra, frysa och växla till pengar som går att använda. Blockkedjor registrerar överföringar offentligt, men plånboksadresser avslöjar inte automatiskt vem som äger dem. FBI räknar med att medlen kommer att flyttas genom decentraliserade finanstjänster och tjänster för omedelbara växlingar, och har uppmanat börser, nodoperatörer och andra kryptoföretag att blockera transaktioner med koppling till de listade adresserna.
Utgivare av stablecoins kan frysa token som kopplas till flaggade adresser, men Bitcoin och Ethereum har ingen central utgivare med samma kontroll. Binance uppgav att tillgångar för omkring 3 miljarder dollar hade frysts; TRM:s tidiga beräkning låg på ungefär 2,7 miljarder dollar och företaget uppskattade att betydande mängder bitcoin och ether fortfarande fanns utom räckhåll för en utgivare. En frysning innebär inte att pengarna återförs: det krävs fortfarande juridiska och praktiska åtgärder för att överföra kontrollen.
Binances plan för kunderna
Binance uppgav att företaget hade fyllt på 90 procent av det berörda beloppet med hjälp av sin nödfond för användarskydd, en del av sin försäkringsfond för terminsmarknaden och egna företagsmedel. De återstående 10 procenten består enligt företaget av mindre likvida token som det fortfarande försöker få tag på. Binance har lovat att själv bära den ekonomiska smällen i stället för att låta användarna stå för den.
Binance planerade en första uttagsfas den 1 november, mellan 06.00 och 09.00 UTC, och skulle öppna fler nätverk efter säkerhetskontroller. Företaget uppgav att ett fullständigt kryptografiskt reservbevis väntades senast den 3 november och lovade en mer utförlig redogörelse när utredningen var klar. Nästa prövning blir om Binance kan återställa åtkomsten på ett säkert sätt och om utredarna och branschpartnerna kan omvandla transaktionsspåren till medel som återförs.