Jens Asbjørn Bøgen
Pyongyangs cyberenheter har i årevis tømt kryptobørser, og etterforskere sier de siste 20 månedene har vært de mest lukrative hittil.
Federal Bureau of Investigation (FBI) tilskrev lørdag Nord-Korea tyveriet på rundt 6,3 milliarder dollar fra Binance og kalte det et verk av et statlig hackernettverk som myndigheten sporer under navnet TraderTraitor. Selve tyveriet fant sted rundt 29. oktober 2026 og er det største kryptotyveriet som noensinne er registrert.
Myndigheten plasserte angrepet i samme kategori som innbruddet mot Bybit i februar 2025, som den tilskrev samme gruppe og verdsatte til rundt 1,5 milliarder dollar. Til sammen utgjør de to tyveriene omtrent 7,8 milliarder dollar i stjålet kryptovaluta på mindre enn to år, hvorav nesten alt ble akkumulert i løpet av et enkelt 20-månedersvindu.
Hvitvasking i industriell skala via Ethereum
Etterforskere opplyser at stjålne eiendeler primært sluses til Ethereum før de deles opp for videre hvitvasking. FBI uttalte, sammen med Secret Service og IRS Criminal Investigation, at de har «observert TraderTraitor-aktører konvertere stjålne eiendeler primært til Ethereum», og at de forventer at gruppen sluser midlene gjennom desentraliserte finansplattformer og hurtigvekslingstjenester.
For å bremse pengestrømmen publiserte myndigheten en liste over 628 lommebokadresser knyttet til hvitvaskingen – 608 på Ethereum, 19 på Bitcoin og én enkelt Solana-adresse – ifølge SecurityWeek og oppfordret tjenesteytere for virtuelle aktiva, DeFi-plattformer og blokkjedeanalysefirmaer til å blokkere alle transaksjoner som berører dem.
Selve innbruddet ble sporet til en kompromittert bærbar datamaskin tilhørende en DevOps-ingenjør, ifølge BleepingComputer, noe som ga angriperne tilgang til en tjenestecontainer som ble brukt til å sende uttakstransaksjoner. Størstedelen av midlene ble flyttet ut innen cirka 20 minutter, spredt over ti blokkjeder.
Binance tar tapet
Binance har informert brukerne om at børsen, ikke kundene, vil ta støyten. I en uttalelse gjengitt av BleepingComputer sa selskapet at det vil «bære de økonomiske konsekvensene av de stjålne midlene. Disse tapene vil ikke veltes over på brukerne.» Børsen opplyser at den har erstattet rundt 90 % av det som ble stjålet fra selskapets reserver, mens en mindre del mindre likvide tokens fortsatt gjenstår.
TraderTraitor-nettverket, som amerikanske myndigheter også sporer som Lazarus Group og APT38, har tidligere blitt koblet til tyveriet på 308 millioner dollar i mai 2024 hos japanske DMM Bitcoin. Etterforskere fra USA og FN har lenge knyttet disse inntektene til Nord-Koreas sanksjonsbelagte våpenprogram.
