TRM Labs και Chainalysis συνδέουν την κλοπή των 6,4 δισ. δολαρίων από το Binance με τη Βόρεια Κορέα

Δύο από τις μεγαλύτερες εταιρείες ανάλυσης blockchain, η TRM Labs και η Chainalysis, απέδωσαν την κλοπή των περίπου 6,4 δισ. δολαρίων από το Binance στην ομάδα χάκερ TraderTraitor, η οποία συνδέεται με τη Βόρεια Κορέα. Σύμφωνα με το Decrypt, η TRM κάνει λόγο για «υψηλή βεβαιότητα» βάσει on-chain και off-chain στοιχείων, ενώ και η Chainalysis δηλώνει ότι έχει επίσης υψηλή βεβαιότητα. Και η Pangolin Intelligence, με έδρα τη Σιγκαπούρη, κατέληξε στο ίδιο συμπέρασμα. Η Βόρεια Κορέα έχει διαψεύσει στο παρελθόν παρόμοιες κατηγορίες.

Η TRM εκτιμά ότι τα κεφάλαια μεταφέρθηκαν από πορτοφόλια του Binance σε 10 blockchains, κυρίως μέσα σε περίπου 20 λεπτά την Πέμπτη. Το ποσό είναι περίπου τέσσερις φορές μεγαλύτερο από την κλοπή των 1,5 δισ. δολαρίων από το Bybit τον Φεβρουάριο του 2025, την οποία το FBI είχε αποδώσει στην ίδια ομάδα. Η Chainalysis ανέφερε ότι το πιο ισχυρό στοιχείο ήταν η ανάμειξη των κλεμμένων κεφαλαίων σε πραγματικό χρόνο με κεφάλαια από την πρόσφατη επίθεση στο Bitget, που είχε επίσης αποδοθεί σε βορειοκορεατικούς δράστες.

Πώς έγινε η επίθεση

Σύμφωνα με την TRM, στο Ethereum ο επιτιθέμενος χρησιμοποίησε μια delegation βάσει του EIP-7702, μιας δυνατότητας που εισήχθη με την αναβάθμιση Pectra. Με αυτόν τον τρόπο ένα συνηθισμένο πορτοφόλι μπορεί να εκτελεί κώδικα έξυπνων συμβολαίων, και ο επιτιθέμενος μετέτρεψε ένα hot wallet του Binance σε εργαλείο μεταφοράς κεφαλαίων υπό τον έλεγχό του. Σε άλλα εννέα blockchains, τα πορτοφόλια του Binance έστειλαν κεφάλαια με κανονικές υπογεγραμμένες συναλλαγές, κάτι που, κατά την TRM, δείχνει συμβιβασμένη υποδομή υπογραφής των hot wallets. Το Binance αρχικά ανέφερε ότι η έρευνα ξεκίνησε από τον υπολογιστή ενός συμβιβασμένου μηχανικού, αλλά έκτοτε εντόπισε «επιπλέον σημεία παραβίασης».

Τι σημαίνει για τα κεφάλαια και την αγορά

Ο επιτιθέμενος έσπευσε να ξεπλύνει όσα μπορούσε. Η Chainalysis περιγράφει «πρωτόγνωρα μοτίβα ξεπλύματος» με χιλιάδες συναλλαγές σε σύντομο χρονικό διάστημα, κάτι που υποδηλώνει αυτοματοποίηση. Σύμφωνα με την TRM, ο επιτιθέμενος πούλησε USDT σε market makers και δανείστηκε ETH με ενέχυρο USDT στο πρωτόκολλο Aave, προλαβαίνοντας τα μπλοκαρίσματα των εκδοτών. Σήμερα κατέχει πάνω από 420.000 ETH και 18.270 BTC, ποσά που, σύμφωνα με τα στοιχεία, βρίσκονται περίπου 2,4 δισ. δολάρια πέρα από την εξουσία κάθε εκδότη.

Η Tether, η Circle, η Ripple και η World Liberty Financial έχουν παγώσει περίπου 2,67 δισ. δολάρια σε stablecoins, ενώ το Security Council του Arbitrum μπλόκαρε 8.426 ETH και 74,6 εκατ. ARB. Το Binance υπολογίζει το συνολικό παγωμένο ποσό σε περίπου 3 δισ. δολάρια. Το Binance έχει ήδη αρχίσει να αποζημιώνει χρήστες και συνεργάζεται με αρχές επιβολής του νόμου και εταιρείες ανάλυσης για την ανάκτηση περαιτέρω κεφαλαίων. Στην ενημέρωσή του την Παρασκευή, το Binance ανέφερε ότι η κάλυψη του 5 δισ. δολαρίων είναι ήδη διαθέσιμη σε ακριβώς τα κλεμμένα νομίσματα, ενώ το υπόλοιπο θα αγοραστεί μέσω αγοράς και εξωχρηματιστηριακών συναλλαγών, διαδικασία που μπορεί να διαρκέσει περισσότερο λόγω της χαμηλής ρευστότητας ορισμένων tokens.

Το υπόβαθρο της απειλής

Η Βόρεια Κορέα επιτίθεται εδώ και καιρό στο Binance. Τον Αύγουστο του 2025, ο επικεφαλής ασφαλείας του Binance, Jimmy Su, δήλωσε στο Decrypt ότι βορειοκορεάτες επιτιθέμενοι προσπαθούν καθημερινά να προσληφθούν στην εταιρεία, και τους χαρακτήρισε τη μεγαλύτερη μεμονωμένη απειλή για εταιρείες κρυπτονομισμάτων. Την Τετάρτη, το αμερικανικό Υπουργείο Οικονομικών επέβαλε κυρώσεις σε 10 άτομα και μία οντότητα για συστήματα βορειοκορεατών IT εργαζομένων που μετέφεραν εκατομμύρια δολάρια σε κρυπτονομίσματα.