FBI przekazało w sobotę 31 października, że za kradzieżą ponad 6 mld dolarów z giełdy Binance stoi Korea Północna, a konkretnie grupa hakerska TraderTraitor. Agencja opublikowała też listę adresów kryptowalutowych i prosi firmy z branży o blokowanie transakcji z nimi.
Jak podaje CoinDesk, który omawia sobotni komunikat, FBI uznało, że włamania dokonała północnokoreańska grupa TraderTraitor. To podjednostka znanej grupy Lazarus, której przypisywano już wcześniej głośne ataki na giełdy kryptowalut. Wcześniej na Koreę Północną wskazywały firmy analityczne i niezależni śledczy z branży, teraz robi to także amerykańska agencja. Pełna treść komunikatu FBI była cytowana m.in. we wpisie Changpenga Zhao, założyciela Binance.
CZ podziękował w nim FBI, Secret Service i IRS za pomoc przy śledzeniu i zamrażaniu środków. Jego zdaniem to w dużej mierze zasługa tych służb, że rynek bitcoina nie zareagował silniejszym spadkiem.
Lista adresów i apel do branży
Według CoinDesk FBI wymieniło ponad 600 adresów w sieci Ethereum, niecałe 20 adresów bitcoina i jeden adres Solany. Agencja informuje, że hakerzy zamieniali skradzione środki głównie na ether i że spodziewa się dalszego prania pieniędzy przez usługi wymiany i narzędzia DeFi.
FBI, Secret Service (USSS) i IRS-CI wezwały operatorów THORNode i węzłów RPC, natychmiastowe giełdy, usługi DeFi, firmy analityczne i inne podmioty rynku kryptowalut, by blokowały transakcje z tymi adresami lub z środkami od nich pochodzącymi.
Skala prania pieniędzy
Lista FBI jest jednak tylko częścią obrazu. Szef Chainalysis Jonathan Levin oświadczył, że napastnicy użyli już „tysięcy adresów”, a w ciągu najbliższych tygodni liczba ta może wzrosnąć do dziesiątek tysięcy. Wyjaśnił, że hakerzy mają zbyt dużo środków dla zaufanych kanałów prania, więc pieniądze trafią do szerszej sieci mostów, natychmiastowych giełd i swapperów. Chainalysis opisuje też „nowatorskie zautomatyzowane mechanizmy” maskowania śladu.
CoinDesk podaje, że kradzież z czwartku 29 października opiewała na około 6,4 mld dolarów, a emitenci stablecoinów zamrozili ponad 2,4 mld dolarów. To dane medialne; sama giełda mówiła wcześniej o szacowanym wpływie 6,3 mld dolarów i ok. 3 mld zamrożonych – pisaliśmy o tym w tekście o tym, jak Binance zmieniło ustalenia dotyczące ataku. Początki sprawy opisaliśmy, gdy Binance zaczęło badać możliwy atak.
Binance i reakcja polityczna
W sobotę Binance poinformowało, że uzupełniło około 90 proc. skradzionych aktywów, i zapowiedziało wznowienie wypłat w niedzielę 1 listopada, o ile zakończą się kontrole bezpieczeństwa. Giełda deklarowała wcześniej na X, że pokryje wszystkie straty klientów i współpracuje ze służbami.
Prezydent Donald Trump zapytany w sobotę o sprawę odpowiedział, że administracja się jej przygląda i że „porozmawia z Koreą Północną”. Tak cytuje go CoinDesk.
Co to oznacza dla użytkowników w Polsce
Dla klientów Binance najważniejsze są wypłaty: według giełdy mają ruszyć w niedzielę, ale jej własny komunikat uzależnia to od końcowego potwierdzenia. Salda mają być pokryte środkami giełdy. Przy takich zdarzeniach rośnie liczba fałszywych wiadomości i linków, więc informacji szukaj tylko na oficjalnych kanałach Binance i nikomu nie podawaj haseł ani kodów. Firmy świadczące usługi kryptowalutowe w Polsce, obsługujące zagraniczne mosty i swapy, mogą zostać objęte apelem FBI o blokowanie adresów z listy – to jednak apel, nie obowiązek prawny w Polsce. Podobny ślad północnokoreański pojawił się wcześniej przy kradzieży z giełdy Bitget.
Korea Północna nie odniosła się do oskarżeń do chwili publikacji tekstu.
