FBI udpeger Nordkoreas TraderTraitor i Binance-tyveri for over 6 mia. USD

Den 31. oktober 2026 tilskrev Federal Bureau of Investigation tyveriet af virtuelle aktiver for mere end 6 mia. USD fra kryptovalutabørsen Binance til Nordkorea. FBI udsendte en meddelelse, der udpeger Den Demokratiske Folkerepublik Korea som ansvarlig og navngiver den ondsindede cyberaktivitet »TraderTraitor«. Tyveriet fandt sted den 29. oktober 2026 eller omkring den dato.

FBI har sammen med sine partnere i U.S. Secret Service og IRS Criminal Investigation observeret, at TraderTraitor-aktører primært veksler de stjålne aktiver til Ethereum, fremgår det af meddelelsen. FBI forventer, at aktiverne vil blive hvidvasket yderligere gennem vekslinger via DeFi-tjenester og tjenester til øjeblikkelig veksling, mens aktørerne gør dem klar til yderligere hvidvaskning.

De tre myndigheder opfordrede aktører i den private sektor – herunder THORNode-operatører, RPC-nodeoperatører, vekselplatforme med øjeblikkelig veksling, DeFi-tjenester, blockchain-analysefirmaer og andre udbydere af tjenester til virtuelle aktiver – til at blokere transaktioner med eller fra adresser, som meddelelsen anfører, besidder eller har besiddet aktiver fra tyveriet. Listen omfatter adresser på Ethereum, Bitcoin og Solana, som ifølge FBI drives af eller er tæt forbundet med nordkoreanske TraderTraitor-aktører. FBI Cyber Branch offentliggjorde meddelelsens tekst på X kl. 22:36:58 GMT den 31. oktober 2026.

FBI sagde, at myndigheden fortsat er forpligtet til at beskytte økosystemet for virtuelle aktiver ved at »identificere, begrænse og afbryde Nordkoreas ulovlige cyberkriminalitet og tyveri af virtuelle aktiver«, og bad alle med oplysninger om at kontakte et lokalt FBI-kontor eller Internet Crime Complaint Center på ic3.gov.

Sådan forløb tyveriet den 29. oktober

Blockchain-analysefirmaet TRM Labs, som offentliggjorde sin egen undersøgelse af tyveriet den 29. oktober 2026, oplyste, at omkring 6,36 mia. USD blev flyttet ud af Binance-wallets på tværs af ti blockchains fra kl. 20:05 UTC. Det meste blev flyttet på omkring 20 minutter, og en ny bølge omkring kl. 23:05 UTC nåede Binance-wallets på Avalanche og Polygon. TRM tilskrev med stor sikkerhed angrebet TraderTraitor på baggrund af efterretninger både fra og uden for blockchainen og beskrev det som det største kryptotyveri, der er registreret, omkring fire gange så stort som Bybit-hacket i februar 2025. Tallene bygger på on-chain-data pr. 30. oktober 2026 kl. 00:30 UTC.

TRM opgjorde, at aktiver for omkring 2,7 mia. USD var indefrosset on-chain: Tether havde indefrosset cirka 1,77 mia. USDT, Circle omkring 825 mio. USDC, Ripple 40,5 mio. RLUSD og World Liberty Financial 27,8 mio. USD1. Arbitrum Security Council brugte desuden sine nødrettigheder til at tvangsfjerne 8.426 ETH og 74,6 mio. ARB til en værdi af omkring 30 mio. USD fra angriberens wallet på Arbitrum. Selv efter disse indgreb havde angriberen ifølge TRM stadig over 420.000 ETH og 18.270 BTC, svarende til aktiver for omkring 2,4 mia. USD, som ingen udsteder kunne nå.

På Ethereum brugte angriberen ifølge TRM’s rapport en EIP-7702-delegering med 50 forhåndsunderskrevne autorisationer til at omdanne en Binance-hot wallet til en tømningswallet, som angriberen selv kontrollerede. EIP-7702 blev indført med Ethereums Pectra-opgradering i maj 2025 og gør det muligt for en almindelig wallet at overlade kontrollen over sin funktion til en smart contract ved at underskrive en autorisation. Da Binance-wallets på de ni andre kæder sendte midler til angriberen via almindelige, underskrevne overførsler i samme tidsrum, vurderede TRM, at den mest sandsynlige forklaring var, at Binances infrastruktur til underskrift af transaktioner fra hot wallets var blevet kompromitteret. På tidspunktet for TRM’s rapport havde Binance endnu ikke offentliggjort den grundlæggende årsag.

Tidligere tilskrivning til Bybit

FBI har også tidligere brugt betegnelsen TraderTraitor. I en offentlig meddelelse af 26. februar 2025 (meddelelsesnummer I-022625-PSA) oplyste FBI, at Nordkorea stod bag tyveriet af virtuelle aktiver for cirka 1,5 mia. USD fra kryptovalutabørsen Bybit den 21. februar 2025 eller omkring den dato. I meddelelsen stod der, at TraderTraitor-aktørerne arbejdede hurtigt og havde konverteret nogle af de stjålne aktiver til Bitcoin og andre virtuelle aktiver, som var fordelt på tusindvis af adresser på flere blockchains. Det blev også oplyst, at aktiverne forventedes at blive hvidvasket yderligere og til sidst konverteret til fiatvaluta. Bybit-advarslen indeholdt en tilsvarende anmodning om at blokere adresser rettet mod RPC-nodeoperatører, børser, bridges, blockchain-analysefirmaer, DeFi-tjenester og andre udbydere af tjenester til virtuelle aktiver samt en offentliggjort liste over Ethereum-adresser.

I sin tredje opdatering om genopretningen den 31. oktober 2026 oplyste Binance, at selskabet havde genopfyldt 90 % af de stjålne aktiver efter at have afsat mere end 6,34 mia. USD af selskabets midler. Det skete ved delvis anvendelse af selskabets Secure Asset Fund for Users, en del af dets futures-forsikringsfond og selskabets egen kassebeholdning. Børsen oplyste, at BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD og ZEC var fuldt dækket med 100 %, at den havde taget et nyt Proof of Reserve-snapshot kl. 00:00 UTC den 31. oktober 2026, og at det fulde nulvidensbevis forventedes færdigt senest den 3. november 2026. Binance oplyste desuden, at selskabet fortsat forventede at genoptage udbetalinger den 1. november 2026.