FBI nimeää Pohjois-Korean TraderTraitorin yli 6 miljardin dollarin Binance-varkauden tekijäksi

Yhdysvaltain liittovaltion poliisi FBI katsoi 31. lokakuuta 2026 Pohjois-Korean olevan vastuussa yli 6 miljardin Yhdysvaltain dollarin arvosta virtuaalivaroja vieneestä kryptovaluuttapörssi Binanceen kohdistuneesta varkaudesta. FBI julkaisi tiedotteen, jossa se nimesi Korean demokraattisen kansantasavallan vastuulliseksi ja kutsui haitallista kybertoimintaa nimellä ”TraderTraitor”. Varkaus tapahtui 29. lokakuuta 2026 tai sen aikoihin.

FBI:n mukaan se on yhdessä Yhdysvaltain salaisen palvelun ja verohallinnon rikostutkintayksikön IRS Criminal Investigationin kanssa havainnut TraderTraitor-toimijoiden muuntavan varastettuja varoja pääasiassa Ethereumiksi. Virasto odottaa, että varoja pestään edelleen muuntamalla niitä DeFi-palveluissa ja pikavaihtopalveluissa samalla, kun toimijat valmistelevat niitä rahanpesun seuraavia vaiheita varten.

Kolme virastoa kehottivat yksityisen sektorin toimijoita — kuten THORNode- ja RPC-solmujen ylläpitäjiä, pikavaihtopalveluja, DeFi-palveluja, lohkoketjuanalytiikkayrityksiä ja muita virtuaalivarapalvelujen tarjoajia — estämään liiketoimet niiden osoitteiden kanssa tai liiketoimet, jotka ovat peräisin osoitteista, joiden FBI:n tiedotteessa kerrotaan sisältävän tai aiemmin sisältäneen varkaudesta peräisin olevia varoja. Luettelo kattaa Ethereumin, Bitcoinin ja Solanan osoitteita, joiden FBI kertoo olevan pohjoiskorealaisten TraderTraitor-toimijoiden hallinnassa tai läheisessä yhteydessä heihin. FBI:n kyberosasto julkaisi tiedotteen tekstin X:ssä 31. lokakuuta 2026 kello 22.36.58 GMT.

FBI kertoi sitoutuneensa edelleen suojelemaan virtuaalivarayhteisöä ”tunnistamalla, lieventämällä ja torjumalla Pohjois-Korean laitonta kyberrikollisuutta ja virtuaalivarojen varkauksia” ja pyysi tietoja omaavia ottamaan yhteyttä paikalliseen FBI:n aluetoimistoon tai Internet Crime Complaint Centeriin osoitteessa ic3.gov.

Näin 29. lokakuuta tapahtunut varkaus eteni

Lohkoketjutietoyritys TRM Labs, joka julkaisi oman tutkintansa varkaudesta 29. lokakuuta 2026, kertoi noin 6,36 miljardin dollarin arvosta varoja siirtyneen Binancen lompakoista kymmenessä lohkoketjussa kello 20.05 UTC alkaen. Suurin osa siirtyi noin 20 minuutissa, ja kello 23.05 UTC:n tienoilla nähtiin toinen aalto, joka ulottui Binancen Avalanche- ja Polygon-lompakoihin. TRM katsoi hyökkäyksen suurella varmuudella TraderTraitorin tekemäksi vedoten lohkoketjussa ja sen ulkopuolella kerättyyn tiedustelutietoon. Yhtiö kuvaili sitä kaikkien aikojen suurimmaksi kryptovaluuttavarkaudeksi, noin neljä kertaa helmikuussa 2025 tapahtunutta Bybit-hakkerointia suuremmaksi. Luvut perustuvat ketjussa näkyviin tietoihin 30. lokakuuta 2026 kello 00.30 UTC asti.

TRM laski, että lohkoketjussa jäädytettiin noin 2,7 miljardin dollarin arvosta varoja: Tether jäädytti noin 1,77 miljardia USDT:tä, Circle noin 825 miljoonaa USDC:tä, Ripple 40,5 miljoonaa RLUSD:tä ja World Liberty Financial 27,8 miljoonaa USD1:tä. Lisäksi Arbitrumin turvallisuusneuvosto käytti hätävaltuuksiaan siirtääkseen hyökkääjän Arbitrum-lompakosta 8 426 ETH:ta ja 74,6 miljoonaa ARB:tä, joiden arvo oli noin 30 miljoonaa dollaria. Näistä toimista huolimatta hyökkääjän hallussa oli TRM:n mukaan yli 420 000 ETH:ta ja 18 270 BTC:tä eli noin 2,4 miljardin dollarin arvosta varoja, joihin yksikään liikkeeseenlaskija ei voinut vaikuttaa.

Ethereumissa hyökkääjä käytti EIP-7702-delegointia, joka sisälsi 50 ennalta allekirjoitettua valtuutusta, muuttaakseen Binancen kuuman lompakon hallinnassaan olevaksi varojen tyhjentäjäksi, TRM:n raportin mukaan. Ethereum Pectra -päivityksessä toukokuussa 2025 käyttöön otettu EIP-7702 mahdollistaa sen, että tavallinen lompakko voi luovuttaa toimintansa hallinnan älysopimukselle allekirjoittamalla valtuutuksen. Koska Binancen lompakoista yhdeksässä muussa lohkoketjussa lähetettiin samana ajanjaksona varoja hyökkääjälle tavallisina allekirjoitettuina siirtoina, TRM arvioi todennäköisimmäksi selitykseksi Binancen kuuman lompakon allekirjoitusinfrastruktuurin vaarantumisen. TRM:n raportin julkaisuhetkellä Binance ei ollut vielä kertonut tapahtuman perimmäistä syytä.

Aiempi Bybit-attribuutio

FBI on käyttänyt TraderTraitor-nimitystä aiemminkin. 26. helmikuuta 2025 julkaistussa yleisötiedotteessa (hälytyksen numero I-022625-PSA) virasto kertoi Pohjois-Korean olevan vastuussa noin 1,5 miljardin Yhdysvaltain dollarin arvosta virtuaalivaroja vieneestä kryptovaluuttapörssi Bybitiin kohdistuneesta varkaudesta, joka tapahtui 21. helmikuuta 2025 tai sen aikoihin. Tiedotteessa kerrottiin TraderTraitor-toimijoiden etenevän nopeasti ja muuntaneen osan varastetuista varoista Bitcoiniksi ja muiksi virtuaalivaroiksi, jotka oli hajautettu tuhansiin osoitteisiin useissa lohkoketjuissa. Tiedotteen mukaan varoja odotettiin pestävän edelleen ja muunnettavan lopulta fiat-valuutaksi. Bybit-hälytyksessä esitettiin vastaavanlainen pyyntö RPC-solmujen ylläpitäjille, pörsseille, siltapalveluille, lohkoketjuanalytiikkayrityksille, DeFi-palveluille ja muille virtuaalivarapalvelujen tarjoajille estää liiketoimia, ja siinä julkaistiin luettelo Ethereumin osoitteista.

Binance kertoi kolmannessa palautumistaan koskevassa päivityksessään 31. lokakuuta 2026 täydentäneensä varastetuista varoista 90 prosenttia sen jälkeen, kun yhtiö oli varannut tähän yli 6,34 miljardia dollaria omia varojaan. Rahoitus koostui osittaisesta käytöstä Binancen Secure Asset Fund for Users -rahastosta, osasta futuurikaupankäynnin vakuutusrahastoa sekä yhtiön kassavaroista. Pörssin mukaan BTC:n, ETH:n, USDT:n, BNB:n, SOL:n, USDC:n, XRP:n, USD1:n, RLUSD:n ja ZEC:n vakuutena oli täydet 100 prosenttia. Binance kertoi ottaneensa uuden Proof of Reserve -tilannekuvan 31. lokakuuta 2026 kello 00.00 UTC ja arvioi täydellisen nollatietotodisteen valmistuvan 3. marraskuuta 2026 mennessä. Yhtiö kertoi myös olevansa aikataulussa, jotta kotiutukset voidaan aloittaa uudelleen 1. marraskuuta 2026.