FBI noemt Noord-Koreaanse TraderTraitor als dader bij Binance-diefstal van meer dan 6 miljard dollar

De Federal Bureau of Investigation (FBI) schreef de diefstal van meer dan 6 miljard USD aan virtuele activa van cryptobeurs Binance op 31 oktober 2026 toe aan Noord-Korea. Daarbij publiceerde de FBI een waarschuwing waarin de Democratische Volksrepubliek Korea als verantwoordelijke wordt aangewezen en de kwaadaardige cyberactiviteit wordt aangeduid als “TraderTraitor”. De diefstal vond plaats op of rond 29 oktober 2026.

De FBI heeft samen met partners van de U.S. Secret Service en IRS Criminal Investigation waargenomen dat de daders achter TraderTraitor de gestolen activa voornamelijk omzetten in Ethereum, aldus de waarschuwing. De FBI verwacht dat de activa verder worden witgewassen via omzettingen bij DeFi-diensten en directe wisseldiensten, terwijl de daders ze voorbereiden op volgende witwasfasen.

De drie instanties riepen private partijen — waaronder THORNode-exploitanten, RPC-node-exploitanten, directe wisseldiensten, DeFi-diensten, blockchainanalysebedrijven en andere aanbieders van diensten voor virtuele activa — op om transacties te blokkeren met adressen die in de waarschuwing worden vermeld als adressen waarop activa uit de diefstal staan of hebben gestaan, en met transacties die van die adressen afkomstig zijn. De lijst omvat adressen op Ethereum, Bitcoin en Solana die volgens de FBI worden beheerd door of nauw verbonden zijn met de Noord-Koreaanse daders achter TraderTraitor. De FBI Cyber Branch publiceerde de tekst van de waarschuwing op X op 31 oktober 2026 om 22:36:58 GMT.

De FBI zei vast te houden aan haar inzet om de gemeenschap rond virtuele activa te beschermen door “illegale cybercriminaliteit en diefstal van virtuele activa door Noord-Korea op te sporen, tegen te gaan en te verstoren”. De FBI vroeg iedereen met informatie contact op te nemen met een lokaal FBI-veldkantoor of met het Internet Crime Complaint Center via ic3.gov.

Zo verliep de diefstal van 29 oktober

Blockchainonderzoeksbureau TRM Labs, dat op 29 oktober 2026 eigen onderzoek naar de diefstal publiceerde, meldde dat vanaf 20:05 UTC ongeveer 6,36 miljard dollar uit Binance-wallets op tien blockchains was overgemaakt. Het grootste deel daarvan werd in ongeveer 20 minuten verplaatst; rond 23:05 UTC volgde een tweede golf, die Binance-wallets op Avalanche en Polygon bereikte. TRM schreef de aanval met grote zekerheid toe aan TraderTraitor, op basis van informatie van zowel on-chain- als off-chainbronnen, en omschreef de aanval als de grootste cryptodiefstal ooit, ongeveer vier keer zo groot als de Bybit-hack van februari 2025. De cijfers zijn gebaseerd op on-chaingegevens tot 30 oktober 2026 om 00:30 UTC.

TRM telde ongeveer 2,7 miljard dollar aan activa die on-chain waren bevroren: Tether bevroor ongeveer 1,77 miljard USDT, Circle ongeveer 825 miljoen USDC, Ripple 40,5 miljoen RLUSD en World Liberty Financial 27,8 miljoen USD1. Daarnaast gebruikte de Security Council van Arbitrum zijn noodbevoegdheden om 8.426 ETH en 74,6 miljoen ARB, samen ongeveer 30 miljoen dollar waard, uit de wallet van de aanvaller op Arbitrum weg te halen. Ondanks die maatregelen had de aanvaller volgens TRM nog meer dan 420.000 ETH en 18.270 BTC in bezit, samen ongeveer 2,4 miljard dollar aan activa buiten het bereik van iedere uitgever.

Op Ethereum gebruikte de aanvaller volgens het rapport van TRM een EIP-7702-delegatie met 50 vooraf ondertekende machtigingen om een Binance-hotwallet om te vormen tot een wallet die hij zelf beheerde en waarmee hij tegoeden kon wegsluizen. EIP-7702, geïntroduceerd in de Pectra-upgrade van Ethereum in mei 2025, stelt een gewone wallet in staat de controle over zijn werking aan een smart contract over te dragen door een machtiging te ondertekenen. Omdat Binance-wallets op de andere negen chains in dezelfde periode via gewone, ondertekende overboekingen tegoeden naar de aanvaller stuurden, concludeerde TRM dat de meest waarschijnlijke verklaring een inbreuk op de infrastructuur voor het ondertekenen van transacties van Binance-hotwallets was. Binance had ten tijde van het rapport van TRM nog geen oorzaak gepubliceerd.

Eerdere toeschrijving aan Bybit

De FBI heeft de aanduiding TraderTraitor eerder gebruikt. In een openbare waarschuwing van 26 februari 2025 (waarschuwingsnummer I-022625-PSA) stelde de FBI dat Noord-Korea verantwoordelijk was voor de diefstal van ongeveer 1,5 miljard USD aan virtuele activa van cryptobeurs Bybit op of rond 21 februari 2025. In die waarschuwing stond dat de daders achter TraderTraitor snel te werk gingen en een deel van de gestolen activa hadden omgezet in Bitcoin en andere virtuele activa, die over duizenden adressen op meerdere blockchains waren verspreid. Ook stond erin dat de activa naar verwachting verder zouden worden witgewassen en uiteindelijk in fiatgeld zouden worden omgezet. De waarschuwing over Bybit bevatte een vergelijkbaar verzoek aan RPC-node-exploitanten, beurzen, bridges, blockchainanalysebedrijven, DeFi-diensten en andere aanbieders van diensten voor virtuele activa om transacties te blokkeren, en publiceerde een lijst met Ethereum-adressen.

Binance zei in zijn derde update over het herstel op 31 oktober 2026 dat het 90% van de gestolen activa had aangevuld, nadat het daarvoor meer dan 6,34 miljard dollar aan bedrijfsmiddelen had gereserveerd. Het putte daarbij uit een gedeeltelijke inzet van zijn Secure Asset Fund for Users, een deel van zijn verzekeringsfonds voor futures en zijn bedrijfskas. De beurs zei dat BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD en ZEC voor 100% gedekt waren. Ook meldde Binance dat het op 31 oktober 2026 om 00:00 UTC een nieuwe momentopname voor zijn Proof of Reserve had gemaakt, dat het volledige zero-knowledge proof naar verwachting uiterlijk 3 november 2026 klaar zou zijn en dat het nog steeds op schema lag om op 1 november 2026 opnames te hervatten.