FBI knytter Nord-Koreas TraderTraitor til Binance-tyveri på over 6 milliarder dollar

Federal Bureau of Investigation (FBI) knyttet 31. oktober 2026 tyveriet av virtuelle eiendeler verdt mer enn 6 milliarder amerikanske dollar fra kryptobørsen Binance til Nord-Korea. FBI offentliggjorde en advarsel som utpeker Den demokratiske folkerepublikken Korea som ansvarlig og navngir den ondsinnede cyberaktiviteten «TraderTraitor». Tyveriet fant sted omkring 29. oktober 2026.

FBI har sammen med samarbeidspartnere i U.S. Secret Service og IRS Criminal Investigation observert at TraderTraitor-aktører først og fremst veksler de stjålne eiendelene til Ethereum, heter det i advarselen. FBI forventer at eiendelene vil bli hvitvasket videre gjennom vekslinger på DeFi-tjenester og tjenester for umiddelbar veksling, mens aktørene gjør dem klare for flere ledd i hvitvaskingen.

De tre etatene oppfordret aktører i privat sektor – blant annet THORNode-operatører, RPC-nodeoperatører, børser for umiddelbar veksling, DeFi-tjenester, blokkjedeanalysefirmaer og andre tilbydere av tjenester for virtuelle eiendeler – til å blokkere transaksjoner med eller fra adresser som i advarselen er oppført som adresser der eiendeler fra tyveriet oppbevares eller har vært oppbevart. Listen omfatter Ethereum-, Bitcoin- og Solana-adresser som FBI sier drives av eller er nært knyttet til nordkoreanske TraderTraitor-aktører. FBI Cyber Branch publiserte advarselsteksten på X kl. 22:36:58 GMT 31. oktober 2026.

FBI sa at etaten fortsatt er forpliktet til å beskytte miljøet for virtuelle eiendeler ved å «identifisere, begrense og stanse Nord-Koreas ulovlige cyberkriminalitet og tyveri av virtuelle eiendeler», og ba alle som har opplysninger, om å kontakte et lokalt FBI-kontor eller Internet Crime Complaint Center på ic3.gov.

Slik skjedde tyveriet 29. oktober

Blokkjedeanalysefirmaet TRM Labs, som publiserte sin egen undersøkelse av tyveriet 29. oktober 2026, rapporterte at eiendeler verdt omtrent 6,36 milliarder dollar ble flyttet ut av Binance-lommebøker på tvers av ti blokkjeder fra kl. 20:05 UTC. Det meste ble flyttet i løpet av omtrent 20 minutter, før en ny bølge rundt kl. 23:05 UTC nådde Binance-lommebøker på Avalanche og Polygon. TRM tilskrev med høy grad av sikkerhet angrepet til TraderTraitor, med henvisning til etterretning fra både blokkjeden og eksterne kilder, og beskrev det som det største kryptotyveriet som er registrert – omtrent fire ganger større enn Bybit-hacket i februar 2025. Tallene bygger på data fra blokkjeden per 30. oktober 2026 kl. 00:30 UTC.

TRM anslo at omtrent 2,7 milliarder dollar var frosset på blokkjeden: Tether hadde fryst omtrent 1,77 milliarder USDT, Circle omtrent 825 millioner USDC, Ripple 40,5 millioner RLUSD og World Liberty Financial 27,8 millioner USD1. Arbitrum Security Council brukte samtidig sine nødrettigheter til å tvinge 8 426 ETH og 74,6 millioner ARB, til en verdi av omtrent 30 millioner dollar, ut av angriperens lommebok på Arbitrum. TRM rapporterte at angriperen, selv etter disse tiltakene, fortsatt hadde over 420 000 ETH og 18 270 BTC – eiendeler verdt omtrent 2,4 milliarder dollar som ingen utsteder kunne nå.

Ifølge TRMs rapport brukte angriperen på Ethereum en EIP-7702-delegering med 50 forhåndssignerte fullmakter til å gjøre en Binance-hot wallet om til en sweeper-lommebok som angriperen kontrollerte. EIP-7702, som ble innført i Ethereums Pectra-oppgradering i mai 2025, gjør det mulig for en vanlig lommebok å overlate kontrollen over hvordan den oppfører seg, til en smartkontrakt ved å signere en fullmakt. Siden Binance-lommebøker på de ni andre kjedene sendte midler til angriperen gjennom vanlige, signerte overføringer i samme tidsrom, vurderte TRM det som mest sannsynlig at Binance hadde fått kompromittert infrastrukturen som brukes til å signere transaksjoner fra hot wallet-lommebøker. Binance hadde ennå ikke offentliggjort en rotårsak da TRM publiserte rapporten.

Tidligere attribusjon av Bybit-angrepet

FBI har brukt betegnelsen TraderTraitor tidligere. I en offentlig kunngjøring om sikkerhet fra 26. februar 2025 (varselnummer I-022625-PSA) opplyste FBI at Nord-Korea sto bak tyveriet av virtuelle eiendeler verdt omtrent 1,5 milliarder amerikanske dollar fra kryptobørsen Bybit omkring 21. februar 2025. I kunngjøringen het det at TraderTraitor-aktører handlet raskt og hadde vekslet noen av de stjålne eiendelene til Bitcoin og andre virtuelle eiendeler, som var fordelt på tusenvis av adresser på flere blokkjeder. Det ble også opplyst at eiendelene forventes å bli hvitvasket videre og til slutt vekslet til fiatvaluta. Bybit-varselet inneholdt en lignende oppfordring om å blokkere transaksjoner, rettet mot RPC-nodeoperatører, børser, broer, blokkjedeanalysefirmaer, DeFi-tjenester og andre tilbydere av tjenester for virtuelle eiendeler, og publiserte en liste over Ethereum-adresser.

Binance opplyste i sin tredje oppdatering om gjenopprettingen 31. oktober 2026 at selskapet hadde erstattet 90 % av de stjålne eiendelene etter å ha satt av mer enn 6,34 milliarder dollar i selskapsmidler. Dette ble finansiert med en delvis bruk av Secure Asset Fund for Users, en del av forsikringsfondet for futures og midler fra selskapets egenkapital. Børsen sa at BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD og ZEC var fullt sikret med en dekning på 100 %. Den opplyste også at den hadde tatt et nytt Proof of Reserve-øyeblikksbilde kl. 00:00 UTC 31. oktober 2026, og at det fullstendige nullkunnskapsbeviset etter planen skulle være klart innen 3. november 2026. Binance sa at selskapet fortsatt lå an til å gjenoppta uttak 1. november 2026.