FBI pekar ut Nordkoreas TraderTraitor bakom stölden av över 6 miljarder dollar från Binance

Den 31 oktober 2026 tillskrev Federal Bureau of Investigation (FBI) stölden av virtuella tillgångar till ett värde av över 6 miljarder USD från kryptovalutabörsen Binance Nordkorea. Myndigheten publicerade en säkerhetsvarning där den pekar ut Demokratiska folkrepubliken Korea som ansvarig och benämner den skadliga cyberaktiviteten ”TraderTraitor”. Stölden ägde rum den 29 oktober 2026 eller omkring det datumet.

FBI har tillsammans med sina samarbetspartner vid U.S. Secret Service och IRS Criminal Investigation observerat att TraderTraitor-aktörer främst växlar de stulna tillgångarna till Ethereum, enligt säkerhetsvarningen. Myndigheten räknar med att tillgångarna kommer att tvättas ytterligare genom växlingar via DeFi-tjänster och tjänster för omedelbara växlingar, medan aktörerna förbereder dem för ytterligare steg i penningtvätten.

De tre myndigheterna uppmanade aktörer inom den privata sektorn – däribland operatörer av THORNode och RPC-noder, tjänster för omedelbara växlingar, DeFi-tjänster, företag inom blockkedjeanalys och andra leverantörer av tjänster för virtuella tillgångar – att blockera transaktioner med adresser som anges i säkerhetsvarningen, eller transaktioner som härrör från sådana adresser, och som innehar eller har innehaft tillgångar från stölden. Listan omfattar adresser på Ethereum, Bitcoin och Solana som FBI uppger drivs av eller har nära koppling till Nordkoreas TraderTraitor-aktörer. FBI:s cyberavdelning publicerade säkerhetsvarningens text på X klockan 22:36:58 GMT den 31 oktober 2026.

FBI uppgav att myndigheten står fast vid sitt åtagande att skydda gemenskapen kring virtuella tillgångar genom att ”identifiera, motverka och slå ut Nordkoreas olagliga cyberbrottslighet och stölder av virtuella tillgångar”. Myndigheten uppmanade alla som har information att kontakta ett lokalt FBI-kontor eller Internet Crime Complaint Center på ic3.gov.

Så gick stölden den 29 oktober till

Företaget inom blockkedjeanalys TRM Labs, som publicerade sin egen utredning av stölden den 29 oktober 2026, rapporterade att omkring 6,36 miljarder dollar flyttades från Binance-plånböcker på tio blockkedjor från klockan 20:05 UTC. Merparten flyttades under ungefär 20 minuter, och en andra våg omkring klockan 23:05 nådde Binance-plånböcker på Avalanche och Polygon. TRM tillskrev med hög säkerhet attacken till TraderTraitor med hänvisning till underrättelseuppgifter både från och utanför blockkedjan. Företaget beskrev den som den största kryptostölden som registrerats, omkring fyra gånger större än Bybit-hacket i februari 2025. Siffrorna bygger på data från blockkedjan per den 30 oktober 2026 klockan 00:30 UTC.

TRM räknade med att omkring 2,7 miljarder dollar hade frysts på blockkedjan: Tether hade fryst cirka 1,77 miljarder USDT, Circle omkring 825 miljoner USDC, Ripple 40,5 miljoner RLUSD och World Liberty Financial 27,8 miljoner USD1. Arbitrum Security Council använde samtidigt sina nödbefogenheter för att tvinga ut 8 426 ETH och 74,6 miljoner ARB, värda omkring 30 miljoner dollar, ur angriparens plånbok på Arbitrum. Trots dessa åtgärder hade angriparen fortfarande över 420 000 ETH och 18 270 BTC, tillgångar värda omkring 2,4 miljarder dollar som låg utanför alla emittenters räckhåll, rapporterade TRM.

På Ethereum använde angriparen en EIP-7702-delegering med 50 förhandssignerade auktoriseringar för att omvandla en Binance-hotplånbok till en sveparplånbok under sin kontroll, enligt TRM:s rapport. EIP-7702, som infördes i Ethereums Pectra-uppgradering i maj 2025, gör det möjligt för en vanlig plånbok att överlåta kontrollen över sitt beteende till ett smart kontrakt genom att signera en auktorisering. Eftersom Binance-plånböckerna på de nio övriga kedjorna under samma tidsperiod skickade pengar till angriparen genom vanliga signerade överföringar bedömde TRM att den mest sannolika förklaringen var att Binances signeringsinfrastruktur för hotplånboken hade komprometterats. När TRM publicerade sin rapport hade Binance ännu inte redovisat någon grundorsak.

Tidigare utpekande av Bybit

FBI har använt beteckningen TraderTraitor tidigare. I ett offentligt meddelande till allmänheten den 26 februari 2025 (varningsnummer I-022625-PSA) uppgav myndigheten att Nordkorea låg bakom stölden av virtuella tillgångar till ett värde av omkring 1,5 miljarder USD från kryptovalutabörsen Bybit den 21 februari 2025 eller omkring det datumet. I meddelandet stod det att TraderTraitor-aktörerna agerade snabbt och hade växlat en del av de stulna tillgångarna till Bitcoin och andra virtuella tillgångar, som hade spridits över tusentals adresser på flera blockkedjor. Tillgångarna väntades bli föremål för ytterligare penningtvätt och så småningom växlas till fiatvaluta. I Bybit-varningen riktades en liknande uppmaning om att blockera transaktioner till operatörer av RPC-noder, börser, bryggor, företag inom blockkedjeanalys, DeFi-tjänster och andra leverantörer av tjänster för virtuella tillgångar. Varningen innehöll också en lista över Ethereum-adresser.

I sin tredje uppdatering om återställningen den 31 oktober 2026 uppgav Binance att företaget hade återställt 90 procent av de stulna tillgångarna efter att ha avsatt mer än 6,34 miljarder dollar i företagsmedel. Återställningen finansierades delvis genom Binance Secure Asset Fund for Users, en del av företagets försäkringsfond för terminskontrakt och företagets egna medel. Börsen uppgav att BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD och ZEC var fullt täckta till 100 procent. Den hade tagit en ny ögonblicksbild av sina reservtillgångar klockan 00:00 UTC den 31 oktober 2026, och den fullständiga nollkunskapsbevisningen beräknades vara klar senast den 3 november 2026. Binance uppgav också att företaget fortfarande räknade med att återuppta uttag den 1 november 2026.