1,4 mrd dollar bitcoin uit Binance-hack door Noord-Korea blijft onaangeroerd

Noord-Koreaanse hackers achter de roof van 6,3 miljard dollar bij Binance

Opnieuw wordt Pyongyang ervan beschuldigd een roof van 6,3 miljard dollar te hebben georganiseerd tegen ’s werelds grootste cryptocurrency-beurs qua handelsvolume. Uit het voorlopige onderzoek van Binance bleek dat de inbraak afkomstig was van de laptop van een software-engineer die gehackt was. Door deze inbreuk kregen de aanvallers vervolgens toegang tot een van de interne diensten van de beurs.

Uit latere forensische bevindingen kwamen echter nog meer gecompromitteerde systemen naar voren, wat duidt op een veel geavanceerdere operatie dan de simpele diefstal van de inloggegevens van één enkele medewerker. Verschillende blockchain-inlichtingenbedrijven, waaronder Chainalysis, Elliptic en TRM Labs, schreven de diefstal toe aan Tradertraitor, een conclusie die op 31 oktober werd bevestigd toen de FBI de Noord-Koreaanse hackoperatie aanwijst als verantwoordelijke voor de aanval.

Tradertraitor is nauw verbonden met de Lazarus-groep en opereert als een gespecialiseerde, financieel gemotiveerde subgroep en als een aanduiding voor bijbehorende malware- en cyberspionagecampagnes binnen het bredere, door de Noord-Koreaanse staat gesponsorde hackapparaat. De Lazarus-groep heeft in het verleden aanzienlijke bitcoin-bezittingen beheerd, en de meest recente diefstal van 18.270,2 BTC maakt van Noord-Korea ogenschijnlijk de op twee na grootste nationale houder van de cryptovaluta ter wereld.

Hoewel het te gelde maken van illegaal verkregen bitcoin algemeen wordt beschouwd als een enorme uitdaging, heeft Pyongyang herhaaldelijk aangetoond dat het blijkbaar in staat is om gestolen activa relatief gemakkelijk om te zetten in bruikbare middelen.

Een kijkje in de bitcoin-diefstal die 95% van een Binance-hotwallet leeghaalde

De meest recente diefstal bij Binance vormt een bijzonder intrigerend raadsel, aangezien het precieze mechanisme achter de bitcoin-onttrekking onduidelijk blijft. Het gestolen geld, dat momenteel wordt geschat op 1,4 miljard dollar, werd via elf afzonderlijke overboekingen verplaatst voordat het werd verdeeld over wallets met wisselende hoeveelheden BTC.

In totaal bevinden de middelen zich nu in 19 verschillende wallets, waarbij alle transacties zijn bevestigd op Bitcoin-blokhoogte 973732. Het gestolen geld is afkomstig uit een Binance-hotwallet met het adres bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, waarin momenteel ongeveer 5,495 BTC ter waarde van $ 426.000 is opgeslagen.

Sinds de aanmaak in 2021 heeft dit uitzonderlijk actieve adres maar liefst 16.517.012,48 BTC aan inkomende overschrijvingen en 16.517.006,98 BTC aan uitgaande transacties verwerkt. In juni 2022 had de wallet een saldo van 138.000 BTC en onderhield het transactionele verbindingen met belangrijke spelers in de sector, waaronder gecentraliseerde beursplatforms (CEX) zoals Kraken, OKX, Bullish, Bybit, Coinbase en tientallen andere.

Adressen die naar verluidt gelinkt zijn aan Wintermute, de algoritmische marktmaker voor cryptovaluta, hebben ook 76 keer interactie gehad met de wallet, waarbij meer dan 900 miljoen dollar aan bitcoin betrokken was. Toen Tradertraitor de wallet hackte, bevatte deze ongeveer 19.200 BTC, waarbij het hackerssyndicaat in minder dan 20 minuten bijna 95% van de inbezitgehouden middelen wegsluisde. Van de 19 wallets die worden toegeschreven aan de hackers uit Pyongyang, bevatten er 17 precies 1.000 BTC per stuk, terwijl de overige twee respectievelijk 832,5 BTC en 437,7 BTC bevatten.

Gestolen bitcoin blijft ongebruikt terwijl de geschiedenis van witwassen door Noord-Korea vragen oproept

Voorlopig blijft de gestolen bitcoin op deze adressen onaangeroerd, hoewel hun huidige inactiviteit geen garantie biedt voor blijvende inactiviteit. Het opsplitsen van de buit zorgde voor meer outputs om in de gaten te houden, maar het wist hun herkomst niet uit. Onchain-onderzoekers en blockchain-inlichtingenbedrijven zullen deze bitcoin-adressen ongetwijfeld onder de loep nemen, aangezien gestolen BTC vaak lange tijd inactief blijft voordat het uiteindelijk wordt verplaatst, hoewel dergelijke vertragingen verre van algemeen zijn.

Ondertussen bevatten de wallets die door Arkham Intelligence rechtstreeks aan de Lazarus-groep worden toegeschreven momenteel een relatief bescheiden 23,38 BTC, een dramatische afwijking van de ongeveer 14.000 BTC die zij in maart 2025 onder hun beheer hadden. Dit wijst erop dat Noord-Korea blijk heeft gegeven van een aanzienlijk vermogen om duizenden bitcoins systematisch te verspreiden en uiteindelijk manieren te vinden om de illegale bezittingen te gelde te maken. Hoewel er een uitgebreide terugvorderingsoperatie gaande is om Binance te helpen zijn gestolen activa terug te krijgen, biedt Bitcoin geen mechanisme om de middelen eenvoudigweg te bevriezen.

De onbreekbare regels van Bitcoin houden onderzoekers in de gaten

Uitgevers van stablecoins kunnen activa blokkeren via beperkingen die in hun tokencontracten zijn ingebouwd, maar Bitcoin kent geen vergelijkbare centrale autoriteit die in staat is om adressen op een zwarte lijst te plaatsen of bevestigde transacties ongedaan te maken. Bijgevolg moeten onderzoekers potentiële interventiepunten identificeren, zoals beurzen, makelaars of andere tussenpersonen waar de gestolen opbrengsten uiteindelijk langs zouden kunnen gaan. Als alternatief zou het verkrijgen van controle over de bijbehorende privésleutels een manier kunnen zijn om de bitcoin in beslag te nemen. Geen van beide benaderingen houdt echter een administratieve ongedaanmaking in van een transactie die op de Bitcoin-blockchain is vastgelegd.

Voorlopig biedt het transparante grootboek een gedetailleerd bewijstraject zonder dat dit controle over de activa zelf verleent. Onderzoekers kunnen elke beweging van de gestolen bitcoins traceren, maar zichtbaarheid alleen geeft hen geen bevoegdheid om deze over te dragen.