TRM Labs en ZachXBT: Noord-Koreaanse Lazarus achter hack op Binance

Onderzoekers wijzen naar Pyongyang

De jacht op de Binance-aanvaller heeft nu een hoofdverdachte: blockchain-analysebedrijf TRM Labs schrijft de aanval toe aan Tradertraitor (onderdeel van het Lazarus-ecosysteem), dat het de elite-hackeenheid van Noord-Korea noemt. Het bedrijf kwam met grote zekerheid tot die conclusie op basis van on-chain en off-chain informatie, waarbij de buit werd geschat op ongeveer 6,36 miljard dollar op het moment dat elk activum werd weggehaald.

Onafhankelijk onderzoeker ZachXBT kwam enkele uren eerder tot een vergelijkbare conclusie, en toen hem werd gevraagd wie er achter de uitstroom zat, antwoordde hij:

"Waarschijnlijk is het de Lazarus-groep (DPRK)"

Dat gezegd hebbende, bevestigen de berichten niet automatisch de verantwoordelijkheid, en geen enkele regering heeft tot nu toe formeel een dader aangewezen.

Ari Redbord, wereldwijd hoofd beleid bij TRM, vertelde Al Jazeera dat de aanval ongekend is en achteraf zal worden gezien als een keerpunt in de geschiedenis van crypto, en voegde daaraan toe:

"Wanneer Noord-Korea op deze schaal geld steelt, wordt dat geld gebruikt voor wapenverspreiding en andere destabiliserende activiteiten."

Een bekend draaiboek, maar dan vier keer zo groot

Het team van TRM is van mening dat de uitvoering en de kenmerkende patronen overeenkomen met de diefstal bij Bybit van begin vorig jaar, die de FBI aan dezelfde groep toeschreef, evenals de Kelpdao-hack in april 2026. Blockchain-analysebedrijf Chainalysis schatte afzonderlijk dat er ongeveer 5,912 miljard dollar werd gestolen, bijna vier keer zoveel als bij Bybit.

De voorbereiding was methodisch: on-chain-onderzoeker 0xQuit ontdekte dat de relayer van de aanvaller was gefinancierd door drie opnames via Tornade Cash van elk 0,1 ETH in de twee dagen daarvoor, waarbij om 15:59 UTC een delegatiecontract werd geïmplementeerd. Een andere analist zei dat de aanvaller de leeghaling zes uur eerder had geoefend op drie nieuwe wallets, waarbij hij testbedragen van verschillende tokens had weggehaald.

De daadwerkelijke aanval vond plaats om 20:24 UTC, toen 167.464 ETH uit de Binance 14 hot wallet werd overgeheveld. Bitcoin.com News beschreef gisteren in detail hoe de wallet-delegatiemanoeuvre werkte en hoe de eerste bevindingen van Binance wezen op de laptop van een gehackte DevOps-engineer.

Op sociale media kreeg de hele episode een spottende wending, waarbij een commentator beweerde dat de aanvaller een „LAZARUS“-memecoin had gelanceerd op Pump.fun. Bitcoin.com News kon niet verifiëren of de uitgever gekoppeld is aan de wallets van de hacker.

Waar het geld naartoe gaat

In tegenstelling tot Bybit, waar gestolen middelen via bridges werden verplaatst, is bij deze witwasoperatie gebruikgemaakt van grote transacties. TRM meldde dat de aanvaller ongeveer 325 miljoen USDT aan marktmakers heeft verkocht voor zo’n 122.300 ETH, met een korting van meer dan 10%. Ook leende hij ongeveer 19.760 ETH op Aave tegen 60 miljoen USDT.

Door bevriezingen is een groot deel teruggewonnen en Binance meldde dat het totale bevroren bedrag ongeveer 3 miljard dollar bedraagt. Toch schat TRM dat de aanvaller nog steeds meer dan 420.000 ETH en 18.270 BTC in bezit heeft, ongeveer 2,4 miljard dollar buiten het bereik van de uitgevers, waarbij de bitcoin via een „peel chain“ wordt verplaatst – een witwasmethode waarbij fondsen worden opgesplitst in een lange reeks kleinere overboekingen.

Onchain Lens meldde dat de groep meer dan 1 miljard dollar aan ETH naar nieuwe wallets verplaatste, waarschijnlijk ter voorbereiding op het ‘mixen’. TRM verwacht dat in de volgende fase gebruik zal worden gemaakt van cross-chain bridges, swapdiensten en over-the-counter (OTC)-makelaars.

Een recordjaar voor cryptodiefstal

De roof vindt plaats in wat Defillama het meest gehackte jaar in de cryptogeschiedenis noemt, met tot nu toe meer dan 8 miljard dollar gestolen in 2026. Ter vergelijking: cybercriminelen stalen in 2025 2,87 miljard dollar bij bijna 150 incidenten.

De aanval op Binance vond ook enkele uren plaats nadat Polymarket de handel had stilgelegd vanwege een afzonderlijke beveiligingslek, wat aantoont op hoeveel fronten beveiligingsteams tegelijkertijd moeten vechten.

De gevolgen zouden wel eens ongekend kunnen zijn

TRM heeft aangegeven partners via zijn Beacon Network te waarschuwen en heeft beurzen aangespoord om stortingen te screenen op gelabelde adressen van de aanvallers. Tegelijkertijd heeft Binance beloofd een gedetailleerde technische analyse te publiceren zodra het voorlopige onderzoek is afgerond.

De belangrijkste vraag is nu snelheid, aangezien elk uur dat de ETH en BTC van de aanvaller ongemengd blijven, onderzoekers meer tijd geeft om uitstapmomenten te signaleren, terwijl de staat van dienst van Noord-Korea suggereert dat de groep zal proberen geld op te nemen via OTC-desks voordat het spoor koud wordt.