1,4 mld dolarów w bitcoinach z włamania do Binance nietknięte

Północnokoreańscy hakerzy stoją za kradzieżą 6,3 mld dolarów z Binance

Po raz kolejny Pjongjang jest oskarżany o zorganizowanie kradzieży o wartości 6,3 mld dolarów z największej na świecie giełdy kryptowalut pod względem wolumenu obrotu. Wstępne dochodzenie przeprowadzone przez Binance sugeruje, że włamanie miało swój początek w zainfekowanym laptopie inżyniera oprogramowania. Następnie naruszenie to zapewniło atakującym punkt dostępu do jednej z wewnętrznych usług giełdy.

Jednak późniejsze ustalenia kryminalistyczne ujawniły dodatkowe zainfekowane systemy, co sugeruje znacznie bardziej wyrafinowaną operację niż zwykła kradzież danych uwierzytelniających pojedynczego pracownika. Kilka firm zajmujących się analizą danych z łańcucha bloków, w tym Chainalysis, Elliptic i TRM Labs, przypisało tę kradzież grupie Tradertraitor; ocena ta została potwierdzona 31 października, kiedy to FBI wskazało północnokoreańską operację hakerską jako odpowiedzialną za ten atak.

Tradertraitor jest ściśle powiązany z Grupą Lazarus, działając jako wyspecjalizowana, kierowana motywami finansowymi podgrupa oraz jako nazwa dla powiązanych kampanii złośliwego oprogramowania i cyberszpiegostwa w ramach szerszego, sponsorowanego przez państwo aparatu hakerskiego Korei Północnej. Grupa Lazarus od dawna kontroluje znaczne zasoby bitcoinów, a ostatnia kradzież 18 270,2 BTC sprawia, że Korea Północna staje się trzecim co do wielkości posiadaczem tej kryptowaluty wśród państw na świecie.

Chociaż likwidacja nielegalnie zdobytych bitcoinów jest powszechnie uważana za ogromne wyzwanie, Pjongjang wielokrotnie wykazał się wyraźną zdolnością do stosunkowo łatwego przekształcania skradzionych aktywów w środki gotowe do wykorzystania.

Zagadka kradzieży bitcoinów, która opróżniła 95% gorącego portfela Binance

Najnowsza kradzież z Binance stanowi szczególnie intrygującą zagadkę, ponieważ dokładny mechanizm wyciągania bitcoinów pozostaje niejasny. Skradzione środki, których wartość szacuje się obecnie na 1,4 mld dolarów, przeszły przez 11 oddzielnych przelewów, zanim zostały rozdzielone na portfele zawierające różne kwoty BTC.

Łącznie środki znajdują się obecnie w 19 różnych portfelach, a wszystkie transakcje zostały potwierdzone na wysokości bloku Bitcoin 973732. Skradzione środki pochodziły z portfela gorącego Binance o identyfikatorze bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, na którym obecnie znajduje się około 5,495 BTC o wartości 426 000 USD.

Od momentu utworzenia w 2021 r. ten wyjątkowo aktywny adres przetworzył aż 16 517 012,48 BTC w przelewach przychodzących oraz 16 517 006,98 BTC w transakcjach wychodzących. W czerwcu 2022 r. portfel ten dysponował saldem w wysokości 138 000 BTC i utrzymywał powiązania transakcyjne z głównymi uczestnikami branży, w tym ze scentralizowanymi platformami wymiany (CEX), takimi jak Kraken, OKX, Bullish, Bybit, Coinbase i dziesiątkami innych.

Adresy rzekomo powiązane z Wintermute, algorytmicznym animatorem rynku kryptowalut, również nawiązały kontakt z tym portfelem 76 razy, a transakcje te dotyczyły bitcoinów o wartości ponad 900 milionów dolarów. Kiedy grupa Tradertraitor przejęła kontrolę nad portfelem, zawierał on około 19 200 BTC, a grupa hakerska wyprowadziła z niego prawie 95% środków w mniej niż 20 minut. Spośród 19 portfeli przypisywanych hakerom z Pjongjangu 17 zawiera dokładnie po 1 000 BTC, podczas gdy pozostałe dwa zawierają odpowiednio 832,5 BTC i 437,7 BTC.

Skradzione bitcoiny pozostają nieaktywne, a historia prania brudnych pieniędzy przez Koreę Północną budzi wątpliwości

Na razie skradzione bitcoiny pozostają nietknięte na tych adresach, choć ich obecna bezczynność nie gwarantuje trwałego braku aktywności. Podział łupu spowodował powstanie większej liczby wyjść do monitorowania, ale nie wymazał ich pochodzenia. Badacze łańcucha bloków i firmy zajmujące się analizą danych z blockchaina z pewnością dokładnie przeanalizują te adresy bitcoinowe, ponieważ skradzione BTC często pozostają nieaktywne przez dłuższy czas przed ostatecznym przemieszczeniem, choć takie opóźnienia nie są regułą.

Tymczasem portfele bezpośrednio przypisane grupie Lazarus przez Arkham Intelligence zawierają obecnie stosunkowo skromną kwotę 23,38 BTC, co stanowi radykalne odchylenie od około 14 000 BTC, którymi dysponowali w marcu 2025 roku. Sugeruje to, że Korea Północna wykazała się znaczną zdolnością do systematycznego rozpraszania tysięcy bitcoinów i ostatecznego znajdowania sposobów na upłynnienie nielegalnych aktywów. Chociaż trwają szeroko zakrojone działania mające na celu odzyskanie skradzionych aktywów przez Binance, Bitcoin nie oferuje żadnego mechanizmu pozwalającego po prostu zamrozić te środki.

Niezmienne zasady Bitcoina zmuszają śledczych do biernej obserwacji

Emitenci stablecoinów mogą unieruchomić aktywa poprzez ograniczenia zawarte w umowach dotyczących tokenów, ale Bitcoin nie posiada odpowiednika centralnego organu zdolnego do umieszczania adresów na czarnej liście lub cofania potwierdzonych transakcji. W związku z tym śledczy muszą zidentyfikować potencjalne punkty interwencji, takie jak giełdy, brokerzy lub inni pośrednicy, przez których skradzione środki mogą ostatecznie przepłynąć. Alternatywnie, przejęcie kontroli nad odpowiednimi kluczami prywatnymi mogłoby stanowić sposób na zajęcie bitcoinów. Żadne z tych podejść nie stanowi jednak administracyjnego cofnięcia transakcji zapisanej w łańcuchu bloków Bitcoina.

Na razie przejrzysty rejestr zapewnia szczegółowy ślad dowodowy, nie dając jednak kontroli nad samymi aktywami. Śledczy mogą prześledzić każdy ruch skradzionych bitcoinów, ale sama widoczność nie daje im uprawnień do ich przeniesienia.