TRM Labs și ZachXBT atribuie atacul asupra Binance grupului Lazarus

Anchetatorii indică spre Phenian

Căutarea atacatorului Binance are acum un suspect principal, firma de analiză blockchain TRM Labs atribuind atacul grupului Tradertraitor (parte a ecosistemului Lazarus), pe care l-a numit unitatea de hacking de elită a Coreei de Nord. Firma a ajuns la această concluzie cu un grad ridicat de încredere, pe baza informațiilor din lanțul de blocuri și din afara acestuia, evaluând suma sustrasă la aproximativ 6,36 miliarde de dolari la momentul în care fiecare activ a fost furat.

Anchetatorul independent ZachXBT a ajuns la o concluzie similară cu câteva ore mai devreme și, când a fost întrebat cine se află în spatele furtului, a răspuns:

„Probabil este vorba de Grupul Lazarus (RPDC)”

Cu toate acestea, postările nu confirmă automat responsabilitatea, iar niciun guvern nu a numit încă în mod oficial un vinovat.

Ari Redbord, directorul global de politici al TRM, a declarat pentru Al Jazeera că atacul este fără precedent și va fi considerat ulterior un moment de cotitură în istoria criptomonedelor, adăugând:

„Când Coreea de Nord fură la o asemenea scară, banii finanțează proliferarea armelor și alte activități destabilizatoare.”

Un scenariu cunoscut, dar de patru ori mai amplu

Echipa TRM consideră că modul de desfășurare și modelele caracteristice se potrivesc cu furtul de la Bybit de la începutul anului trecut, pe care FBI-ul l-a atribuit aceluiași grup, alături de atacul cibernetic asupra Kelpdao din aprilie 2026. Firma de analiză blockchain Chainalysis a estimat separat că au fost furați aproximativ 5,912 miliarde de dolari, o sumă de aproape patru ori mai mare decât cea din cazul Bybit.

Pregătirea a fost metodică, cercetătorul on-chain 0xQuit descoperind că intermediarul atacatorului a fost finanțat prin trei retrageri din Tornade Cash de câte 0,1 ETH fiecare în cele două zile anterioare, cu un contract delegat implementat la ora 15:59 UTC. Un alt analist a afirmat că atacatorul a repetat operațiunea de golire cu șase ore mai devreme pe trei portofele noi, transferând sume de test pentru mai multe token-uri.

Atacul propriu-zis a avut loc la ora 20:24 UTC, când 167.464 ETH au fost transferați din portofelul „hot” Binance 14. Bitcoin.com News a detaliat ieri modul în care a funcționat manevra de delegare a portofelului, precum și modul în care propriile concluzii inițiale ale Binance indicau un laptop compromis al unui inginer DevOps.

Rețelele sociale au adăugat o notă ironică întregului episod, un comentator susținând că atacatorul a lansat o monedă meme numită „LAZARUS” pe Pump.fun. Bitcoin.com News nu a putut verifica dacă cel care a lansat moneda are legătură cu portofelele hackerului.

Unde se duc banii

Spre deosebire de Bybit, unde fondurile furate au fost transferate rapid prin bridge-uri, această spălare de bani s-a bazat pe tranzacții de mare volum. TRM a declarat că atacatorul a vândut aproximativ 325 de milioane de USDT către market maker-i pentru aproximativ 122.300 ETH, cu o reducere de peste 10%. De asemenea, acesta a împrumutat aproximativ 19.760 ETH pe Aave în schimbul a 60 de milioane USDT.

Măsurile de înghețare au recuperat o mare parte din sumă, iar Binance a declarat că valoarea totală înghețată a ajuns la aproximativ 3 miliarde de dolari. Cu toate acestea, TRM estimează că atacatorul deține peste 420.000 ETH și 18.270 BTC, aproximativ 2,4 miliarde de dolari aflați în afara controlului emitenților, bitcoinul fiind transferat printr-un „peel chain”, o metodă de spălare a banilor care împarte fondurile într-un șir lung de transferuri mai mici.

Onchain Lens a raportat că grupul transfera peste 1 miliard de dolari în ETH către noi portofele, probabil în vederea amestecării. TRM se așteaptă ca următoarea etapă să implice punți inter-lanț, servicii de swap și brokeri over-the-counter (OTC).

Un an record pentru furturile de criptomonede

Jaful are loc în ceea ce Defillama numește cel mai afectat de hackeri an din istoria criptomonedelor, cu peste 8 miliarde de dolari furați până în prezent în 2026. Prin comparație, infractorii cibernetici au furat 2,87 miliarde de dolari în aproape 150 de incidente în 2025.

Atacul asupra Binance a avut loc la câteva ore după ce Polymarket a suspendat tranzacționarea din cauza unei vulnerabilități separate, ceea ce arată pe câte fronturi luptă simultan echipele de securitate.

Consecințele ar putea fi fără precedent

TRM a declarat că își alertează partenerii prin intermediul rețelei sale Beacon Network și a îndemnat platformele de tranzacționare să verifice depozitele în raport cu adresele atacatorilor marcate. În același timp, Binance a promis o analiză tehnică detaliată după finalizarea anchetei preliminare.

Întrebarea cheie acum este viteza, deoarece fiecare oră în care ETH-ul și BTC-ul atacatorului rămân neamestecate le oferă anchetatorilor mai mult timp pentru a identifica ieșirile, în timp ce istoricul Coreei de Nord sugerează că grupul va încerca să încaseze banii prin intermediul birourilor OTC înainte ca urmele să se piardă.