Hackere som skal arbeide for det nordkoreanske regimet, anklages for å stå bak det største kjente tyveriet av kryptovaluta noensinne. Minst 6,3 milliarder dollar skal ha blitt stjålet fra Binances lommebøker, men rundt halvparten av beløpet ble fryst mens verdiene ble flyttet mellom ulike blokkjeder, ifølge sikkerhetsforskere.

Omfanget kan fortsatt endre seg, og det er foreløpig ikke bekreftet at hendelsen er avsluttet. Binance, verdens største kryptobørs, har stanset alle innskudd og uttak mens selskapet etterforsker angrepet.

Angrepet startet på en ansatts bærbare PC

Binance opplyste i et innlegg på X at den innledende granskingen viste at hackerne tok seg inn i selskapets nettverk etter å ha målrettet en «kompromittert» bærbar PC tilhørende en Binance-ingeniør. Dette skal ha gitt angriperen tilgang til en tjenestebeholder og gjort det mulig å sende inn uautoriserte uttakstransaksjoner.

Selskapet sier samtidig at det ikke har funnet tegn til at de private nøklene er lekket. Slike nøkler ville gitt hackeren nærmest ubegrenset kontroll over selskapets kryptobeholdning.

Binance har sagt at «brukernes midler er trygge», men har ikke umiddelbart lagt fram dokumentasjon på påstanden. Selskapet opplyser at det vil «publisere en oppdatert oversikt over reservene når utbedringen er fullført».

Uklart hvordan datamaskinen ble kompromittert

Det er fortsatt uklart hvordan angrepet ble gjennomført, eller under hvilke omstendigheter den ansattes PC ble kompromittert. Sikkerhetshendelser kan blant annet oppstå gjennom programvare som er infisert eller endret på ansattes enheter.

Programvare består ofte av mange komponenter, blant annet åpen kildekode. Hackere kan målrette slike komponenter, endre dem og bruke dem til å stjele data fra enheter der programvaren er installert. Skadevare som følger med apper og spill som ser legitime ut, kan også hente brukernavn, passord og øktbilletter. Dette kan gjøre det mulig å logge inn som om man var en autorisert ansatt.

Angrepet vil dermed reise spørsmål om hvorfor sikkerhetsoppsettet i Binance tillot at én ansatts bærbare PC kunne få tilgang til systemer som styrer verdier for milliarder av dollar.

Forskere peker på nordkoreansk hackergruppe

Binance-talsmenn svarte ikke på en forespørsel om kommentar om angrepet. Det er også stilt spørsmål ved hvem som eventuelt gjennomførte en sikkerhetsrevisjon av Binances nettverk og systemer før angrepet. Det er uklart om selskapet hadde bedt et eksternt firma om å stressteste sikkerheten.

Sikkerhetsforskere i TRM Labs, som arbeider med blokkjedeanalyse og digital etterforskning, knytter angrepet til nordkoreanske hackere og omtaler det som «det største hackerangrepet i historien».

Forskerne beskriver nettverket, som er kjent i sikkerhetsbransjen som TraderTraitor, som en nordkoreansk gruppe som nesten utelukkende stjeler kryptovaluta fra store selskaper og børser. Gruppen ble også anklaget for det som nå skal være det nest største kryptotyveriet, da 1,4 milliarder dollar ble stjålet fra kryptobørsen Bybit i 2025.

Ifølge TRM Labs tok selve tyveriet fra Binance rundt 20 minutter. Blokkjede-sikkerhetsselskapet Elliptic har også knyttet Binance-tyveriet til nordkoreanske hackere. Elliptic sier at deler av de stjålne midlene endte i den samme lommeboken som ble brukt i et tidligere angrep mot kryptobørsen Bitget tidligere i år. I det angrepet ble 351 millioner dollar stjålet.

USA advarer mot nordkoreansk kryptotyveri

Amerikanske myndigheter og deres allierte har i lang tid advart mot trusselen fra Nord-Korea. Landet er avskåret fra USA og det globale finanssystemet på grunn av det pågående arbeidet med atomvåpenprogrammet.

Forskere mener Nord-Koreas hovedmotiv er å stjele mest mulig kryptovaluta for å kunne fortsette utviklingen av landets sanksjonerte masseødeleggelsesvåpen.