Cybersicherheitsforscher von TRM Labs und Chainalysis sowie der Onchain-Ermittler ZachXBT haben den Binance-Hack im Wert von 6,3 Milliarden US-Dollar mit der nordkoreanischen Gruppe TraderTraitor in Verbindung gebracht.
TRM Labs schrieb den Angriff TraderTraitor mit „hoher Sicherheit“ zu und verwies dabei auf Onchain- und Offchain-Informationen.
Der Onchain-Ermittler ZachXBT sagte, dass die von Binance gestohlenen Gelder und die beim früheren Bitget-Exploit erbeuteten Gelder an derselben Adresse vermischt worden seien, nachdem sie über THORChain transferiert worden waren.
„Dies deutet darauf hin, dass wahrscheinlich derselbe Akteur hinter beiden Vorfällen steckt“, sagte er und fügte hinzu, dass der Angriff auf Bitget TraderTraitor zugeschrieben worden sei.
Chainalysis-Mitgründer und CEO Jonathan Levin verwies ebenfalls auf TraderTraitor und sagte, die Gruppe habe 6,4 Milliarden Dollar gestohlen – etwas mehr als die von Binance geschätzten Auswirkungen von 6,3 Milliarden Dollar.
„Wir gehen davon aus, dass der Binance-Hack mit einem Schaden von 6,4 Milliarden Dollar wahrscheinlich von der nordkoreanischen Gruppe TraderTraitor verübt wurde, da es Verbindungen zu früheren Hacks gibt“, sagte er.
Diese Zuordnung folgt auf eine frühere Einschätzung von Blockaid-CEO Ido Ben-Natan, der gegenüber Cointelegraph sagte, die Komplexität des Angriffs und die Vorbereitungen onchain ähnelten Aktivitäten aus Nordkorea.
US-Behörden haben TraderTraitor mit einigen der größten Diebstähle in der Kryptobranche in Verbindung gebracht, darunter dem Bybit-Hack im Februar 2025. Das FBI schloss sich zudem Ermittlern aus den USA und Japan an, die den Diebstahl von mehr als 300 Millionen Dollar von DMM Bitcoin im Mai 2024 nordkoreanischen Akteuren zuschrieben.
Laut FBI nimmt TraderTraitor Mitarbeiter von Unternehmen mithilfe von Social Engineering ins Visier. Im Fall DMM schickte ein Angreifer, der sich als Personalvermittler ausgab, einem Mitarbeiter des Wallet-Anbieters Ginco einen bösartigen Programmiertest. Ermittler erklärten, der dadurch erlangte Zugriff sei wahrscheinlich dazu genutzt worden, eine legitime Transaktionsanfrage zu manipulieren und Gelder auf von den Angreifern kontrollierte Wallets umzuleiten.