Des chercheurs en cybersécurité de TRM Labs et Chainalysis, ainsi que l’enquêteur on-chain ZachXBT, ont établi un lien entre le piratage de Binance, qui a coûté 6,3 milliards de dollars, et le groupe nord-coréen TraderTraitor.
TRM Labs a attribué l’attaque à TraderTraitor avec un « haut degré de confiance », en s’appuyant sur des renseignements on-chain et off-chain.
L’enquêteur on-chain ZachXBT a déclaré que les fonds volés à Binance et lors de l’exploit antérieur de Bitget avaient été mélangés à la même adresse après avoir transité par THORChain.
« Cela indique que le même acteur est probablement derrière les deux incidents », a-t-il déclaré, ajoutant que l’attaque contre Bitget avait été attribuée à TraderTraitor.
Le cofondateur et PDG de Chainalysis, Jonathan Levin, a également pointé du doigt TraderTraitor, affirmant que le groupe avait dérobé 6,4 milliards de dollars, un montant légèrement supérieur aux 6,3 milliards de dollars estimés par Binance.
« Nous estimons que le piratage de Binance, qui a entraîné une perte de 6,4 milliards de dollars, a probablement été commis par le groupe nord-coréen TraderTraitor, en raison de liens avec un piratage antérieur », a-t-il déclaré.
Cette attribution fait suite à une évaluation antérieure du PDG de Blockaid, Ido Ben-Natan, qui a déclaré à Cointelegraph que la sophistication de l’attaque et les préparatifs sur la blockchain rappelaient des activités nord-coréennes.
Les autorités américaines ont associé TraderTraitor à certains des plus importants vols de cryptomonnaies, notamment au piratage de Bybit en février 2025. Le FBI s’est également joint aux enquêteurs américains et japonais pour attribuer le vol de plus de 300 millions de dollars chez DMM Bitcoin, en mai 2024, à des acteurs nord-coréens.
Selon le FBI, TraderTraitor cible les employés d’entreprises par le biais de l’ingénierie sociale. Dans l’affaire DMM, un attaquant se faisant passer pour un recruteur a envoyé un test de programmation malveillant à un employé du fournisseur de portefeuilles Ginco. Les enquêteurs ont déclaré que l’accès ainsi obtenu avait probablement servi à manipuler une demande de transaction légitime et à détourner les fonds vers des portefeuilles contrôlés par l’attaquant.