Binance-hack van $6,3 mrd is 'cyberoorlog', TRM Labs eist offensieve overheidsactie

TRM Labs' wereldwijde hoofd van beleid en overheidszaken, Ari Redbord, karakteriseerde de $6,3 miljard diefstal bij Binance als "cyberoorlog" en riep regeringen op om offensieve cyberoperaties te voeren tegen de hackinfrastructuur van Noord-Korea, met het argument dat het ongekende succes van de industrie om 40% van de gestolen middelen te bevriezen, een regime niet zal weerhouden waarvoor cryptodiefstal ongeveer een derde van het BBP uitmaakt.

Belangrijkste Punten

Noord-Koreaanse groep TraitorTrader toegeschreven $6,3 mrd Binance-hack (acht weken inbraak via recruiter social engineering en gecompromitteerd AI-hulpmiddel) en $1,5 mrd Bybit-hack in feb 2025.
Industrie bevroor ~$2,67 mrd (40% van gestolen middelen) in ongekende coördinatie; Tether bevroor 971,1 mln USDT binnen 37 minuten via TRM Beacon Network.
Aanval is ~1/3 van Noord-Korea's BBP en 50% van alle door staten gesteunde cryptodiefstallen sinds 2017 ($12,5 mrd totaal); Redbord stelt dat defensief bevriezen alleen niet werkt.
T3 Financial Crime Unit (TRM, Tron, Tether) ontbonden aug 2025 met coördinatiefalen als reden; Tether gaat door via Beacon.
Redbord eist overheids-offensieve cyberoperaties, AI-gestuurde verdedigingspariteit en actie tegen witwasnetwerken; Fed/OCC controleren Amerikaanse bankblootstelling.

INTELLIGENCE

Executive Intelligence Brief

Wat gebeurde er: TRM Labs' Ari Redbord characterized the $6.3 billion Binance hack as 'cyber war' and called for offensive government cyber operations against North Korean state-backed hackers, following an unprecedented industry response that froze 40% of stolen funds.

Waarom het belangrijk is: The attack, attributed to North Korea's TraitorTrader group, represents roughly one-third of the country's GDP and half of all state-backed crypto theft since 2017, demonstrating that defensive coordination alone cannot deter adversaries with asymmetric economic incentives.

Wat te volgen: Monitor for government offensive cyber policy shifts; track TRM Beacon Network adoption and T3 Financial Crime Unit dissolution fallout; watch for Binance post-mortem security implementations and potential regulatory action on exchange hot-wallet controls.

Aanvalsmechanica en Toeschrijving

Binance onthulde in een post-mortem van 3 november dat aanvallers zich voordeden als recruiters om malware op de werkcomputer van een ingenieur te plaatsen, en vervolgens een gecompromitteerd intern AI-hulpmiddel benutten om toegang te krijgen tot de wallet-ondertekeningsdienst van de beurs. Het inbraakvenster besloeg acht weken vóór de exploit, volgens blockchain-beveiligingsfirma SEAL. TRM Labs schrijft de aanval toe aan een Noord-Koreaanse groep die het volgt als TraitorTrader, met verwijzing naar "onweerlegbare" onchain- en offchain-bewijzen. Dezelfde groep werd in verband gebracht met de $1,5 miljard Bybit-hack in februari 2025.

Redbord merkte op dat de diefstal van Noord-Korea op 29 oktober de helft uitmaakte van de $12,5 miljard die door door staten gesteunde hackers sinds 2017 zijn gestolen. "Zelfs als aanvallers slechts $1 miljard weten te recupereren, blijft de potentiële opbrengst enorm," zei hij. "Noord-Korea zal dit blijven doen zolang het effectief is."

Ongekende Industriële Coördinatie

De snelheid van de industriële reactie markeerde een keerpunt. Tether bevroor 971,1 miljoen USDT binnen 37 minuten na de hoofdsweep. Gecombineerde bevriezingen door stablecoin-uitgevers beliefen zich op ongeveer $2,67 miljard, wat 40% van het gestolen bedrag vertegenwoordigt. "Zoiets is nog nooit gedaan," zei Redbord. "Ze wisten 40% direct terug te vorderen."

Coördinatie werd gefaciliteerd door TRM's Beacon Network, een in 2025 gelanceerd inlichtingendelingssysteem. "Normaal zie ik misschien een paar Beacon-waarschuwingen per dag. Ik heb, weet je, honderden of misschien wel duizend Beacon-waarschuwingen gezien de afgelopen paar dagen," zei Redbord. Het netwerk maakte het bedrijven mogelijk om middelen te immobiliseren voordat ze ertoe overgingen ze te confisceren.

Structurele Gaten en de Ontbinding van de T3-eenheid

Ondanks het coördinatiesucces, blijven structurele zwaktes bestaan. Bloomberg rapporteerde op 4 november dat de T3 Financial Crime Unit — opgericht door TRM, Tron en Tether in september 2024 — in augustus 2025 ontbonden werd, met bronnen die trage reacties en slechte coördinatie aanhaalden. Tether gaf aan door te gaan met samenwerken met TRM via Beacon. De ontbinding roept vragen op over de duurzaamheid van publiek-private partnerschappen zonder formele governance.

TRM's capaciteitengap-rapport vond dat de asymmetrie tussen aanvallers en verdedigers zich verruimt, gedreven door de vroege adoptie van grensverleggende technologieën zoals AI door hackers. Redbord stelde dat wetshandhavings- en compliance-teams equivalente AI-mogelijkheden nodig hebben om kwetsbaarheden te vinden en te dichten met de snelheid waarmee aanvallers ze benutten.

Beleidsimplicaties en Vooruitblik

"Elke keer dat Noord-Korea hackt, moeten we terug hacken," zei Redbord, met een oproep tot offensieve cyberoperaties en actie tegen witwasnetwerken en banken die gebruikt worden voor uitcashing. De Fed en OCC hebben naar verluidt begonnen met het controleren van Amerikaanse banken op blootstelling na de hack. Regelgevende toezicht op beurs hot-walletcontroles en governance van interne AI-hulpmiddelen zal waarschijnlijk intensiveren. De TraitorTrader-toeschrijving, indien bevestigd door wetshandhaving, kan sanctiebeschikkingen triggeren en Noord-Koreaanse financiële netwerken verder isoleren.