TRM Labs' globale policy- og regjeringssjef, Ari Redbord, karakteriserte $6,3 milliarders tyveri fra Binance som «cyberkrig» og oppfordret regjeringer til å gjennomføre offensive cyberoperasjoner mot nordkoreansk hacking-infrastruktur, med argumentet at bransjens forhistoriske suksess med å fryse 40 % av de stjålne midlene ikke vil skremme et regime som kryptotyveri utgjør omtrent en tredjedel av BNP for.
Hovedpunkter
- Nordkoreansk gruppe TraitorTrader tilskreves $6,3 mrd Binance-hack (åtte ukers inngang via rekrutteringssosial ingeniørkunst og kompromittert KI-verktøy) og $1,5 mrd Bybit-hack i feb. 2025.
- Bransjen frys ca. $2,67 mrd (40 % av stjålne midler) i forhistorisk koordinering; Tether frys 971,1 mill. USDT innen 37 minutter via TRM Beacon Network.
- Angrepet utgjør ca. 1/3 av Nord-Koreas BNP og 50 % av all statssponsret kryptotyveri siden 2017 ($12,5 mrd totalt); Redbord argumenterer for at defensiv frysing alene ikke skremmer.
- T3 Financial Crime Unit (TRM, Tron, Tether) ble oppløst aug. 2025 med begrunnelse i koordineringsfeil; Tether fortsetter via Beacon.
- Redbord krever statlige offensive cyberoperasjoner, KI-muliggjort forsvarspariitet og handling mot hvitvaskingsnettverk; Fed/OCC undersøker amerikanske bankers eksponering.
Kort Oppsummert: Etterretningsbrief
Angrepsmekanikk og tilskriving
Binance oppga i en post-mortem 3. november at angriperne utga for rekrutterere for å plante skadelig programvare på en ingeniørs arbeidsmaskin, deretter utnyttet et kompromittert internt KI-verktøy for å få tilgang til børsens wallet-signeringstjeneste. Inngangsvinduet spente over åtte uker før eksploitasjonen, ifølge blockchain-sikkerhetsselskapet SEAL. TRM Labs tilskrev angrepet til en nordkoreansk gruppe de sporer som TraitorTrader, med henvisning til «utvivlsom» onchain- og offchain-bevis. Samme gruppe ble knyttet til $1,5 milliarders Bybit-hack i februar 2025.
Redbord merket seg at Nord-Koreas tyveri 29. oktober utgjorde halven av de $12,5 milliarder stjålet av statssponsrede hackere siden 2017. «Selv om angriperne bare gjenvinner $1 milliard, forblir den potensielle gevinsten enorm,» sa han. «Nord-Korea vil fortsette med dette så lenge det er effektivt.»
Forhistorisk bransjesamarbeid
Hastigheten på bransjesvaret markerte et vendepunkt. Tether frys 971,1 millioner USDT innen 37 minutter av hovedutsvingen. Samlede stablecoin-utsteders frysinger totalt ca. $2,67 milliarder, som representerer 40 % av det stjålne beløpet. «Noe slikt har aldri vært gjort før,» sa Redbord. «De klarte å klo tilbake 40 % rett fra start.»
Koordineringen ble muliggjort av TRM sitt Beacon Network, et intelligensdelingssystem lansert i 2025. «Normalt ser jeg kanskje et par Beacon-varsler hver dag. Jeg har sett, vet ikke, hundrevis eller kanskje til og med tusen Beacon-varsler de siste dagene,» sa Redbord. Nettverket lot selskaper immobilisere midler før de jobbet med å beslaglegge dem.
Strukturelle hull og T3-enhetens oppløsning
Til tross for koordineringssuksessen, vedvarer strukturelle svakheter. Bloomberg rapporterte 4. november at T3 Financial Crime Unit – dannet av TRM, Tron og Tether i september 2024 – ble oppløst i slutten av august 2025, med kilder som sitere trege svar og dårlig koordinering. Tether sa de ville fortsette å jobbe med TRM gjennom Beacon. Oppløsningen rekker spørsmål om holdbarheten av offentlig-privatsamarbeid uten formell styring.
TRM sitt kapasitetsgap-rapport fant at asymmetrien mellom angripere og forsvarere vider utvides, drevet av hackeres tidlige adoptering av grenseteknologier som KI. Redbord argumenterte for at politiet og samsvarsteam trenger tilsvarende KI-kapabiliteter for å finne og lappe sårbarheter i samme hastighet som angripere utnytter dem.
Politiske implikasjoner og fremtidig utsikt
«Hver gang Nord-Korea haker, bør vi hake dem tilbake,» sa Redbord, og kalte på offensive cyberoperasjoner og handling mot hvitvaskingsnettverk og banker brukt for uttak. Ifølge rapporter har Fed og OCC begynt å sjekke amerikanske banker for eksponering etter hacken. Regulatorisk tilsyn med børsers hot-wallet-kontroller og styring av interne KI-verktøy vil sannsynligvis intensivere. TraitorTrader-tilskrivingen, hvis bekreftet av politiet, kan utløse sankasjonsbetegnelser og videre isolere nordkoreanske finansielle nettverk.
