Binance-hackere holdt seg skjult i åtte uker før $6,3 mrd-eksploit, ifølge SEAL

Den nordkoreanske hackagegruppen TraderTraitor hadde tilgang til Binance sine systemer i ca. åtte uker før gruppenførte ut $6,3 milliarder-eksploitasjonen 29. oktober, ifølge en rapport fra Security Alliance (SEAL) publisert torsdag. FBI tilskriver angrepet til TraderTraitor, mens Fed og OCC spør amerikanske banker om deres eksponering overfor bruddet.

Hovedpunkter

TraderTraitor hadde tilgang til Binance-systemer ~8 uker før $6,3 mrd-eksploitasjonen 29. oktober (SEAL-estimat)
FBI tilskriver angrep til nordkoreansk TraderTraitor; Kim Yo Jong nekter involvering
Fed og OCC spør amerikanske banker om eksponering mot Binance-hack — første store test av krypto-tilsyn etter april
Lignende flerfaset inntrengningsmønstre: ~6 uker før $388 mill Bitget-hack, ~6 uker før $293 mill Kelp DAO-eksploitasjon, ~3 uker før $24 mill AFX-eksploitasjon
Binance sporet kampanje til juni-kompromittering av ansatts enhet via falskt jobbintervju; oppdaget men etterretning allerede samlet inn

INTELLIGENCE

Kort Oppsummert: Etterretningsbrief

Hva skjedde: Security Alliance (SEAL) estimates North Korea-linked TraderTraitor accessed Binance systems for approximately eight weeks before executing the $6.3 billion exploit on Oct. 29, 2025, with initial intrusion occurring in September.

Hvorfor det betyr noe: The prolonged dwell time reveals sophisticated multi-stage intrusion capabilities targeting centralized exchange infrastructure, prompting regulatory scrutiny from the Fed and OCC on bank exposures and highlighting systemic risks to crypto custody and market stability.

Hva du bør følge: Monitor Binance's full incident report and remediation timeline; track FBI and international law enforcement actions against TraderTraitor infrastructure; watch for Fed/OCC guidance on bank crypto custody standards following exposure queries.

Inntrengningstidslinje og angrepsvektor

SEAL estimerer at trusselaktørene fikk initial tilgang en gang i september, og navigerte i Binance sine systemer med en "høy grad av skjulthet over langvarige perioder" før eksploitasjonen 29. oktober. Binance sporet kampanjen separat tilbake til juni, da en annen ansatts enhet ble kompromittert via et falskt jobbintervju. Børsen oppdagte og erstattet enheten, men innrømmet at angriperne allerede hadde samlet etterretning om teamstruktur og lommebokinfrastruktur.

$6,3 milliarder-sifren gjør dette til den største registrerte krypto-børshacken. Binance tilskriver bruddet tyveri av påloggingsinformasjon fra en kompromittert ansatts enhet som ga tilgang til lommebokinfrastrukturen. SEAL identifiserte minst fire frontbedrifter — citalab.net, citalab.com, bitfit.io og oddium.io — som ble brukt i TraderTraitor sine falske rekrutteringskampanjer i 2026.

Mønstergjennkjenning på tvers av store krypto-tyverier

SEALs analyse avdekker et konsistent flerfaset inntrengningsmønster på tvers av nylige profilert angrep. Sikkerhetsorganisasjonen estimerte lignende oppholdstider på ca. seks uker før $388 millioner Bitget-hacken, seks ukers tilgang til LayerZero før sårbarheten som muliggjorde $293 millioner Kelp DAO-eksploitasjonen, og omtrent tre uker før $24 millioner AFX-eksploitasjonen. Dette mønsteret tyder på en standardisert operativ håndbok for nordkoreanske aktører som retter seg mot sentraliserte krypto-infrastrukturer.

Regulatorisk respons og banksektorens eksponering

Federal Reserve og Office of the Comptroller of the Currency har begynt å spørge amerikanske banker om deres eksponering overfor Binance-bruddet, noe som utgjør en betydelig test av krypto-tilsynsrammeverket etter april. Indias cybersikkerhetsbyrå advarte separat for KI-drevne hackere som angriper krypto-børser i "maskinhastighet", noe som indikerer økende suverene bekymringer for børsers sikkerhetsstandarder. Binance og Deribit har trukket tilbake SignalPlus API-nøkler etter et relatert angrep via en falsk Microsoft Teams-invitasjon.

Tilskriving og geopolitisk respons

FBI tilskrev formelt angrepet til Nord-Koreas TraderTraitor-gruppe i en rapport lørdag. Kim Yo Jong, søster til nordkoreanske leder Kim Jong Un, forkastet anklagene. Tilskrivingen samsvarer med et bredere mønster av statsstøttede cyberoperasjoner fra Nord-Korea som retter seg mot digitale eiendelsplattformer for å generere inntekter til det sanktionerte regimen.

Fremtidig utsikt og overvåkingspunkter

Viktige utviklinger å følge inkluderer Binance sin omfattende hendelsesrapport og reparasjonstidslinje, potensiell gjenvinning eller frysing av stjålne aktiva, videre polititiltak mot TraderTraitor-infrastruktur, og eventuelle Fed/OCC-retningslinjer for bankers crypto-forvaringsstandarder som følge av eksponeringsspørsmålene. De åtte ukers oppholdstid reiser også spørsmål om oppdagelsesevner på tvers av den sentraliserte børssektoren.