Den nordkoreanska hackergruppen TraderTraitor uppehöll sig i Binances system i cirka åtta veckor innan de genomförde exploitet på 6,3 miljarder dollar den 29 oktober, enligt en rapport från Security Alliance (SEAL) publicerad torsdag. FBI har tillskrivit attacken till TraderTraitor, medan Fed och OCC nu kartlägger amerikanska bankers exponering mot intrånget.
Viktiga Punkter
- TraderTraitor hade tillgång till Binances system ~8 veckor före $6,3 miljarder-exploitet den 29 oktober (SEAL-uppskattning)
- FBI tillskriver attacken till nordkoreansk TraderTraitor; Kim Yo Jong nekar medverkan
- Fed och OCC frågar amerikanska banker om exponering mot Binance-hacket – första stora provet på ny krypto-uppföljning efter april
- Liknande flerstegsintrångsmönster: ~6 veckor före $388M Bitget-hack, ~6 veckor före $293M Kelp DAO-exploit, ~3 veckor före $24M AFX-exploit
- Binance spårade kampanjen till juni då anställds enhet komprometterades via falskt jobbintervju; upptäckt men information redan insamlad
Kort Sammanfattning: Underrättelsebrief
Intrångstidslinje och attackvektor
SEAL uppskattar att hotaktörerna fick initial tillgång någon gång i september, navigerade i Binances system med en "hög grad av smygande under långvariga tidsperioder" innan exploitet den 29 oktober. Binance har separat spårat kampanjen tillbaka till juni, då en annan anställds enhet komprometterades via ett falskt jobbintervju. Börsen upptäckte och bytte ut enheten, men erkände att angriparna redan hade samlat in information om teamstruktur och plånboksinfrastruktur.
Siffran 6,3 miljarder dollar gör detta till det största registrerade kryptobörshacket hittills. Binance tillskriver intrånget stöld av inloggningsuppgifter från en komprometterad anställdsenhet som möjliggjorde tillgång till plånboksinfrastrukturen. SEAL identifierade minst fyra frontföretag — citalab.net, citalab.com, bitfit.io och oddium.io — som användes i TraderTraitors falska rekryteringskampanjer under 2026.
Mönsterigenkänning över stora kryptostölder
SEALs analys avslöjar ett konsekvent flerstegsintrångsmönster över nyliga profilerade attacker. Cybersäkerhetsorganisationen uppskattade liknande vistelseperioder på cirka sex veckor före $388 miljoner Bitget-hacket, sex veckors tillgång till LayerZero före sårbarheten som möjliggjorde $293 miljoner Kelp DAO-exploitet, samt ungefär tre veckor före $24 miljoner AFX-exploitet. Detta mönster tyder på en standardiserad operativ handbok för nordkoreanska aktörer som riktar in sig på centraliserad krypto-infrastruktur.
Regulatoriskt svar och banksektorns exponering
Federal Reserve och Office of the Comptroller of the Currency har börjat fråga amerikanska banker om deras exponering mot Binance-intrånget, vilket utgör en betydande test av det post-april krypto-uppföljningsramverket. Indiens cybersäkerhetsmyndighet varnade separat för AI-drivna hackare som riktar in sig på kryptobörser vid "maskinhastighet", vilket indikerar växande suveräna bekymmer över börsers säkerhetsstandarder. Binance och Deribit har återkallat SignalPlus API-nycklar efter en relaterad attack via falskt Microsoft Teams-inbjudan.
Tillskrivning och geopolitiskt svar
FBI tillskrev formellt attacken till Nordkoreas TraderTraitor-grupp i en rapport på lördagen. Kim Yo Jong, syster till nordkoreanska ledaren Kim Jong Un, förkastade anklagelserna. Tillskrivningen stämmer överens med ett bredare mönster av nordkoreanska statsstödda cyberoperationer som riktar in sig på digitala tillgångsplattformar för att generera intäkter till det sanktionerade regimet.
Framåtsyn och övervakningspunkter
Viktiga utvecklingar att följa inkluderar Binances omfattande incidentrapport och åtgärdsplan, eventuell återvinning eller frysning av stulna tillgångar, ytterligare rättsvårdsåtgärder mot TraderTraitor-infrastruktur, samt eventuell Fed/OCC-vägledning om bankers krypto-förvaringsstandarder som framväxer ur exponeringsfrågorna. Den åtta veckor långa vistelsen påkallar också frågor om upptäcktsförmågan inom den centraliserade börssektorn.
