Za hacknutím kryptoburzy Binance stojí Severní Korea. Za pár minut ukradla 130 miliard

Stopy vedou do Pchjongjangu. Den poté, co největší kryptoměnová burza světa Binance přišla o rekordní sumu, ukazují blockchainoví analytici jedním směrem. Firma TRM Labs s vysokou jistotou připisuje útok skupině TraderTraitor, severokorejské hackerské jednotce spojované s nechvalně proslulou Lazarus Group. Podobně to hodnotí Chainalysis, Elliptic i známý vyšetřovatel kryptoměnových krádeží ZachXBT, podle kterého jde „pravděpodobně o Lazarus“.

Oficiálně zatím atribuci nepotvrdila žádná vláda ani policie. Elliptic upozorňuje, že Binance zatím nezveřejnila podrobný rozbor útoku. Postup útočníků i způsob praní peněz ale podle analytiků odpovídá dřívějším severokorejským akcím.

Rekordní lup za dvacet minut

Podle TRM Labs odešly z peněženek Binance kryptoměny za zhruba 6,36 miliardy dolarů na deseti různých blockchainech, Elliptic uvádí 6,43 miliardy, Binance sama odhaduje 6,3 miliardy. Při dnešním kurzu jde o více než 130 miliard korun. Většina peněz zmizela během zhruba dvaceti minut ve čtvrtek večer středoevropského času.

Útok přitom nebyl improvizací. Podle TRM Labs ho útočníci připravovali nejméně 36 hodin. První krádež proběhla na síti XRP Ledger, následovalo Ethereum, kde útočníci pomocí 50 předem podepsaných autorizací přes funkci EIP-7702 převzali kontrolu nad horkou peněženkou a za necelé tři a půl minuty ji vyprázdnili. Na dalších devíti blockchainech odcházely peníze běžnými podepsanými převody, což podle TRM ukazuje na průnik do systému, kterým Binance podepisuje transakce. Burza sama uvedla, že útok mohl začít kompromitovaným notebookem jednoho z jejích inženýrů.

Kdo je TraderTraitor

TraderTraitor je jednou z jednotek severokorejských státních hackerů, které americké úřady řadí pod Lazarus Group. Právě tuto skupinu označila americká FBI za pachatele dosavadní rekordní krádeže, kdy v únoru 2025 ukradla burze Bybit 1,5 miliardy dolarů. TRM Labs nachází podobnosti i s letošním dubnovým útokem na projekt KelpDAO.

Severní Korea je pod mezinárodními sankcemi a krádeže kryptoměn se pro ni staly jedním z nejdůležitějších zdrojů deviz. Americká vláda je spojuje s financováním severokorejských zbraňových programů. Expertní panel OSN vyšetřoval 58 podezřelých severokorejských kybernetických útoků z let 2017 až 2023, při nichž zmizely zhruba 3 miliardy dolarů. Podle Ellipticu ukradli hackeři napojení na Pchjongjang v posledních letech přes 6,5 miliardy dolarů a jen letos před útokem na Binance přes miliardu. Pokud se atribuce potvrdí, jediný útok by jejich dosavadní lup téměř zdvojnásobil.

Polovinu se podařilo zmrazit

Útočníci ale narazili na překážku. Velkou část kořisti tvořily stablecoiny, které jejich emitenti dokážou zablokovat. Tether zmrazil zhruba 1,77 miliardy dolarů v USDT, Circle 825 milionů v USDC, další menší částky Ripple a další projekty. Celkem je podle analytiků zmrazeno 2,7 až 2,8 miliardy dolarů.

Zbytek už ale útočníci aktivně perou. V rukou jim zůstává přes 420 tisíc etherů a 18 270 bitcoinů v hodnotě kolem 2,4 miliardy dolarů, které zmrazit nelze. Postup je podle Ellipticu typický:

• Rychlá výměna stablecoinů za ether přes decentralizované burzy a tvůrce trhu, i za cenu ztráty 10 až 26 procent, aby je emitent nestihl zablokovat.
• Půjčky v DeFi. Útočníci uložili USDT jako zástavu na platformě Aave a půjčili si proti nim ether.
• Rozdrobení bitcoinů. 18 270 BTC rozdělili do 19 adres, většinou po tisíci bitcoinech, a dál je posílají řetězci transakcí.
• Přesuny mezi blockchainy přes služby THORChain a Hyperlane.

Další fází budou podle analytiků mixéry, směnárny a mimoburzovní obchodníci, přes které se kryptoměny promění v hotovost. Zkušenost z útoku na Bybit ukazuje, že severokorejští hackeři dokážou vyprat stovky milionů dolarů během několika týdnů.

Co to znamená pro trh

Binance slibuje, že ztráty klientům pokryje z vlastních prostředků, a výběry chce obnovit do zhruba 45 hodin. Trh na útok reagoval propadem, bitcoin v noci na pátek klesl až k 76 400 dolarům a token burzy BNB o téměř 10 procent. Kromě samotné ztráty jde o ránu pro pověst celého odvětví. Pokud se ani největší burza světa neubrání státem podporovaným hackerům, bude tlak regulátorů na přísnější pravidla úschovy kryptoměn ještě silnější.

Útok také ukazuje, že kryptoměny se staly součástí geopolitiky. Pro izolovaný režim je krádež na burze snazší cestou k penězům než obcházení sankcí na ropu nebo zbraně. A dokud budou burzy držet miliardy v horkých peněženkách připojených k internetu, budou pro Severní Koreu lákavým cílem.

Zdroje: TRM Labs, Elliptic, Chainalysis, ZachXBT, Binance, Tether, Circle, CoinDesk, FBI, OSN. Nejde o investiční doporučení.