Pinaghihinalaang pag-hack sa Binance ng mga North Korean, nagbigay-pansin sa papel ng crypto theft sa pagpopondo sa rehimen

Bilyun-bilyon ang nailipat sa loob ng ilang minuto, kasunod ang karera para ma-freeze ang mga ito

Tinatayang $6.36 bilyon na cryptocurrency ang lumabas mula sa mga wallet ng Binance sa 10 blockchain noong Oktubre 29, 2026. Karamihan dito ay nailipat sa loob ng humigit-kumulang 20 minuto, ayon sa blockchain intelligence firm na TRM Labs. Iniugnay ng TRM at Chainalysis ang pag-atake sa TraderTraitor, isang grupong hacker na iniuugnay sa Hilagang Korea. Kung mapatutunayan, ito ang pinakamalaking pagnanakaw ng cryptocurrency na naitala.

Sinabi ng Binance na natiyak nito ang seguridad ng humigit-kumulang $3 bilyon na apektadong asset at naglaan ng mahigit $6.34 bilyon mula sa pondo ng kumpanya para sagutin ang mga pagkalugi. Noong una, naghinala ang exchange na nakompromiso ang laptop ng isang inhinyero, ngunit kalaunan ay sinabi nitong natuklasan ng mga imbestigador ang mas malawak na paglabag sa seguridad. Pansamantalang sinuspinde ang mga withdrawal habang iniimbestigahan ng kumpanya ang insidente at sinisikap na mabawi ang mga pondo.

Pinagsasama ng pinaghihinalaang pagnanakaw ang dalawang suliranin: ang seguridad ng perang hawak ng isang malaking cryptocurrency exchange at ang paggamit ng Hilagang Korea sa cybercrime para makakuha ng dayuhang salapi. Ayon sa mga pagtatayang binanggit kaugnay ng mga imbestigasyon ng UN Security Council, katumbas ng humigit-kumulang kalahati ng kita ng bansa sa dayuhang salapi ang mga ninakaw na pondo, at halos 40% ng gastos nito sa pagpapaunlad ng mga armas.

Kabilang sa pagtataya ng TRM sa perang lumabas sa Binance ang mga asset na kalauna'y na-freeze. Kaya nakatuon ang agarang pagsisikap sa kung magkano ang mababawi, kung paano muling magkakaroon ng access ang mga customer sa kanilang mga hawak na asset, at kung magkano ang nananatiling maaabot ng mga umaatake. Nangako ang Binance na sasagutin ang lahat ng pagkalugi, habang patuloy na sinusuri ng mga imbestigador ang paraang ginamit para makapasok sa mga sistema nito at ang pagkakakilanlan ng mga responsable.

Ano ang nangyari sa loob ng Binance?

Ayon sa TRM, naghanda ang mga umaatake nang hindi bababa sa 36 oras bago nila ilipat ang mga pondo mula sa maraming wallet ng Binance. Naapektuhan ng pagnanakaw ang mga network kabilang ang Ethereum, Bitcoin at Solana. Ang blockchain ay isang pinagsasaluhang digital na talaan ng mga transaksyon; kapag inilipat ang mga asset sa maraming network, nagkakaroon ang mga imbestigador ng ilang landas na sabay-sabay nilang masusundan.

Sinabi ni Richard Teng, co-CEO ng Binance, na lumawak na ang imbestigasyon lampas sa unang pagtutok nito sa isang laptop:

Hindi ito ginawa ng iisang tao. Ipinahiwatig ng aming paunang imbestigasyon na maaaring may kinalaman sa insidente sa seguridad ang isang nakompromisong laptop, ngunit may iba pang pinagmulan ng paglabag na natuklasan sa sumunod naming imbestigasyon.

Sinabi rin ni Teng na gumamit ang mga umaatake ng paraang sumisira sa kanilang mga tool at bakas habang nagpapatuloy sila. Ayon sa Binance, wala silang nakitang ebidensiyang may tumagas na pribadong susi ng wallet. Ang pribadong susi ay lihim na digital na kredensiyal na ginagamit para pahintulutan ang mga paglilipat ng cryptocurrency. Hindi pa naglalabas ang kumpanya ng kumpletong teknikal na paliwanag tungkol sa paglabag.

Bakit pinaghihinalaan ng mga imbestigador ang TraderTraitor

May natukoy na koneksiyon ang Chainalysis sa galaw ng pera: lumitaw sa blockchain ang cryptocurrency na kinuha mula sa Binance na nahalo sa mga pondong ninakaw mula sa Bitget noong nakaraang buwan. Tinatayang $387 milyon ang ninakaw sa insidente sa Bitget noong Setyembre, na iniugnay rin ng mga mananaliksik sa mga hacker mula sa Hilagang Korea.

Itinuro ng TRM ang mga paghahanda at padron ng transaksiyong kahawig ng mga naunang pag-atakeng iniugnay sa Hilagang Korea, kabilang ang pagnanakaw ng $1.5 bilyon mula sa Bybit noong Pebrero 2025. Kinilala rin ni Jonathan Levin, co-founder at CEO ng Chainalysis, ang TraderTraitor bilang malamang na umaatake.

Inilalarawan ang TraderTraitor bilang grupong sinusuportahan ng estado ng Hilagang Korea at itinatag sa ilalim ng isang ahensiya ng intelihensiya noong bandang 2016 o 2017. Iniuugnay ito ng mga mananaliksik sa mas malawak na network ng Lazarus. Inilarawan ni Michael Barnhart, mananaliksik sa DTEX, ang mga tauhan nito bilang mga bihasang umaatake sa pananalapi, kabilang ang mga operatibang iniuugnay sa APT38, isa pang tawag sa mga operasyong cyber ng Hilagang Korea.

Pormal na iniugnay ng FBI ang pagnanakaw sa Bybit sa Hilagang Korea at TraderTraitor limang araw matapos ang pag-atakeng iyon. Sa ngayon, nakabatay ang pag-uugnay sa paglabag sa Binance sa mga pagtatasa ng mga blockchain intelligence firm. Sinabi ng Binance na nakikipagtulungan ito sa mga tagapagpatupad ng batas para matukoy ang mga kriminal. Itinanggi ng Hilagang Korea ang pagkakasangkot sa pagnanakaw ng cryptocurrency.

Paano nagiging mas mahirap bawiin ang ninakaw na cryptocurrency

Ayon sa Chainalysis, paulit-ulit na ipinasa ang mga pondo mula sa Binance sa pagitan ng mga wallet sa pamamagitan ng libo-libong transaksiyon sa maikling panahon. Inilarawan ng mga imbestigador ang mga galaw na naganap sa loob ng humigit-kumulang 20 minuto, at ipinahihiwatig ng mga padron na tumulong ang mga awtomatikong programa sa paglilipat ng mga asset.

Ang cryptocurrency wallet ay kasangkapang ginagamit para kontrolin ang mga digital na asset at pahintulutan ang mga transaksiyon. Mas nagiging komplikado ang pagsubaybay kapag inililipat ang mga ninakaw na pondo sa maraming wallet, kahit nakikita pa rin ang mga transaksiyon sa mga pampublikong blockchain. Kailangang alamin ng mga imbestigador kung aling mga paglilipat ang ginawa ng mga umaatake at kung saan maaaring mapahinto ng mga exchange o iba pang negosyo ang mga ito.

Mahalaga rin ang bilis dahil maaaring i-freeze ng mga nag-isyu ang ilang asset. Ayon sa Chainalysis, humigit-kumulang $325 milyon na ninakaw na stablecoin ang ipinagpalit sa ether, ang cryptocurrency na ginagamit sa Ethereum, sa loob ng humigit-kumulang 20 minuto. Ang mga stablecoin ay mga token na idinisenyo para sundan ang halaga ng ibang asset, kadalasan ang dolyar ng US. Maaaring i-freeze ng mga nag-isyu ang ilang hawak na stablecoin, samantalang walang nag-isyu ang ether na may kaparehong kapangyarihang mag-freeze.

Sinabi ng TRM na binibili ng mga broker na Tsino na nakikipagkalakalan sa labas ng mga kumbensiyonal na exchange ang mga ninakaw na cryptocurrency nang mas mababa sa halaga ng mga ito. Makakatulong ang mga broker na ito para gawing magagamit na pera ang mga digital na asset. Para sa Hilagang Korea, ang pagpapalit na ito ang nag-uugnay sa matagumpay na pagpasok sa mga computer system at sa mga pondong magagamit ng rehimen.

Magkano ang ninakaw, at magkano ang natiyak ang seguridad?

Tinataya ng TRM na humigit-kumulang $6.36 bilyon ang lumabas mula sa Binance batay sa presyo ng mga asset noong inilipat ang mga ito. Karaniwang inilalarawan ang insidente bilang pagnanakaw ng humigit-kumulang $6.3 bilyon. Mahigit apat na beses ito ng $1.5 bilyong ninakaw mula sa Bybit noong 2025.

Sa mga unang pagtataya, nasa $2.7 bilyon ang na-freeze ayon sa TRM at $2.8 bilyon naman ayon sa Chainalysis. Kalaunan ay sinabi ng Binance na natiyak na nito ang seguridad ng humigit-kumulang $3 bilyon, halos kalahati ng halagang unang lumabas. Sinabi rin ng kumpanya na aktibo itong bumibili ng mga token ng cryptocurrency bilang bahagi ng pagsisikap nitong sagutin ang mga pagkalugi.

Noong una, inanunsiyo ng Binance ang pagsuspinde sa mga deposito at withdrawal noong Oktubre 30, oras sa Japan. Sa mga sumunod na pahayag nito, sinabi nitong hindi naapektuhan ang mga deposito habang nanatiling nakahinto ang mga withdrawal. Inasahan ng exchange na maibabalik ang mga withdrawal sa loob ng isa o dalawang araw, bagaman walang ibinigay na tiyak na oras ng muling pagbubukas.

Sinabi ng Binance na hindi naapektuhan ang exchange nitong nagsisilbi sa Estados Unidos. Ayon sa US Secret Service, nagsisikap itong tukuyin, i-freeze, subaybayan at bawiin ang mga pondo, at sinabi ng Binance na nakikipagtulungan ito sa FBI. Kabilang sa mga sangkot na asset ang mga may kaugnayan sa mga kumpanya ng US, kabilang ang mga stablecoin mula sa Tether at Circle.

May kinakaharap ding usaping legal ang mga customer kasabay ng teknikal na pagsisikap na mabawi ang mga pondo. Sinabi ni Daniel Tunkel, abogado sa Edwin Coe sa London, na nakasalalay sa mga pangakong nakasaad sa kontrata at sa lugar kung saan maaaring kasuhan ang Binance kung hindi nito tutuparin ang mga obligasyon nito ang karapatan ng mga customer na mabawi ang kanilang mga asset. Dahil nangako ang Binance na sasagutin ang mga pagkalugi, kumpanya ang agad na mananagot sa pinansiyal na pasanin.

Lumalaki ang bahagi sa pandaigdigang pagkalugi sa cryptocurrency

Tinataya ng Chainalysis na nagnakaw ang mga hacker mula sa Hilagang Korea ng $2.02 bilyon noong 2025, kumpara sa $1.34 bilyon noong 2024. Katumbas ito ng pagtaas na humigit-kumulang 51%. Tinatayang tatlong-kapat ng halaga para sa 2025 ay mula sa pagnanakaw sa Bybit lamang.

Para sa 2026, tinataya ng Chainalysis na 89% ng iniulat na pagkalugi sa pag-hack ng cryptocurrency ang bahagi ng Hilagang Korea, mula sa 15% noong 2021. Tinataya naman ng TRM na 85% ang bahagi nito noong 2026, ngunit bumababa ito sa 45% kapag hindi isinama ang Binance. Kaya malaking bahagi ng matinding pagtaas sa taunang bilang ang insidente sa Binance.

Tinataya rin ng Chainalysis na tumaas ang karaniwang halaga ng pagkalugi sa bawat pinaghihinalaang pag-atake ng Hilagang Korea mula $50.65 milyon noong 2021 tungong $185.65 milyon noong 2026. Ipinakikita ng paghahati sa dalawang halagang ito na tumaas ito nang humigit-kumulang 3.7 beses, na nagpapahiwatig na malaki ang itinaas ng pinsalang pinansiyal sa bawat insidente.

Mula Enero 2021 hanggang Oktubre 29, 2026, inilalagay ng mga bilang na iniuugnay sa Chainalysis sa $22.34 bilyon ang pandaigdigang pagkalugi at sa $13.24 bilyon ang mga pagkaluging iniuugnay sa Hilagang Korea, o humigit-kumulang 59%. Sa isa pang talaang iniuugnay sa kompanya, $22.034 bilyon at $13.024 bilyon ang magkatugmang halaga, na katumbas din ng humigit-kumulang 59%.

Tinataya ng TRM na nakapagsagawa ang Hilagang Korea ng 100 pag-atake mula noong 2017, na may kabuuang $12.8 bilyong ninakaw, kabilang ang $7.4 bilyon noong 2026. Tinataya naman ni Barnhart na nasa $13.5 bilyon ang pinagsama-samang pagnanakaw. Magkakaiba ang saklaw na panahon at mga insidenteng kasama sa mga pagtatayang ito, kaya mahalagang isaalang-alang ang mga panahong tinutukoy upang maunawaan ang kabuuang halaga.

Bakit mahalaga ang pera sa Pyongyang

Natukoy sa mga imbestigasyon ng mga eksperto ng UN Security Council ang 58 pinaghihinalaang pag-atake ng Hilagang Korea laban sa mga kumpanya ng cryptocurrency mula 2017 hanggang 2023, na nagdulot ng humigit-kumulang $3 bilyong pagkalugi. Lumaki na ang saklaw nito mula noon, at mas malaki na ngayon sa halagang iyon ang isang pinaghihinalaang operasyon laban sa Binance.

Mahigpit ang mga internasyonal na parusang ipinataw sa Hilagang Korea, na naglilimita sa kakayahan nitong makipagkalakalan at gumamit ng sistemang pinansiyal. Nagbibigay ang pagnanakaw ng cryptocurrency ng paraang makakuha ng dayuhang salapi sa labas ng karaniwang pag-e-export. Ayon sa mga pagtatayang iniuugnay sa pangkat ng UN, halos kalahati ng kita ng Hilagang Korea sa dayuhang salapi ay mula sa mga nalikom sa pag-hack, habang tinatayang sapat ang mga ninakaw na pondo para sagutin ang halos 40% ng gastos sa pagpapaunlad ng mga armas.

Inihambing ang $6.3 bilyong pagnanakaw sa Binance sa humigit-kumulang isang-kalima ng kabuuang pambansang kita ng Hilagang Korea. Sinusukat ng kabuuang pambansang kita ang kinikita ng mga residente at negosyo ng isang bansa sa loob ng isang taon. Ipinakikita ng paghahambing kung bakit mahalaga ang ganitong kalaking pagnanakaw kahit lampas ito sa mga customer ng exchange.

Matagal nang nahaharap ang Hilagang Korea sa mga paratang na gumagamit ito ng iba pang ilegal na paraan para kumita ng dayuhang salapi, kabilang ang paggawa ng mga sopistikadong pekeng US $100 noong dekada 1990 at paggawa at pagbebenta ng methamphetamine noong dekada 2000. Nagbibigay sa rehimen ang mga cyber operation ng paraan para puntiryahin ang mga negosyo sa ibang bansa gamit ang mga computer network.

Mga taong pagsasanay sa likod ng mga pag-atake

Iniulat na pumipili ang Hilagang Korea ng mga batang mahusay sa matematika at agham para sumailalim sa tatlo hanggang limang taong pagsasanay sa cyberwarfare. Pagkatapos, nagpapatuloy sa mga espesyalisadong programa sa unibersidad ang mga mag-aaral na may potensiyal, kaya patuloy na nakapaghahanda ng mga tauhang may teknikal na kasanayan.

Inilarawan ng Committee for Human Rights in North Korea ang limang-taong kurso sa Moranbong University sa Pyongyang na pinagsasama ang mga pag-aaral militar, pag-hack at cryptanalysis. Ang cryptanalysis ay pag-aaral kung paano basagin ang mga code o talunin ang mga sistemang idinisenyo para ilihim ang impormasyon. Iniulat na tumatanggap ang ilang piling operatiba ng karagdagang pagsasanay sa China at Russia.

Inilarawan ni Shin Beom-chul, dating vice defense minister ng South Korea, ang mga hacker ng Hilagang Korea bilang lubhang agresibo at bihasa, at sinanay para sa mga operasyong kumikita ng dayuhang salapi para sa rehimen. Dahil sinusuportahan sila ng estado, tuluy-tuloy ang tulong na natatanggap ng mga grupong ito at nakagagalaw sila nang walang panganib na kasuhan sa loob ng bansa na kinakaharap ng maraming iba pang kriminal.

Maaaring magbukas ng pinto ang mga pekeng trabaho

Madalas na nagsisimula sa mga tao ang mga taktika ng TraderTraitor, sa halip na sa direktang pag-atake sa cryptocurrency wallet. Tinatarget ng grupo ang mga developer at kawani ng information technology gamit ang mga pekeng alok ng trabaho, mga kunwaring pakikipagsosyo sa negosyo at mapaminsalang software na ipinakikilalang kailangan sa trabaho.

Inilarawan sa magkasanib na babala noong 2022 mula sa FBI, Cybersecurity and Infrastructure Security Agency at US Treasury ang mapaminsalang software at panlilinlang na nakatuon sa mga negosyo ng cryptocurrency. Inilarawan ni Barnhart ang mga kunwaring panayam sa trabaho kung saan hinihikayat ang mga aplikante na mag-download ng mapaminsalang software, na naglalantad ng kanilang mga kredensiyal sa pag-login at sensitibong impormasyon.

Tinatawag ng mga espesyalista sa seguridad na social engineering ang pamamaraang ito: paghikayat sa isang tao na gumawa ng bagay na makatutulong sa umaatake. Kapag nakompromiso ang isang computer, magagamit ito ng mga umaatake para siyasatin ang mga panloob na sistema ng isang organisasyon at maghanap ng pahintulot na maglipat ng pera.

Sinabi ni Kok Tin Gan, co-founder at CEO ng Nyxlab, na maaaring may kinalaman sa pag-atake sa Binance ang isang lagdang nagbibigay sa isang token ng malawak at tuluy-tuloy na access sa wallet na nakakonekta sa internet. Paliwanag pa lamang ito habang iniimbestigahan ng Binance ang buong pagkakasunod-sunod ng mga pangyayari.

Mula Sony hanggang Binance: lumalawak ang mga operasyon

Kabilang sa mga cyber operation ng Hilagang Korea ang panggugulo sa pulitika gayundin ang pagnanakaw ng pera. Malawakang itinuring na ganti ang pag-atake sa Sony Pictures noong 2014 dahil sa isang komedya na naglalarawan ng planong patayin si Kim Jong Un. Ipinakikita ng mga sumunod na insidente ang paglawak ng pagtutok sa malalaking hawak na cryptocurrency.

• 2014: Nagbigay-pansin sa buong mundo sa mga cyber operation ng Hilagang Korea ang pag-hack sa Sony Pictures.
• 2022: Iniugnay ang grupong Lazarus sa pagnanakaw ng humigit-kumulang $620 milyon mula sa Ronin Network, na sumusuporta sa isang blockchain game.
• 2024: Iniuugnay ang pagnanakaw ng $308 milyon mula sa DMM Bitcoin, isang exchange sa Japan, sa TraderTraitor.
• Pebrero 2025: Nawalan ang Bybit ng humigit-kumulang $1.5 bilyon sa isang pag-atake na iniugnay ng FBI sa Hilagang Korea.
• Abril 2026: Iniugnay ng mga analyst sa mga hacker mula sa Hilagang Korea ang pagnanakaw ng $285 milyon mula sa Drift at $292 milyon mula sa KelpDAO.
• Setyembre 2026: Nawalan ang Bitget ng humigit-kumulang $387 milyon sa isang pagnanakaw na iniugnay ng mga mananaliksik sa kaparehong network.
• Oktubre 29, 2026: Humigit-kumulang $6.36 bilyon ang lumabas mula sa mga wallet ng Binance sa 10 blockchain.

Gumagana ang Drift at KelpDAO sa decentralized finance, na madalas tawaging DeFi, kung saan nagsasagawa ng mga transaksiyong pinansiyal ang software na tumatakbo sa mga blockchain. Kaya hindi lamang mga kumbensiyonal na exchange ang puntirya, kundi pati mga sistemang nagtatago o naglilipat ng pondo sa pamamagitan ng mga awtomatikong programa.

Maaaring pabilisin ng artificial intelligence ang ilang bahagi ng mga operasyong ito. Nagbabala si Simon Choi, chief technology officer ng kompanya sa cybersecurity na StealthMole, na nakatutulong ang AI sa mga umaatake na makahanap ng mga kahinaan sa seguridad at mag-automate ng mga pag-atake. Natukoy rin ng mga imbestigador ang mga palatandaan ng awtomatikong proseso sa paglilipat ng mga pondo mula sa Binance, habang nagpapatuloy ang teknikal na imbestigasyon ng kumpanya.

Mahahalagang punto

• Tinataya ng TRM na $6.36 bilyon ang lumabas mula sa mga wallet ng Binance noong Oktubre 29, 2026, at karamihan nito ay nailipat sa loob ng humigit-kumulang 20 minuto.
• Iniugnay ng TRM at Chainalysis ang pinaghihinalaang pagnanakaw sa grupong TraderTraitor ng Hilagang Korea.
• Sinabi ng Binance na natiyak na nito ang seguridad ng humigit-kumulang $3 bilyon at naglaan ng mahigit $6.34 bilyon para sagutin ang mga pagkalugi.
• Tinataya ng Chainalysis na 89% ng iniulat na pandaigdigang pagkalugi sa pag-hack ng cryptocurrency noong 2026 ang bahagi ng Hilagang Korea.
• Sinusuri ng mga imbestigador ang isang paglabag na kinasangkutan ng maraming pinagmulan ng pagpasok, habang hindi pa inilalabas ng Binance ang buong teknikal na ulat nito.
• Nagbibigay ang pagnanakaw ng cryptocurrency ng dayuhang salapi na tinatayang nakatutulong sa pagpopondo sa mga programang armas ng Hilagang Korea.