Des chercheurs en cybersécurité de TRM Labs et Chainalysis, en collaboration avec l’enquêteur onchain ZachXBT, ont établi un lien entre le piratage de Binance, évalué à 6,3 milliards de dollars, et le groupe TraderTraitor, basé en Corée du Nord. TRM Labs a attribué l’attaque à TraderTraitor avec une « haute confiance », en se basant sur des indices onchain et offchain.
Des fonds liés à des incidents précédents
ZachXBT a précisé que les fonds dérobés à Binance, ainsi que ceux de l’ancienne exploitation de Bitget, avaient été mélangés à la même adresse après avoir transité par THORChain. « Cela indique qu’il est probable que le même acteur soit derrière ces deux incidents », a-t-il déclaré, en ajoutant que l’attaque contre Bitget avait également été attribuée à TraderTraitor.
Des liens avec des vols majeurs
Jonathan Levin, cofondateur et PDG de Chainalysis, a également pointé du doigt TraderTraitor, affirmant que ce groupe avait dérobé 6,4 milliards de dollars, légèrement au-dessus des 6,3 milliards de dollars estimés pour l’impact de Binance. « Nous évaluons que le piratage de Binance, estimé à 6,4 milliards de dollars, a probablement été réalisé par le groupe DPRK TraderTraitor en raison de liens avec des hacks précédents », a-t-il déclaré.
Des méthodes d’attaque sophistiquées
Cette attribution fait suite à une évaluation antérieure de Ido Ben-Natan, PDG de Blockaid, qui a indiqué que la sophistication de l’attaque et les préparations onchain ressemblaient à des activités nord-coréennes. Les autorités américaines ont lié TraderTraitor à certains des vols de crypto-monnaie les plus importants, y compris le piratage de Bybit en février 2025. Le FBI a également rejoint les enquêteurs américains et japonais pour attribuer le vol de plus de 300 millions de dollars de DMM Bitcoin en mai 2024 à ces acteurs nord-coréens.
Stratégies de ciblage
Le FBI a déclaré que TraderTraitor ciblait les employés des entreprises par le biais d’ingénierie sociale. Dans le cas de DMM, un attaquant prétendant être un recruteur a envoyé un test de codage malveillant à un employé de Ginco, un fournisseur de portefeuilles. Les enquêteurs ont signalé que l’accès ainsi obtenu avait probablement été utilisé pour manipuler une demande de transaction légitime, détournant des fonds vers des portefeuilles contrôlés par l’attaquant.