Penggodaman Binance yang disyaki dilakukan Korea Utara meletakkan kecurian kripto sebagai sumber utama pembiayaan rejim

Berbilion dipindahkan dalam beberapa minit, diikuti usaha pantas untuk membekukannya

Kira-kira AS$6.36 bilion dalam mata wang kripto dipindahkan keluar daripada dompet Binance merentasi 10 rantaian blok pada 29 Oktober 2026, kebanyakannya dalam tempoh kira-kira 20 minit, menurut firma risikan rantaian blok TRM Labs. TRM dan Chainalysis mengaitkan serangan itu dengan TraderTraitor, kumpulan penggodam yang dikaitkan dengan Korea Utara, dalam kejadian yang bakal menjadi kecurian mata wang kripto terbesar pernah direkodkan.

Binance berkata pihaknya telah mengamankan kira-kira AS$3 bilion aset terjejas dan mengetepikan lebih AS$6.34 bilion dana syarikat untuk menampung kerugian. Pada mulanya, bursa itu mengesyaki komputer riba seorang jurutera telah diceroboh, sebelum berkata penyiasat menemui pencerobohan yang lebih luas. Pengeluaran digantung sementara syarikat menyiasat dan berusaha mendapatkan semula dana.

Kecurian yang disyaki itu menghimpunkan dua masalah: keselamatan wang yang disimpan di bursa mata wang kripto utama dan penggunaan jenayah siber oleh Korea Utara untuk memperoleh mata wang asing. Anggaran yang dipetik berkaitan siasatan Majlis Keselamatan PBB meletakkan dana yang dicuri pada kira-kira separuh daripada pendapatan mata wang asing negara itu dan sekitar 40% daripada kos pembangunan senjatanya.

Anggaran TRM mengenai aliran keluar Binance merangkumi aset yang kemudiannya dibekukan. Oleh itu, usaha segera tertumpu pada jumlah yang boleh diperoleh semula, cara pelanggan mendapatkan semula akses kepada pegangan mereka dan jumlah yang masih boleh diakses penyerang. Binance berjanji akan menanggung semua kerugian, sementara penyiasat terus meneliti laluan pencerobohan ke dalam sistemnya dan identiti pihak yang bertanggungjawab.

Apa yang berlaku di dalam Binance?

TRM berkata penyerang membuat persediaan sekurang-kurangnya 36 jam sebelum memindahkan dana daripada beberapa dompet Binance. Kecurian itu menjejaskan rangkaian termasuk Ethereum, Bitcoin dan Solana. Rantaian blok ialah rekod transaksi digital yang dikongsi; pemindahan aset merentasi beberapa rangkaian memberi penyiasat beberapa jejak untuk diikuti serentak.

Ketua Pegawai Eksekutif Bersama Binance, Richard Teng, berkata siasatan telah melangkaui tumpuan awal terhadap sebuah komputer riba:

Perkara ini bukan dilakukan oleh seorang individu. Siasatan awal kami menunjukkan insiden keselamatan itu mungkin melibatkan komputer riba yang diceroboh, namun siasatan susulan kami menemukan titik pencerobohan tambahan.

Teng turut berkata penyerang menggunakan mekanisme yang memusnahkan alat dan jejak mereka semasa operasi berlangsung. Binance berkata pihaknya tidak menemukan bukti bahawa kunci peribadi dompet telah bocor. Kunci peribadi ialah kelayakan digital rahsia yang digunakan untuk membenarkan pemindahan mata wang kripto. Syarikat itu belum menerbitkan penjelasan teknikal lengkap mengenai pencerobohan tersebut.

Mengapa penyiasat mengesyaki TraderTraitor

Chainalysis mengenal pasti kaitan dalam pergerakan wang itu: mata wang kripto yang diambil daripada Binance muncul di rantaian blok bercampur dengan dana yang dicuri daripada Bitget pada bulan sebelumnya. Kecurian Bitget pada September, yang dianggarkan berjumlah AS$387 juta, juga dikaitkan oleh penyelidik dengan penggodam Korea Utara.

TRM menyatakan persediaan dan corak transaksi itu menyerupai serangan terdahulu yang dikaitkan dengan Korea Utara, termasuk kecurian AS$1.5 bilion daripada Bybit pada Februari 2025. Pengasas bersama dan Ketua Pegawai Eksekutif Chainalysis, Jonathan Levin, turut mengenal pasti TraderTraitor sebagai pihak yang berkemungkinan menyerang.

TraderTraitor digambarkan sebagai kumpulan yang disokong negara Korea Utara dan ditubuhkan di bawah sebuah agensi perisikan sekitar 2016 atau 2017. Penyelidik mengaitkannya dengan rangkaian Lazarus yang lebih luas. Penyelidik DTEX, Michael Barnhart, menggambarkan anggotanya sebagai penyerang kewangan berpengalaman, termasuk operator yang dikaitkan dengan APT38, satu lagi nama yang digunakan bagi operasi siber Korea Utara.

FBI secara rasmi mengaitkan kecurian Bybit dengan Korea Utara dan TraderTraitor lima hari selepas serangan itu. Setakat ini, pengaitan pencerobohan Binance dibuat berdasarkan penilaian firma risikan rantaian blok. Binance berkata pihaknya bekerjasama dengan penguat kuasa undang-undang untuk mengesahkan identiti penjenayah. Korea Utara menafikan terlibat dalam kecurian mata wang kripto.

Bagaimana mata wang kripto yang dicuri semakin sukar diperoleh semula

Chainalysis berkata dana Binance berulang kali dipindahkan antara dompet melalui ribuan transaksi dalam tempoh singkat. Penyiasat menyifatkan aktiviti itu berlaku dalam kira-kira 20 minit, dengan corak yang menunjukkan program automatik membantu memindahkan aset berkenaan.

Dompet mata wang kripto ialah alat untuk mengawal aset digital dan membenarkan transaksi. Pemindahan dana yang dicuri antara banyak dompet mewujudkan jejak yang lebih rumit, walaupun transaksi pada rantaian blok awam kekal kelihatan. Penyiasat perlu menentukan pemindahan mana yang berkaitan dengan penyerang dan di mana bursa atau perniagaan lain mungkin dapat menghentikannya.

Kelajuan juga penting kerana sesetengah aset boleh dibekukan oleh penerbitnya. Chainalysis berkata kira-kira AS$325 juta dalam stablecoin yang dicuri ditukar kepada ether, mata wang kripto yang digunakan pada Ethereum, dalam kira-kira 20 minit. Stablecoin ialah token yang direka untuk mengekalkan nilai sejajar dengan aset lain, lazimnya dolar AS. Penerbit boleh membekukan pegangan stablecoin tertentu, manakala ether tidak mempunyai penerbit dengan kuasa pembekuan yang sama.

TRM berkata broker China yang berdagang di luar bursa konvensional membeli mata wang kripto yang dicuri pada harga diskaun. Broker sedemikian boleh membantu menukar aset digital kepada wang yang boleh dibelanjakan. Bagi Korea Utara, penukaran itu menjadi penghubung antara pencerobohan komputer yang berjaya dengan dana yang boleh digunakan oleh rejim.

Berapa banyak yang dicuri dan berapa banyak yang telah diamankan?

TRM mengira aliran keluar Binance berjumlah kira-kira AS$6.36 bilion berdasarkan harga ketika aset itu dipindahkan. Insiden itu lazimnya digambarkan sebagai kecurian kira-kira AS$6.3 bilion. Jumlah itu lebih empat kali ganda daripada AS$1.5 bilion yang dicuri daripada Bybit pada 2025.

Anggaran awal dana yang dibekukan ialah kira-kira AS$2.7 bilion menurut TRM dan AS$2.8 bilion menurut Chainalysis. Binance kemudian berkata kira-kira AS$3 bilion telah diamankan, hampir separuh daripada aliran keluar awal. Syarikat itu turut berkata pihaknya sedang giat membeli token mata wang kripto sebagai sebahagian daripada usaha menampung kerugian.

Binance pada mulanya mengumumkan penggantungan deposit dan pengeluaran pada 30 Oktober, waktu Jepun. Kemas kini kemudian menyatakan deposit tidak terjejas sementara pengeluaran kekal digantung. Bursa itu menjangkakan pengeluaran akan disambung semula dalam tempoh sehari atau dua, namun waktu pembukaan semula yang tepat tidak diberikan.

Binance berkata bursa yang beroperasi untuk Amerika Syarikat tidak terjejas. Perkhidmatan Rahsia AS berkata pihaknya sedang berusaha mengenal pasti, membekukan, menjejak dan mendapatkan semula dana, manakala Binance berkata pihaknya bekerjasama dengan FBI. Aset yang berkaitan dengan syarikat AS, termasuk stablecoin daripada Tether dan Circle, antara yang terlibat.

Pelanggan turut berdepan isu undang-undang selain usaha mendapatkan semula aset secara teknikal. Daniel Tunkel, peguam di Edwin Coe di London, berkata hak untuk mendapatkan semula aset bergantung pada janji kontrak dan tempat pelanggan boleh menyaman Binance sekiranya syarikat itu gagal memenuhi tanggungjawabnya. Komitmen Binance untuk menanggung kerugian meletakkan beban kewangan segera pada syarikat itu.

Bahagian kerugian mata wang kripto global yang semakin meningkat

Chainalysis menganggarkan penggodam Korea Utara mencuri AS$2.02 bilion pada 2025, berbanding AS$1.34 bilion pada 2024. Ini merupakan peningkatan kira-kira 51%. Kecurian Bybit sahaja menyumbang sekitar tiga perempat daripada angka 2025.

Bagi 2026, Chainalysis menganggarkan bahagian Korea Utara daripada kerugian penggodaman mata wang kripto yang dilaporkan ialah 89%, meningkat daripada 15% pada 2021. TRM menganggarkan bahagian 85% bagi 2026, tetapi turun kepada 45% apabila Binance tidak diambil kira. Oleh itu, insiden Binance menyumbang sebahagian besar kenaikan ketara dalam angka tahunan.

Chainalysis turut menganggarkan purata kerugian bagi setiap serangan yang disyaki dilakukan Korea Utara meningkat daripada AS$50.65 juta pada 2021 kepada AS$185.65 juta pada 2026. Pengiraan angka itu menunjukkan peningkatan kira-kira 3.7 kali ganda, menandakan kerugian kewangan bagi setiap insiden telah meningkat dengan ketara.

Bagi tempoh Januari 2021 hingga 29 Oktober 2026, angka yang dikaitkan dengan Chainalysis meletakkan kerugian global pada AS$22.34 bilion dan kerugian yang dikaitkan dengan Korea Utara pada AS$13.24 bilion, kira-kira 59%. Satu lagi pengiraan yang dikaitkan dengan firma itu masing-masing mencatatkan AS$22.034 bilion dan AS$13.024 bilion, juga kira-kira 59%.

TRM menganggarkan 100 serangan Korea Utara sejak 2017, dengan AS$12.8 bilion dicuri, termasuk AS$7.4 bilion pada 2026. Barnhart menganggarkan jumlah kecurian terkumpul sekitar AS$13.5 bilion. Anggaran tersebut meliputi tempoh dan set insiden yang berbeza, maka jangka masa yang dinyatakan penting untuk memahami jumlah keseluruhan itu.

Mengapa wang itu penting kepada Pyongyang

Siasatan panel pakar Majlis Keselamatan PBB mengenal pasti 58 serangan yang disyaki dilakukan Korea Utara terhadap syarikat mata wang kripto antara 2017 dan 2023, melibatkan kerugian kira-kira AS$3 bilion. Skalanya meningkat sejak itu, dengan satu operasi Binance yang disyaki kini melebihi jumlah terdahulu itu.

Korea Utara berdepan sekatan antarabangsa yang meluas, yang menyekat aksesnya kepada perdagangan dan kewangan. Kecurian mata wang kripto menyediakan laluan untuk memperoleh mata wang asing di luar eksport biasa. Anggaran yang dikaitkan dengan panel PBB meletakkan hasil penggodaman pada kira-kira separuh daripada pendapatan mata wang asing Korea Utara, manakala dana yang dicuri dianggarkan menampung sekitar 40% kos pembangunan senjatanya.

Kecurian Binance bernilai AS$6.3 bilion itu dibandingkan dengan kira-kira satu perlima pendapatan negara kasar Korea Utara. Pendapatan negara kasar mengukur pendapatan yang diperoleh penduduk dan perniagaan sesebuah negara sepanjang setahun. Perbandingan itu menunjukkan mengapa kecurian sebesar ini memberi kesan jauh melangkaui pelanggan bursa berkenaan.

Korea Utara telah lama berdepan dakwaan melakukan usaha haram lain untuk memperoleh mata wang asing, termasuk penghasilan wang kertas palsu AS$100 yang canggih pada 1990-an serta pengeluaran dan penyeludupan metamfetamina pada 2000-an. Operasi siber menawarkan rejim itu cara untuk menyasarkan perniagaan di luar negara melalui rangkaian komputer.

Serangan yang didahului latihan selama bertahun-tahun

Korea Utara dilaporkan memilih kanak-kanak yang berbakat dalam matematik dan sains untuk menjalani latihan peperangan siber selama tiga hingga lima tahun. Pelajar berpotensi kemudian melanjutkan pelajaran dalam program khusus di universiti, sekali gus menyediakan bekalan berterusan tenaga kerja terlatih secara teknikal.

Jawatankuasa Hak Asasi Manusia di Korea Utara menyifatkan kursus lima tahun di Universiti Moranbong di Pyongyang yang menggabungkan pengajian ketenteraan, penggodaman dan kriptanalisis. Kriptanalisis ialah kajian tentang cara memecahkan kod atau menewaskan sistem yang direka untuk merahsiakan maklumat. Sesetengah operator elit dilaporkan menerima latihan lanjut di China dan Rusia.

Bekas Timbalan Menteri Pertahanan Korea Selatan, Shin Beom-chul, menyifatkan penggodam Korea Utara sebagai sangat agresif dan mahir, serta dilatih untuk operasi mata wang asing rejim itu. Sokongan negara memberi pasukan ini bantuan berterusan dan membolehkan mereka beroperasi tanpa risiko pendakwaan dalam negara yang dihadapi ramai penjenayah lain.

Pekerjaan palsu boleh membuka jalan

Kaedah TraderTraitor kerap bermula dengan menyasarkan manusia, bukannya menyerang dompet mata wang kripto secara langsung. Kumpulan itu menyasarkan pembangun dan kakitangan teknologi maklumat melalui tawaran pengambilan pekerja palsu, cadangan perkongsian perniagaan yang kononnya tulen dan perisian hasad yang disamarkan sebagai sesuatu yang diperlukan untuk kerja.

Amaran bersama yang dikeluarkan pada 2022 oleh FBI, Agensi Keselamatan Siber dan Infrastruktur serta Jabatan Perbendaharaan AS menghuraikan perisian hasad dan penipuan yang menyasarkan perniagaan mata wang kripto. Barnhart berkata temu duga kerja palsu digunakan untuk memujuk pemohon memuat turun perisian hasad, sekali gus mendedahkan kelayakan log masuk dan maklumat sensitif.

Pakar keselamatan menyebutnya kejuruteraan sosial: memujuk seseorang melakukan tindakan yang membantu penyerang. Setelah komputer diceroboh, penyerang boleh menggunakannya untuk meneroka sistem dalaman organisasi dan mencari kuasa untuk memindahkan wang.

Pengasas bersama dan Ketua Pegawai Eksekutif Nyxlab, Kok Tin Gan, mencadangkan bahawa serangan terhadap Binance mungkin melibatkan tandatangan yang memberikan token akses luas dan berterusan kepada dompet yang disambungkan ke internet. Penjelasan itu masih berupa teorinya sementara Binance menyiasat keseluruhan rangkaian kejadian.

Daripada Sony ke Binance: operasi yang semakin meluas

Operasi siber Korea Utara merangkumi gangguan politik selain kecurian kewangan. Serangan terhadap Sony Pictures pada 2014 secara meluas dianggap sebagai tindakan balas terhadap sebuah filem komedi yang menggambarkan rancangan membunuh Kim Jong Un. Insiden kemudian menunjukkan tumpuan yang semakin meningkat terhadap pegangan mata wang kripto yang besar.

• 2014: Penggodaman Sony Pictures menarik perhatian dunia kepada operasi siber Korea Utara.
• 2022: Kumpulan Lazarus dikaitkan dengan kecurian kira-kira AS$620 juta daripada Ronin Network, yang menyokong sebuah permainan rantaian blok.
• 2024: TraderTraitor dipertanggungjawabkan atas kecurian AS$308 juta daripada bursa DMM Bitcoin di Jepun.
• Februari 2025: Bybit kehilangan kira-kira AS$1.5 bilion dalam serangan yang dikaitkan FBI dengan Korea Utara.
• April 2026: Penganalisis mengaitkan kecurian AS$285 juta daripada Drift dan AS$292 juta daripada KelpDAO dengan penggodam Korea Utara.
• September 2026: Bitget kehilangan kira-kira AS$387 juta dalam kecurian yang dikaitkan penyelidik dengan rangkaian sama.
• 29 Oktober 2026: Kira-kira AS$6.36 bilion dipindahkan keluar daripada dompet Binance merentasi 10 rantaian blok.

Drift dan KelpDAO beroperasi dalam kewangan terdesentralisasi, yang sering dipanggil DeFi, iaitu sistem perisian pada rantaian blok yang menjalankan transaksi kewangan. Oleh itu, sasaran bukan sahaja bursa konvensional, malah sistem yang menyimpan atau memindahkan dana melalui program automatik.

Kecerdasan buatan boleh mempercepat beberapa bahagian operasi ini. Simon Choi, ketua pegawai teknologi di syarikat keselamatan siber StealthMole, memberi amaran bahawa AI membantu penyerang mencari kelemahan keselamatan dan mengautomatikkan serangan. Penyiasat turut mengenal pasti tanda automasi dalam pergerakan dana Binance, sementara siasatan teknikal syarikat itu masih diteruskan.

Perkara Utama

• TRM menganggarkan AS$6.36 bilion keluar daripada dompet Binance pada 29 Oktober 2026, kebanyakannya dalam kira-kira 20 minit.
• TRM dan Chainalysis mengaitkan kecurian yang disyaki itu dengan kumpulan TraderTraitor dari Korea Utara.
• Binance berkata kira-kira AS$3 bilion telah diamankan dan lebih AS$6.34 bilion diketepikan untuk menampung kerugian.
• Chainalysis menganggarkan bahagian Korea Utara daripada kerugian penggodaman mata wang kripto global yang dilaporkan mencecah 89% pada 2026.
• Penyiasat sedang meneliti pencerobohan yang melibatkan beberapa titik kemasukan, sementara Binance belum menerbitkan dapatan teknikal lengkapnya.
• Kecurian mata wang kripto menyediakan mata wang asing yang dianggarkan membantu membiayai program senjata Korea Utara.