Nyt se on virallista, sillä FBI:n mukaan Pohjois-Korean hakkerit ryöstivät Binancen. Yhdysvaltain liittovaltion poliisi kertoi lauantaina, että torstain 6,3 miljardin dollarin varkauden takana on Pjongjangin hallinnon hakkeriyksikkö. Summa vastaa noin 5,6 miljardia euroa. Kyse on kryptomaailman historian suurimmasta ryöstöstä.
Isku ei tullut täysin yllätyksenä. Alan tietoturva oli ollut otsikoissa jo saman viikon alussa, kun neljä yhtiötä kertoi tietoturvamurroista samana päivänä. Binancen tapaus on kuitenkin täysin omaa luokkaansa, ja nyt viranomaiset ovat nimenneet myös tekijän.
Miksi FBI uskoo, että Pohjois-Korean hakkerit ryöstivät Binancen?
FBI yhdisti iskun toimijaan, jota se kutsuu nimellä TraderTraitor. Viraston mukaan sama ryhmä vei myös Bybit-pörssiltä 1,5 miljardia dollaria helmikuussa 2025. Lisäksi useat kryptoalan asiantuntijat olivat jo ennen virallista ilmoitusta nähneet iskussa pohjoiskorealaisen hakkeroinnin tuntomerkit.
TraderTraitor ei ole viranomaisille uusi tuttavuus. Jo tammikuussa 2023 FBI kertoi saman kampanjan olleen Harmony-lohkoketjun noin 100 miljoonan dollarin varkauden takana. Tietoturvayhtiöt puolestaan tuntevat ryhmän nimillä Lazarus ja APT38, joten kyse on käytännössä samasta valtiollisesta koneistosta.
Varkaus tapahtui torstaina vain muutamassa minuutissa. Saaliin joukossa oli bitcoinia ja useita muita kryptovaluuttoja. Binance keskeytti heti talletukset ja nostot, ja tutkinta käynnistyi saman tien yhdessä viranomaisten kanssa.
Miksi Pohjois-Korea sitten varastaa kryptoja? Syy on yksinkertainen, koska maa on lähes täysin eristetty kansainvälisestä rahoitusjärjestelmästä. Esimerkiksi EU:n Pohjois-Koreaa koskevat rajoittavat toimenpiteet jäädyttävät varoja ja rajoittavat rahoituspalveluja. FBI on jo pitkään arvioinut, että varastetuilla kryptoilla rahoitetaan maan ohjus- ja asehankkeita.
Ethereum ja pikavaihtopalvelut pesun välineinä
Kun Pohjois-Korean hakkerit ryöstivät Binancen, he alkoivat FBI:n mukaan muuttaa saalista pääosin Ethereumiksi. Seuraavaksi virasto odottaa ryhmän kierrättävän rahat hajautetun rahoituksen eli DeFi-palvelujen ja pikavaihtopalvelujen kautta. Siksi FBI pyysi pörssejä, lohkoketjuanalytiikan yrityksiä ja muita toimijoita estämään siirrot epäillyistä osoitteista.
Lohkoketjutiedusteluun erikoistuneen TRM Labsin politiikkajohtaja Ari Redbord arvioi, että hakkerit pilkkovat saaliin pieniin osiin. Sen jälkeen he yrittävät pestä rahat pienempien pörssien kautta, ja prosessi voi kestää kuukausia. Toisaalta tutkijat voivat Redbordin mukaan seurata varoja reaaliajassa ja jopa takavarikoida osan niistä.
Asetelma muistuttaa siis kissa ja hiiri -leikkiä, jossa kumpikin osapuoli tuntee toisen keinot. Suomessakin rahanpesun ja terrorismin rahoittamisen estämisessä on mukana useita viranomaisia, ja virtuaalivaluutan tarjoajat kuuluvat ilmoitusvelvollisiin. Käytännössä pienikin pörssi voi siis päätyä osaksi saaliin pesureittiä.
Trump ei ole varma, että Pohjois-Korean hakkerit ryöstivät Binancen
Presidentti Donald Trump ei kuitenkaan lähtenyt heti FBI:n linjalle. Toimittajat kysyivät asiasta lauantai-iltana hänen Mar-a-Lagon kartanonsa halloween-juhlissa. Trumpin mukaan asiaa vielä selvitetään, eikä hän ollut huolissaan. “Emme tiedä, onko se Pohjois-Korea, mutta jos on, puhumme heidän kanssaan siitä”, hän sanoi.
Ristiriita on silti lähinnä näennäinen. Trump ei sulkenut Pohjois-Korean osuutta pois, vaan halusi lisää varmuutta ennen kannanottoa. Binance puolestaan kertoi lauantaina kattaneensa jo 90 prosenttia kadonneista varoista ja lupasi korvata asiakkaille kaiken.
Tutkinta jatkuu silti täydellä teholla. FBI kertoi pyrkivänsä tunnistamaan ja häiritsemään Pohjois-Korean kyberrikollisuutta sekä virtuaalivarojen varkauksia. Yksi keino ovat juuri julkaistut osoitteet, joiden avulla pörssit voivat pysäyttää epäilyttävät siirrot.
Yksi isku ohittaa lähes kaikki aiemmat
Mittasuhteet ovat hätkähdyttävät. Lohkoketjuanalytiikkayhtiö Chainalysisin mukaan Pohjois-Koreaan yhdistetyt hakkerit veivät vuonna 2025 noin 2,02 miljardia dollaria, mikä oli 59 prosenttia kaikista kryptovarkauksista. Koko seurantajakson aikana maan saalis oli kasvanut 6,75 miljardiin dollariin. Pelkkä Binancen ryöstö on siis lähes yhtä suuri kuin kaikki aiemmat tapaukset yhteensä.
Ennätys muuttaa myös alan riskiarviota. Ennen tätä viikkoa suurin yksittäinen menetys oli Bybitin 1,5 miljardia dollaria, mutta nyt Pohjois-Korean hakkerit ryöstivät Binancen yli nelinkertaisella summalla. Tutkijoille se tarkoittaa työläämpää jäljitystä, sillä pestävää on ennätysmäärä.
Samalla Chainalysis havaitsi muutoksen taktiikassa. Iskuja on aiempaa vähemmän, mutta ne ovat paljon suurempia. Yhtiön mukaan Pohjois-Korea on myös soluttanut IT-työntekijöitä kryptoyhtiöihin saadakseen niiden järjestelmiin laajat käyttöoikeudet.
Pesussakin on selvä kaava. Chainalysisin mukaan ryhmä pesee saaliinsa tyypillisesti noin 45 päivän aalloissa ja käyttää kiinankielisiä rahanpesupalveluja, ketjujen välisiä siltoja ja sekoituspalveluja. Erät ovat usein vain noin puolen miljoonan dollarin kokoisia, mikä vaikeuttaa jäljittämistä.
Mitä se, että Pohjois-Korean hakkerit ryöstivät Binancen, tarkoittaa sijoittajalle?
Tavalliselle sijoittajalle tärkein opetus liittyy säilytykseen. Pohjois-Korean hakkerit ryöstivät Binancen, vaikka kyseessä on alan suurin ja resursseiltaan vahvin toimija. Kannattaa myös tarkistaa, onko käyttämälläsi palvelulla MiCA-lupa, koska se tuo mukanaan valvonnan ja selkeät vastuut.
Toisaalta Binancen kaltainen jätti pystyy paikkaamaan tappionsa omista varoistaan. Pienemmälle pörssille vastaava isku voisi olla kohtalokas. Juuri siksi moni pitää pitkäaikaiset sijoituksensa omassa lompakossaan ja pörssissä vain kaupankäyntiin tarvittavan osuuden.
Seuraavat viikot näyttävät, saavatko viranomaiset jäädytettyä merkittävän osan saaliista ennen kuin se katoaa pesukoneeseen. Miten sinä säilytät omat kryptosi, ja muuttiko tämä uutinen suunnitelmiasi? Kerro ajatuksesi kommenteissa.
