In nieuws dat absoluut niemand zal verbazen die de carrière van de Lazarus Group heeft gevolgd, hebben twee grote blockchain-analysebureaus Noord-Korea's door de staat gesteunde hackingeenheid geïdentificeerd als de waarschijnlijke schuldige achter de $6,3 miljard (£4,7 miljard) hack van Binance, 's werelds grootste cryptocurrency-exchange. TRM Labs en Chainalysis zeggen beide 'hoge mate van vertrouwen' te hebben in de toeschrijving, wat in analistentaal betekent: 'we zijn er vrij zeker van, maar we gaan niet zeggen dat het zeker zij zijn tot iemand een memoir schrijft.'

De Lazarus Group, ook wel TraderTraitor genoemd - een naam die klinkt als een afgewezen Marvel-schurk - is in verband gebracht met een lange lijst van cybermisdrijven. Noord-Korea, een van de armste landen ter wereld en een plek waar internettoegang voor gewone burgers ernstig beperkt is, wordt al lang beschuldigd van het gebruik van cybercriminaliteit om zichzelf te financieren. Pyongyang ontkent dit, vermoedelijk met een stalen gezicht en een zeer beveiligde server.

Hoewel de Binance-hack een financiële kwestie is, was de meest spectaculaire vermoedelijke cyberaanval van het regime dat beslist niet. In 2014 werd Sony Pictures doelwit vanwege de Hollywood-film *The Interview*, waarin een complot om Kim Jong Un te vermoorden centraal staat. De hack legde duizenden gênante e-mails bloot die tussen de topbestuurders van de studio werden uitgewisseld - een herinnering dat soms het meest schadelijke wapen gewoon een grondige inbox-doorzoeking is.

Vorig jaar zei de Federal Bureau of Investigation (FBI) dat Noord-Korea verantwoordelijk was voor de diefstal van $1,5 miljard op de Bybit-exchange. Na dat incident zei het agentschap dat TraderTraitor snel handelde om de gestolen activa wit te wassen en te verspreiden, door ze om te zetten in Bitcoin en andere digitale activa met als doel ze uiteindelijk om te zetten in harde valuta. De FBI heeft Noord-Korea in brede zin beschuldigd van 'illegale cybercriminaliteit en diefstal van virtuele activa' - een frase die een veelheid aan zonden dekt en ten minste één Sony-hack.

Noord-Korea heeft zijn cyberoperaties systematisch ontwikkeld, waarbij het de meest veelbelovende studenten van universiteiten rekruteert en hen kanaliseert naar hackergroepen die onder toezicht staan van de inlichtingendienst van het land, volgens rapporten. Een deel van de cyberoorlogsvoering vindt plaats net over de grens in China, volgens analyses van techgroepen - want waarom thuis hacken als je kunt pendelen?

Veel van de hackactiviteiten was gericht op financieel gewin. Noord-Koreaanse hackers worden ook verdacht van de diefstal van $620 miljoen aan cryptocurrency in 2022. Bij deze meest recente overval worden Noord-Koreaanse agenten beschuldigd van het gebruik van een speciale autorisatie om een Binance hot wallet - die met het internet is verbonden - om te zetten in een die automatisch fondsen naar de aanvaller verplaatste. TRM zei dat het waarschijnlijk is dat de aanvaller toegang kreeg tot Binance's hot wallet-ondertekeningssysteem als onderdeel van het plan.

Binance heeft niet direct gereageerd op de vragen van de BBC over mogelijke verbanden van het incident met de regio. Het bedrijf zei aanvankelijk dat het dacht dat de laptop van een engineer was gecompromitteerd, waardoor ongeoorloofde opnames mogelijk waren, maar zei later dat de aanval breder was. 'Ons daaropvolgende onderzoek heeft extra inbreukpunten aan het licht gebracht,' zei Binance's co-CEO Richard Teng, vermoedelijk terwijl hij naar een zeer grote spreadsheet van verdwenen geld staarde.

Ongeveer 80% van de gestolen activa is veiliggesteld, zei een woordvoerder van Binance vrijdag, maar de rest blijft onverklaard - een aardig bedrag dat vermoedelijk wordt witgewassen via een reeks steeds creatievere crypto-transacties.

Als de beschuldigingen waar zijn, toont de recordbrekende overval aan hoe machtig vermoedelijke Noord-Koreaanse hackers zijn geworden - een teken dat de tools van het hackvak scherper zijn geworden. Deskundigen zeggen dat de opkomst van kunstmatige intelligentie dreigingsactoren ook nieuwe manieren heeft gegeven om misdaad uit te voeren, via automatisering en andere middelen. In dit geval is het aannemelijk dat AI werd gebruikt om Binance's systemen te infiltreren. Zoals Chainalysis het formuleerde, gebruikte de aanvaller witwaspatronen 'die we niet eerder hebben gezien' - wat ofwel een ijzingwekkende waarschuwing is, ofwel een compliment.