I nyheter som absolut inte kommer att förvåna någon som följt Lazarus Groups karriärbåge har två stora blockchain-analysföretag identifierat Nordkoreas statligt stödda hackenhet som den troliga boven bakom hacket av Binance, världens största kryptovalutabörs, till ett värde av 6,3 miljarder dollar (4,7 miljarder pund). TRM Labs och Chainalysis säger båda att de har "hög tilltro" till tillskrivningen, vilket på analytikerspråk betyder "vi är ganska säkra, men vi tänker inte säga att det definitivt är de förrän någon skriver en memoar."

Lazarus Group, även känd som TraderTraitor – ett namn som låter som en ratad Marvel-skurk – har kopplats till en lång rad cyberbrott. Nordkorea, ett av världens fattigaste länder och en plats där internetåtkomst är starkt begränsad för vanliga medborgare, har länge anklagats för att använda cyberbrott för att finansiera sig självt. Pyongyang förnekar detta, förmodligen med pokeransikte och en mycket säker server.

Medan Binance-hacket är en finansiell angelägenhet var regimens mest spektakulära misstänkta cyberattack avgjort inte det. 2014 utsattes Sony Pictures för en attack på grund av Hollywoodfilmen *The Interview*, som handlar om en komplott för att mörda Kim Jong Un. Hacket blottade tusentals pinsamma e-postmeddelanden som utväxlats mellan studions högsta chefer – en påminnelse om att det mest skadliga vapnet ibland bara är en riktigt grundlig inkorgssökning.

Förra året sade FBI att Nordkorea låg bakom stölden av 1,5 miljarder dollar på börsen Bybit. Efter den incidenten sade myndigheten att TraderTraitor snabbt flyttade för att tvätta och sprida de stulna tillgångarna, omvandla dem till Bitcoin och andra digitala tillgångar i syfte att så småningom göra dem till hårdvaluta. FBI har brett anklagat Nordkorea för "olaglig cyberbrottslighet och stöld av virtuella tillgångar" – en fras som täcker en mängd synder och åtminstone ett Sony-hack.

Nordkorea har systematiskt utvecklat sin cyberverksamhet, rekryterat de mest lovande studenterna från universiteten och kanaliserat dem till hackergrupper som övervakas av landets underrättelsetjänst, enligt rapporter. En del av cyberkrigföringen äger rum precis över gränsen till Kina, enligt analyser från teknikgrupper – för varför hacka hemifrån när man kan pendla?

Mycket av hackerverksamheten har kretsat kring ekonomisk vinning. Nordkoreanska hackare misstänks också för stölden av kryptovaluta till ett värde av 620 miljoner dollar 2022. I den senaste kuppen anklagas nordkoreanska agenter för att ha använt en särskild behörighet för att förvandla en Binance hot wallet – som är ansluten till internet – till en som automatiskt flyttade medel till angriparen. TRM sade att det är troligt att angriparen fick tillgång till Binances signeringssystem för hot wallets som en del av schemat.

Binance har inte direkt svarat på BBC:s frågor om incidentens potentiella kopplingar till området. Företaget sade först att man trodde att en ingenjörs laptop hade komprometterats, vilket möjliggjorde obehöriga uttag, men sade senare att attacken var bredare. "Vår efterföljande utredning har avslöjat ytterligare intrångspunkter", sade Binances med-VD Richard Teng, förmodligen medan han stirrade på ett mycket stort kalkylark över saknade pengar.

Omkring 80 procent av de stulna tillgångarna har säkrats, sade en talesperson för Binance på fredagen, men resten är fortfarande oredovisat – en nätt summa som förmodligen tvättas genom en serie allt mer kreativa kryptotransaktioner.

Om anklagelserna är sanna visar den rekordstora kuppen hur mäktiga misstänkta nordkoreanska hackare har blivit – ett tecken på att hackerverktygen har blivit vassare. Experter säger att artificiell intelligens också har gett hotaktörer nya sätt att begå brott, genom automatisering och andra medel. I det här fallet är det troligt att AI användes för att infiltrera Binances system. Som Chainalysis uttryckte det använde angriparen tvättmönster "som vi inte har sett tidigare" – vilket antingen är en kuslig varning eller en komplimang.