Binance'i 6,3 miljardi dollarine vargus ja Põhja-Korea küberarmee

Põhja-Korea küberüksus TraderTraitor viis 2026. aasta oktoobris läbi ajaloo suurima krüptoraha varguse, ammutades Binance’i süsteemidest 6,3 miljardit dollarit. Operatsioon, mis algas näiliselt süütu LinkedIni vestlusega, paljastas lääne finantstaristu haavatavuse riikliku tasandi sotsiaalsele manipuleerimisele ja küberarmee professionaalsusele.

Sissetulek muude vahenditega

ÜRO eksperdirühm märkis seda selgelt juba 2019. aastal ja keegi ei pidanud seda uudiseks: Põhja-Korea oli küberoperatsioonide kaudu varastanud ligikaudu kaks miljardit dollarit ning sanktsioonirežiim ei olnud märganud midagi. See arv tundus tollal murettekitav. Täna mõjub see pigem kui nostalgiline meenutus lihtsamatest aegadest.

FBI hinnang 2026. aasta oktoobri Binance’i murdmisele üksuse TraderTraitor poolt kinnitab seda, mida ekspertrühma kuivad tabelid on juba ammu näidanud — Pyongyangile ei ole küberaparaat pelk luureandmete hankimise lisaseade relvatööstuse kõrval. See ongi relvatööstus. USA Kongressis esitatud andmete kohaselt rahastatakse sel viisil ligikaudu 40 protsenti Põhja-Korea ballistiliste rakettide ja massihävitusrelvade programmidest. Kusagil uuendati vaikselt eelarverida iga kord, kui püstitati uus vargusrekord.

Operatsiooni ulatus ei peegelda improviseeritud oportunismi, vaid institutsionaalset infrastruktuuri. Ameerika Ühendriikide hinnangul peab Põhja-Korea ülal ligikaudu 8400 väljaõppinud küberagenti — see arv vastab pigem seisvale armeele kui vabakutseliste üksusele. Esimene tuvastatav sondeerimine Binance’i süsteemidesse registreeriti 2026. aasta juunis, neli kuud enne raha tegelikku liikumist. See intervall on kooskõlas Lazarus Groupi tuntud töörütmiga: kannatlik, metoodiline ja suunatud konkreetsele inimlikule nõrkusele konkreetse masina sees.

See, mida TraderTraitor nende kuude jooksul ehitas, ei olnud häkkimine selle sõna tavapärases tähenduses — tarkpea ootamatu sissetung väljastpoolt. See oli ühe riigi poolt erasektori asutuse vastu suunatud värbamiskampaania, mille peamiseks relvaks oli karjääri edendamise sõnavara. Sanktsioonirežiim, mis ei suutnud peatada raketiprogrammi, ei kavatsenud peatada ka seda.

Intervjuu, mida ei toimunud

2026. aasta septembris sai üks Binance’i tarkvarainsener LinkedIni teate Dubais asuva tehisintellekti ettevõtte värbajalt. Ettevõtet ei olnud olemas. Kampaania aga oli.

Järgnev ei olnud kümnest tuhandest spämmkirjast koosnev kalastusrünnak. See oli järk-järgult üles ehitatud suhe, mis oli disainitud tunduma võimalusena. Kõigepealt toimus videokõne fiktiivse personalitöötajaga, seejärel teine kõne fiktiivse tegevjuhiga — iga sessioon lisas institutsionaalset usaldusväärsust, iga osaleja oli renderdatud või juhendatud fiktsioon. Inseneril polnud erilist põhjust kahtlustamiseks. Töö tundus reaalne, näod tundusid reaalsed ja ettevõttel oli just selline geneeriline digitaalne jalajälg, mida võiks oodata igalt Dubai idufirmalt.

Kohaletoimetamise mehhanismiks oli programmeerimisülesanne. See on Lazaruse standardne lähenemine uues kuues: andke sihtmärgile tehniline ülesanne, peitke sellesse pahavara ja laske professionaalsel kohusetundlikkusel ülejäänu teha. Ülesanne sisaldas nullpäeva haavatavuse pahavara — niipea kui see tööga seotud arvutis avati, loodi juurdepääs vaikselt ja ilma teavitusteta.

See ei olnud aga esimene sisenemispunkt. Teise inseneri seade oli kompromiteeritud juba kolm kuud varem, 2026. aasta juunis, kui ta paigaldas võltsitud Homebrew-paketi — tarneahela rünnak tööriista kaudu, mida arendajad kasutavad ilma tseremoonitsemata, nii nagu puusepp haarab vasara järele. See sissemurdmine andis ründajatele esmase ülevaate Binance’i sisemisest arhitektuurist. Septembri operatsioon süvendas seda juurdepääsu.

Küsige esmalt väikest küsimust: kes on siin piiririik ja kes on impeerium? LinkedIni kõnes osalenud insener ei olnud hooletu. Ta oli maastik, millel liikus riikliku tasandi operatsioon. Intervjuu, mida kunagi ei toimunud, oli tegelikult kampaania kõige olulisem kohtumine.

Kakskümmend minutit üle kümne ahela

29. oktoobril kell 20.05 UTC algas ülekanne. Kell 20.25 oli see suures osas lõppenud. Kakskümmend minutit, et liigutada põhiosa 6,3 miljardist dollarist — mis on igasuguse ausa mõõdupuu järgi kiirem arveldus kui enamik legitiimseid pangaülekandeid korrespondentpankade vahel.

Tehniliseks mehhanismiks oli EIP-7702, Ethereumi protokolli funktsioon, mis on loodud võimaldama välistel kontodel delegeerida täitmisõigusi. Ründajad ei murdnud krüptograafiat. Nad tegutsesid selle kaudu, kasutades kuudepikkuse sotsiaalse manipuleerimise kampaania käigus kompromiteeritud mandaate, et volitada rahakotte enda nimel tegutsema. Mitme osapoole arvutusarhitektuur (MPC), mis ehitati just nimelt allkirjaõiguse jagamiseks ja ühepoolsete väljamaksete vältimiseks, ei alistatud; see asustati.

Sealt liikus raha samaaegselt üle kümne plokiahela. 3,8 miljardit dollarit lahkus Ethereumist. 1,5 miljardit dollarit Bitcoinis. Hajutamine ei olnud juhuslik — see oli operatiivne disain, et maksimeerida külmutamistaotluste arvu, mida iga üksik emitent või börs peaks koordineerima neil minutitel, mil häirekell alles õigete laudadeni jõudis.

Praktiline järeldus kõigile, kes hoiavad varasid tsentraliseeritud börsil, on järgmine: arhitektuur, mis tundus hajutatud turvalisusena, oli oma autoriseerimiskihis tegelikult mandaatide probleem. Krüptograafiline kindlus ei tähenda midagi, kui inimene, kes hoiab võtit, on kolm kuud osalenud võltsitud värbamisprotsessis. Lukk oli korras. Võtmehoidja oli haavatavus.

Külmutamine ja kassa

Selleks ajaks, kui viimane tehing 29. oktoobril lõpetati, oli kogusumma jõudnud kuhugi 6,3 ja 6,34 miljardi dollari vahele. Number muutus pidevalt, kui plokiahelaanalüütikud jälitasid vahendeid üle kümne ahela. See ebakõla ise oli omamoodi institutsionaalne ülestunnistus: iseven pearaamatu koostajad polnud oma põrandat täielikult üle lugenud.

Järgnev oli krüptostandardite järgi peaaegu et korrapärane. Tether ja Circle, kaks domineerivat stabiilsusraha emitenti, asusid mõne päeva jooksul varasid külmutama. Õiguskaitseorganid koordineerisid tegevust paralleelselt. Ligikaudu 2,85 miljardit dollarit varastatud varadest lukustati — arv, mis loetaks edulooks, kui algsumma ei oleks 6,3 miljardit. Ülejäänud 3,5 miljardit jäi liikumisse ja keegi pole sellest ajast peale öelnud, kuhu need maandusid.

Binance peatas väljamaksed umbes kaheks päevaks. Seejärel kasutas börs oma korporatiivset kassat ja kindlustusfonde lünga katmiseks, taastades 98 protsenti varastatud kasutajate varadest 3. novembriks. Masin teisisõnu ei purunenud — selle töös hoidmine maksis lihtsalt rohkem, kui keegi oli eelarvesse planeerinud.

Richard Teng kirjeldas seda kui „mitme kuu jooksul üles ehitatud kampaaniat“. Seda sõnastust tasub tähele panna. Korporatiivne kriisikeel paisub peaaegu alati — häkkimine on ootamatu, vastus kangelaslik, taastumine täielik. Teng tegi vastupidist. Ta nimetas kampaaniat, mitte vahejuhtumit. Ta viitas kestusele, mitte ulatusele. See oli harv institutsionaalne avaldus: selline, mis pigem alahindas kui esines. See, mida ta vaikselt alahindas, oli tõsiasi, et kampaania oli toiminud.

Tallinn teadis seda stsenaariumi juba varem

2026. aasta septembris Binance’i insenerile saadetud LinkedIni teade ei olnud uus leiutis. Eesti küberturbespetsialistid, teiste seas Tõnu Samuel, olid teatanud peaaegu identsetest lähenemistest juba 2024. aasta lõpus: värbaja, usaldusväärne ettevõte, lavastatud intervjuu, fail allalaadimiseks. Põhja-Korea fiktiivse tööintervjuu stsenaariumi testiti väikeriigi professionaalide peal enne, kui seda laiendati maailma ühe suurima finantsplatvormi vastu.

Eesti jaoks on see tuttav struktuurne positsioon. Kõrge tehnilise võimekusega ja lääne suunaga institutsioonidega väikeriigid asuvad tuvastusraadiuses varem, kui meetod jõuab täieliku rakendamiseni. Võltsitud intervjuude kampaania järgib sama loogikat nagu varasemad sondioperatsioonid: käivita rünnak seal, kus vastureaktsiooni võimekus on kitsam, lihvi lähenemist ja liigu seejärel sihtmärkide ahelas ülespoole.

Stabiilsusraha külmutamine väärib võrdset tähelepanu. Tether ja Circle külmutasid mõne päevaga ligikaudu 2,85 miljardit dollarit varastatud varadest. See on märkimisväärne koordineerimiskiirus ja samas ka ülestunnistus: olulisel osal krüptoraha ökosüsteemist on tsentraliseeritud väljalülitusnupp. Turunduskirjandus seda ei rõhuta. Külmutamine toimis just nimelt seetõttu, et need varad ei olnud kunagi üheski operatiivses mõttes detsentraliseeritud — need olid nende emitentidele alati kättesaadavad.

LinkedIn on nüüd riikliku tasandi luureinstrument. Selle organisatsiooniskeemide andmed, töötajate staaži signaalid, soovituste jäljed — see kõik kaardistab ettevõtete ligipääsuhierarhiaid tasuta ja suures ulatuses. Platvormi ei murtud sisse. See funktsioneeris täpselt nii, nagu ette nähtud, ja see ongi struktuurne probleem.

Eitamine, pearaamat ja mida jälgida

Pyongyangi ametlik seisukoht saabus graafiku kohaselt: süüdistused on absurdne retoorika. See valem ei ole muutunud alates 2016. aastast, mil sama ametkond väljastas samasuguse eituse pärast Bangladeshi keskpanga röövi, ja pole põhjust eeldada, et see muutuks nüüd. Eitamine ei maksa midagi, kui sul pole laua taga istet, mida tasuks kaitsta.

Pearaamat on vähem andestav. Tether, Circle ja õiguskaitseorganid külmutasid 29. oktoobrile järgnenud päevadel ligikaudu 2,85 miljardit dollarit. Aritmeetika ei ole keeruline: hinnanguline vargus on kokku 6,3 miljardit dollarit, mis jätab umbes 3,5 miljardit dollarit teadmata asukohta ja liikumisse läbi ahelate, mis ei allu ühegi stabiilsusraha emitendi tapmislülitile. Kuhu see edasi liigub ja millise konverteerimiskihi kaudu, on operatiivne küsimus, millele ükski avalik teadaanne pole veel vastanud.

Professionaalsed platvormid, mis pakkusid esmast ründepinda — värbamisvõrgustikud, mille isikutuvastusarhitektuur oli ebapiisav, et eristada Pyongyangi operatiivtöötajat Dubai värbajast —, pole selles episoodis mingit regulatiivset kontrolli tunda saanud. See vaikus on struktuurne, mitte juhuslik.

Konkreetne marker, mida jälgida, on EIP-7702 haldusprotsess: kas Ethereumi arendajad muudavad või piiravad delegeerimisõigusi enne järgmist protokolliuuendust. Kui nad seda teevad, siis ründepind aheneb. Kui uuendus läheb läbi ilma selle muudatuseta, sunnib tõendusmaterjal tegema ühe järelduse: tööstus on otsustanud, et mugavus on kandekonstruktsioon ja vastutus on vaid dekoratiivne liist. Binance’i 6,3 miljardi dollarine krüptovargus, mis viidi läbi fiktiivse tööintervjuu abil, mida keegi börsil isegi ei kahtlustanud, ei jää viimaseks sedalaadi operatsiooniks — sellest saab eeskuju.