Het cryptoplatform Binance geeft opening van zaken over de diefstal van 6,3 miljard dollar aan cryptomunten. Volgens het bedrijf gaat het om de grootste kraak uit de criminele geschiedenis. Noord-Koreaanse staatshackers zouden maandenlang voorbereidingen hebben getroffen en daarbij social engineering, malware en gecompromitteerde software hebben gecombineerd. Ook maakten zij misbruik van interne ai-systemen.
Volgens Binance was er geen sprake van één beveiligingslek, maar van een meerfasige operatie waarbij medewerkers met toegang tot kritieke systemen werden gecompromitteerd. De eerste aanwijzing daarvoor dateert uit juni 2026. Een ontwikkelaar van het Wallet DevOps-team installeerde ongemerkt een gemanipuleerde versie van de softwarebeheerder Homebrew tijdens het downloaden van een populaire ai-programmeertool. Hoewel het beveiligingsteam de afwijking ontdekte, het apparaat verving en toegangsgegevens introk, hadden de aanvallers al informatie verzameld over de structuur en medewerkers van het wallet-infrastructuurteam.
In september werd een tweede software-engineer via een vacatureplatform benaderd door iemand die zich voordeed als projectdirecteur van een fictief bedrijf. Na meerdere sollicitatiegesprekken kreeg de medewerker via een chatapplicatie een technische opdracht toegestuurd. Deze bleek kwaadaardige code te bevatten.
Na installatie activeerde de malware verschillende processen op de werkcomputer. Een onderdeel van een legitieme ontwikkeltool was vervangen door een gemanipuleerde versie die opdrachten kon uitvoeren en verbinding maakte met een server van de aanvallers. De malware bleef buiten beeld van bestaande endpointbeveiliging en verwijderde bovendien sporen van de inbraak.
Het incident past volgens Binance in een bredere campagne. Alleen al dit jaar werden 57 cyberdreigingen gedetecteerd die mogelijk verband houden met Noord-Koreaanse actoren. Daarbij werden onder meer vervalste sollicitatieprocedures en malafide ontwikkelaarstools ingezet.
Token
Op 20 oktober gebruikten de aanvallers de besmette computer om via een interne ai-tool toegang te krijgen tot accounts van andere it-medewerkers. Daarbij ontdekten ze dat een devops-engineer beschikte over een token waarmee softwarecontainers binnen de infrastructuur konden worden uitgerold.
Op 29 oktober volgde de volgende fase. De aanvallers logden in op de computer van een derde medewerker en gebruikten eerder buitgemaakte toegangsgegevens om een container uit te rollen. Vervolgens activeerden ze een script waarmee ze toegang kregen tot processen voor het ondertekenen van wallettransacties.
Hierdoor konden de aanvallers cryptomunten verplaatsen buiten de normale opname-infrastructuur van Binance om. De digitale portemonnee (hot wallet) was beveiligd met multi-party computation (MPC), waarbij een beveiligingssleutel wordt verdeeld over meerdere locaties. Daardoor kon Binance de misbruikte zogeheten EIP-7702-autorisaties (machtigingen waarmee gewone cryptowallets tijdelijk smartcontractfunctionaliteit kunnen gebruiken) niet met één centrale sleutel intrekken. Het bedrijf moest aanvullende transacties uitvoeren om de machtigingen op de blockchain ongedaan te maken. Daarmee ging kostbare tijd verloren.
Ongeldig
Binance heeft het getroffen walletsysteem opnieuw opgebouwd in een nieuwe omgeving. Ook is de interne ai-tool opnieuw ingericht, zijn besmette apparaten vervangen en zijn toegangsgegevens en tokens ongeldig gemaakt. Daarnaast zijn extra beveiligingsscans uitgevoerd en is de ai-gestuurde detectie van afwijkend gedrag aangescherpt.
Het bedrijf werkt samen met opsporingsdiensten en blockchainanalysebedrijven om de gestolen activa op te sporen en waar mogelijk te bevriezen. Ook laat Binance een onafhankelijke cybersecurity-audit uitvoeren en investeert het extra in ai-beveiliging, endpointbescherming en monitoring.
Volgens Binance loopt het onderzoek nog. Aanvullende beveiligingsmaatregelen worden niet openbaar gemaakt om te voorkomen dat aanvallers daarvan profiteren. Het bedrijf stelt inmiddels het overgrote deel van de gestolen 6,3 miljard dollar te hebben gedekt. Overigens bestaat ook in Nederland het risico dat Noord-Koreaanse actoren via vacaturesites en banenplatforms proberen binnen te dringen. Hans Horan, onderzoeker bij het Hague Centre for Strategic Studies (HCSS), wees onlangs op dit risico.
