Binance meldt 57 geblokkeerde dreigingen gelinkt aan Noord-Korea vóór hack van 6,34 miljard dollar
Binance zegt in 2026 57 vermoedelijke cyberdreigingen gelinkt aan Noord-Korea te hebben geblokkeerd, maar een nepsollicitatiegesprek gaf aanvallers toegang tot ingenieurs en wallet-ondertekeningssystemen vóór de diefstal van 6,34 miljard dollar op 29 oktober. De FBI schrijft de diefstal toe aan de TraderTraitor-groep van Noord-Korea, wat Pyongyang ontkent.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Aanvalsketen via wervingslokazen
Binance zegt dat aanvallers in september via een legitiem platform voor het zoeken naar werk een softwareingenieur benaderden, zich voordoend als projectdirecteur. Volgens het rapport van de beurs van 3 november voerde een nepmedewerker van human resources een videogesprek, en vroeg een tweede interviewer, die zich voordeed als chief executive, de ingenieur een codeeropdracht op een werkcomputer te downloaden. De opdracht bevatte malware die tijdens de installatie draaide en de endpointbeveiligingstools die in gebruik waren omzeilde, aldus Binance.
Co-CEO Yi He beschreef in zijn bericht op X van 3 november het bredere patroon: frauduleuze sollicitatiegesprekken, gecompromitteerde softwarepakketten en browserextensies, nepapps voor videoconferenties en campagnes die inloggegevens stelen. Bronnen verschillen over het begin van de inbraak. De eigen tijdlijn van Binance, zoals samengevat door CryptoSlate, situeert een eerdere fase in juni, toen een wallet-infrastructuuringenieur een gemanipuleerd Homebrew-pakket installeerde terwijl hij een AI-codeertool probeerde op te zetten. Binance detecteerde dat incident en verving het apparaat, maar het bericht van Yi en de hier beschikbare rapportfragmenten bevestigen de gebeurtenis van juni niet als onderdeel van dezelfde keten.
Tegen 20 oktober hadden aanvallers de gecompromitteerde machine en een interne AI-tool gebruikt om twee andere ingenieurs te bereiken. CryptoSlate meldt dat zij een containerdeploymenttoken bemachtigden en negen dagen later een kwaadaardige container uitrolden om de wallet-ondertekeningsinfrastructuur te bereiken. Binance zegt dat de overboekingen het normale opnameproces omzeilden en activa over verschillende netwerken leegtrokken.
Compromittering van wallets en autorisatiespoor
Eerdere bevindingen herleidden een deel van het verlies tot Binance 14, een Ethereum hot wallet. Blockaid identificeerde 50 ingediende EIP-7702-autorisaties, waarvan er één uitvoeringsrechten met succes delegeerde aan een kwaadaardig contract. Het account van Binance en de bevindingen van Blockaid beschrijven hetzelfde walletpad, hoewel de beurs nog geen volledige koppeling heeft gepubliceerd van elke autorisatie aan het gestolen saldo.
Herstelstatus en betwiste cijfers
Binance zei op 3 november dat het 98% van de getroffen tokenactiva had vervangen en de resterende, minder liquide tokens aan het kopen was. Dit cijfer ligt hoger dan de ongeveer 95% aanvulling die CEO Richard Teng noemde toen de opnames van Bitcoin op 1 november weer open gingen. De twee cijfers spreken elkaar in beginsel niet tegen, omdat de vervanging nog liep, maar de beurs heeft ze nog niet in één openbaarmaking op elkaar afgestemd. Binance zei meer geld te hebben apart gezet dan nodig was om het verlies te dekken.
Vervangingsaankopen zijn volgens eerdere herstelmededelingen gefinancierd uit het Secure Asset Fund for Users, overtollige reserves uit het Futures Insurance Fund en de bedrijfskas. Op 3 november herstelde Binance de opnames voor nog 31 activa op Ethereum en 20 op Solana, na de heropening van vijf Ethereum-stablecoins.
Toeschrijving en ontkenning
De FBI-waarschuwing van 31 oktober, uitgegeven samen met de US Secret Service en de IRS Criminal Investigation, schreef de diefstal toe aan Noord-Korea en noemde de activiteit TraderTraitor. Onderzoekers zagen dat de gestolen activa vooral werden omgezet in Ether en verwachtten verdere witwaspogingen via gedecentraliseerde financiële diensten en instant swapdiensten. De instanties drongen er bij beurzen, analysebedrijven en DeFi-operators op aan transacties met de vermelde adressen te blokkeren.
Noord-Korea ontkende op 3 november betrokkenheid. Volgens The Associated Press wees Kim Yo Jong de beschuldiging af in een verklaring die door de staatsmedia werd verspreid. De toeschrijving rust daarom op bevindingen van de Amerikaanse overheid, en Pyongyang heeft niet gereageerd op het aangehaalde technische bewijs.
Patroon bij recente operaties
De tactieken komen overeen met een campagne die beveiligingsonderzoekers al geruime tijd volgen. De FBI waarschuwde in september 2024 dat Noord-Kcoreaanse operatoren op maat gemaakte baanaanbiedingen en fictieve identiteiten inzetten tegen cryptobedrijven. Kudelski Security documenteerde in juni een vergelijkbare operatie, Contagious Interview, waarbij nepwervers op LinkedIn, WhatsApp en Discord ontwikkelaars overhaalden kwaadaardige code uit te voeren. Onderzoekers van Atlassian meldden later nepe technische beoordelingen op gevestigde ontwikkelplatforms. De openbaarmaking van Binance laat zien dat dezelfde methode de wallet-infrastructuur van een grote beurs heeft bereikt.
Waarom het ertoe doet
Voor traders
De voortdurende heropening van opnames bij Binance en de 2% vervangingstokens die nog openstaan, zijn op korte termijn de variabelen om de liquiditeit van de getroffen activa in de gaten te houden.
Voor beleggers
Een diefstal van 6,34 miljard dollar die aan een staatsactor wordt toegeschreven, roept vragen op over operationele risico's en reserveadequaatheid, die in de komende maanden zullen bepalen hoe het risico van beurzen wordt ingeschat.
Voor bouwers
Aanvallers maakten misbruik van EIP-7702-delegatie en interne AI-tooling, dus wallet-teams moeten nu autorisatiestromen en de toeleveringsketens van ontwikkelaarstools controleren.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
