Nepsollicitatiegesprek leidde tot hack van 6,34 miljard dollar, zegt Binance
Binance zegt dat aanvallers nepsollicitatiegesprekken, een vergiftigd ontwikkelaarstool en een gecompromitteerde interne AI-tool gebruikten om toegang te krijgen tot zijn wallet-ondertekeningssystemen en op 29 oktober 6,34 miljard dollar te stelen. De beurs zegt dat ze ongeveer 2,85 miljard dollar heeft bevroren of onderschept, 98% van de getroffen tokenactiva heeft aangevuld en dat opnames grotendeels zijn hervat.
Geschreven door de AI-redactie van CoinArticle · op basis van 5 geciteerde bronnen. Hoe we werken
Berichtgeving: The Defiant – dit verhaal is tot nu toe gebaseerd op één bron.
Wat Binance meldde
Binance zegt dat aanvallers via een nepsollicitatiegesprek een voet aan de grond kregen binnen het bedrijf, en koppelt die toegang aan een verlies dat de beurs op 6,34 miljard dollar becijfert. In haar beveiligingsrapport van 3 november beschrijft de beurs een aanval die zich over enkele maanden ontwikkelde en die misleiding van medewerkers combineerde met gecompromitteerde software en ongeautoriseerde toegang tot interne systemen.
De beurs zegt dat ze tegen 31 oktober 98% van de getroffen tokenactiva uit eigen middelen had aangevuld en dat ze de resterende, minder liquide cryptovaluta op de open markt aankoopt. Medeoprichter en co-CEO Richard Teng zei dat opnames grotendeels zijn hervat en dat gebruikers geen verlies zullen lijden. Binance meldt ook dat ze ongeveer 2,85 miljard dollar aan de gestolen activa heeft bevroren of onderschept, volgens een mediabriefing onder leiding van Teng en hoofd beveiliging Jimmy Su.
Toeschrijving en officiële reactie
De FBI heeft de bredere aanval toegeschreven aan Noord-Korea, waarvan de hackoperaties zich steeds vaker richten op softwareontwikkelaars en cryptobedrijven. Het rapport van Binance verwijst naar die bevinding, maar doet zelf geen toeschrijving. Pyongyang wees de beschuldiging op maandag af; Kim Yo Jong, zus van leider Kim Jong Un, noemde haar in de staatsmedia een "zware politieke provocatie".
Hoe de inbraak verliep
Het rapport herleidt een eerste contact tot juni, toen een DevOps-ingenieur voor wallets, op zoek naar een AI-codeertool, een gemanipuleerd Homebrew-installatieprogramma downloadde. Het beveiligingsteam van Binance signaleerde de afwijking, verving het apparaat en roteerde de inloggegevens, maar het incident onthulde de rol van de ingenieur en de namen van collega's binnen het wallet-infrastructuurteam.
In september werd een tweede ingenieur op een legitiem vacatureplatform benaderd door iemand die zich voordeed als projectdirecteur. Er volgde een videogesprek met een vermeende HR-medewerker, en een tweede gesprek met een vermeende CEO eindigde met een "opdracht": een code-repository die op de werkcomputer van de ingenieur moest worden geïnstalleerd. De repository verving een legitiem pyenv-onderdeel door een kwaadaardige versie en opende een kanaal naar een door de aanvallers beheerde server. Binance zegt dat de malware op dat moment niet door haar endpoint-tools werd gesignaleerd.
Op 20 oktober gebruikten de aanvallers die machine en een interne AI-tool om twee wallet-ingenieurs te bereiken, van wie er een een containerdeploymenttoken bezat. Het rapport van Binance stelt dat de AI-tool werd misbruikt als onderdeel van een bredere campagne met gestolen inloggegevens, gecompromitteerde ontwikkelaarssoftware en social engineering; het onderzoek stelt niet vast dat een AI-model de diefstal zelfstandig heeft gepland of uitgevoerd. Op 29 oktober, tussen 17:15 en 19:56 UTC, logden de aanvallers in op de computer van een derde ingenieur, zetten een container uit met de gestolen inloggegevens en startten de leegroof. Binance zegt dit jaar 57 andere vermoedelijk aan Noord-Korea gelieerde pogingen met vergelijkbare lokmiddelen te hebben geblokkeerd.
Overboekingen en rechten
Tussen 20:05 en 20:09 UTC op 29 oktober stuurden vijf hot wallets volgens het rapport 233,46 miljoen XRP naar een door de aanvallers beheerd adres. Wallets op Solana en Optimism volgden met ongeveer 970.500 SOL en 44,2 miljoen OP, waarna een Binance hot wallet 18.270 BTC verstuurde.
De aanvaller gebruikte vervolgens de ondertekendienst om kwaadaardige rechten vast te leggen via het EIP-7702-mechanisme van Ethereum, dat een wallet toestaat uitvoering te delegeren aan smart-contractcode. Eerdere bevindingen beschreven dat de aanvaller die functie gebruikte om een kwaadaardig smart contract toestemming te geven om geld te verplaatsen van een Binance hot wallet die bekendstaat als Binance 14. Binance zegt dat het opschorten van opnames de op Ethereum al vastgelegde rechten niet kan ongedaan maken, en dat haar multiparty-computation-wallet een gespecialiseerd proces vereist om ze aan te pakken.
Bredere context van door AI mogelijk gemaakte dreigingen
Het incident heeft de aandacht gevestigd op de manier waarop interne AI-tools het aanvalsoppervlak kunnen vergroten. Googles Mandiant meldde in februari dat Noord-Koreaanse hackers die de cryptosector bestookten AI-ondersteunde technieken hadden ingezet, waaronder een nepvideoconferentie en een vermoedelijk door AI gegenereerde video die een leidinggevende imiteerde, al kon het die deepfake in dat geval niet onafhankelijk bevestigen. In september meldde Google's Threat Intelligence Group dat aanvallers toewerken naar geautomatiseerde operaties die meerdere fasen van een inbraak kunnen uitvoeren.
Binance heeft gezegd dat ze beveiligingspartnerschappen zoekt met toonaangevende AI-bedrijven. Die stap is buiten het kader van het rapport niet nader publiek toegelicht.
Openstaande vragen
Verschillende punten blijven onbevestigd, waaronder de volledige lijst van betrokken blockchains, de volledige duur van de inbraak, en hoe de 2,85 miljard dollar aan bevroren of onderschepte activa zich verhoudt tot het cijfer van 6,34 miljard dollar. Het bedrag van 6,34 miljard dollar is het door de beurs opgegeven cijfer, in afwachting van verdere openbaarmaking.
Waarom het ertoe doet
Voor traders
Voor beleggers
Voor bouwers
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
