De hack van 6,3 miljard dollar bij Binance op 29 oktober begon met een valse software-installer die vijf maanden eerder werd gedownload, volgens het eigen incidentenrapport van de beurs. Het rapport, gepubliceerd op 3 november, reconstrueert een maandenlange campagne die malware, een nepbananbieding en gestolen inloggegevens combineerde — een reeks die een oprichter van een concurrerende beurs zegt dat eenvoudige werkdiscipline had kunnen voorkomen.

Hoe de aanval zich ontvouwde van juni tot oktober

De campagne begon in juni, toen een wallet operations engineer van Binance een gewijzigde Homebrew-installer downloadde terwijl hij een AI-coderingstool probeerde te installeren. Volgens de beurs identificeerde het securityteam de verdachte activiteit, verving de getroffen computer en verversde de bijbehorende inloggegevens.

Ondanks die respons onthulde het incident in juni informatie over medewerkers die aan de walletinfrastructuur van de beurs werkten — details die de aanvallers in de volgende fase gebruikten.

In september richtten de aanvallers zich via een nepwervingsproces op een tweede engineer en wisten ze de medewerker uiteindelijk te overtuigen kwaadaardige software te downloaden. Op 20 oktober hadden ze gecompromitteerde apparaten en een interne AI-tool gebruikt om toegang te krijgen tot meer ingenieurssystemen. Negen dagen later stelden gestolen inloggegevens hen in staat kwaadaardige code uit te rollen die gekoppeld was aan de ongeautoriseerde opnames.

Onderzoekers koppelden de aanval aan TraderTraitor, een hackingeenheid verbonden aan Noord-Korea die Amerikaanse autoriteiten eerder in verband brachten met cryptodiefstallen met behulp van getrogeniseerde software en nepbananbiedingen. De FBI schreef de diefstal vervolgens toe aan door de staat gesponsorde Noord-Koreaanse aanvallers, terwijl Noord-Korea de beschuldigingen verwierp.

CoinEx-oprichter wijst op drie vermijdbare beveiligingslekken

Nadat Binance zijn rapport had vrijgegeven, stelde CoinEx-oprichter Haipo Yang in een bericht op X dat de inbreuk het gevolg was van falen in operationele discipline in plaats van een gebrek aan beveiligingstechnologie.

"Het Binance-incident onthulde ten minste drie fouten die volledig vermijdbaar waren: 1. Ontwikkel- en operationele omgevingen waren niet volledig geïsoleerd. Iedereen met productietoegang zou moeten werken vanaf een specifieke machine die voor niets anders wordt gebruikt, zonder software van derden…"

— Haipo Yang (@yhaiyang) 3 november 2026

"Geen van deze zaken vereist geavanceerde technologie. Wat ontbrak, was discipline", schreef Yang.

Zijn eerste punt ging over het scheiden van werkomgevingen: medewerkers met toegang tot live financiële systemen zouden specifieke computers moeten gebruiken, met coderen, chatten en internetten op aparte apparaten.

Zijn tweede punt betrof authenticatie. Yang beweerde dat één gestolen inloggegeven productiediensten kon openen zonder sterke aanvullende controles, en hij beval hardware-beveiligingssleutels aan — fysieke apparaten die zijn ontworpen om phishing te weerstaan — evenals tools zoals AWS Session Manager.

Zijn derde punt ging over multi-party computation, een opzet die het ondertekenen van transacties verdeelt over meerdere deelnemers. Volgens Yang controleerden de ondertekenaars van Binance niet onafhankelijk wat ze goedkeurden, waardoor het systeem functioneerde als één enkele handtekening. "Multisig werkt alleen als de ondertekenaars onderling wantrouwend zijn", schreef hij.

Deze claims zijn de eigen beoordeling van Yang. Binance heeft niet elke zwakte die hij beschreef publiekelijk bevestigd.

Binance zegt 57 aan Noord-Korea gelinkte dreigingen geblokkeerd te hebben in 2026

Binance-co-CEO Yi He zei dat het securityteam van de beurs in 2026 57 vermoedelijke cyberdreigingsgevallen met een Noord-Koreaanse link detecteerde en voorkwam. De technieken omvatten volgens haar nepbananinterviews, kwaadaardige ontwikkelaarstools, gecompromitteerde softwarepakketten en nep-videobelfapps. Die categorieën overlappen direct met de campagne van juni tot oktober, van de gewijzigde installer waarmee het begon tot de nepwerving die volgde.

"Throughout 2026, Binance's security team detected and prevented 57 suspected North Korea-linked cyber threat cases. These attempts reflect the persistent threat posed by state-sponsored actors targeting the cryptocurrency industry. The techniques include fraudulent job… "

— Yi He (@heyibinance) 3 november 2026

"We intercepted many of them, but the cost of failing to stop even one was severe", schreef ze.

Terugwinning van activa en volgende stappen

Co-CEO Richard Teng zei dat Binance 98% van de getroffen activa heeft aangevuld. Ongeveer 2,85 miljard dollar werd bevroren of onderschept, en het bedrijf heeft beloofd het volledige verlies met bedrijfsfondsen en reserves te dekken.

Binance voltooide ook een Proof of Reserves-controle die tien grote cryptocurrencies omvatte, waaronder Bitcoin, Ethereum, BNB en XRP. De controle bevestigt de onderbouwing van die tokens, maar toont niet of de door Yang beschreven lekken zijn verholpen.

De beurs zei dat het getroffen walletsysteem heeft herbouwd, gecompromitteerde apparaten heeft vervangen en gekoppelde inloggegevens heeft uitgeschakeld. Het heeft ook opnames hersteld voor meer Ethereum- en Solana-activa.

Binance plant een onafhankelijke cybersecurityreview samen met meer uitgaven aan apparaatbeveiliging en dreigingsdetectie. Sommige beveiligingsmaatregelen blijven vertrouwelijk, zodat aanvallens geen zwakke punten kunnen identificeren. Nu het financiële deel van de inbreuk grotendeels is afgehandeld, vormt de geplande onafhankelijke cybersecurityreview het volgende openbare ijkpunt voor de operationele vragen die Yang opperde.

Dit artikel is gebaseerd op het originele rapport van Blockonomi.