De hack van 6,3 miljard dollar bij Binance bracht schokgolven teweeg in de cryptosector en liet zien hoe ver door de staat gesteunde hackers kunnen — en willen — gaan na een reeks steeds ernstigere cyberveiligheidsincidenten, ditmaal gericht op de grootste crypto-beurs ter wereld.

TRM Labs, een blockchain-intelligencebedrijf, stond aan het front van de pogingen de diefstal te stoppen en publiceerde na de aanval een rapport. Het bedrijf schreef de inbreuk al vroeg toe aan TraitorTrader, een Noord-Koreaanse hackergroep, met een verwijzing naar "onweerlegbaar" onchain- en offchain-bewijs. Dezelfde groep zat achter de hack van 1,5 miljard dollar bij Bybit in februari 2025.

In een post-mortem van 3 november meldde Binance dat aanvallers zich voordeden als recruiters om malware te plaatsen op de werkcomputer van een ingenieur en vervolgens een gecompromitteerde interne AI-tool gebruikten om de wallet-ondertekendienst van de beurs te bereiken.

Ari Redbord, wereldwijd hoofd beleid en overheidszaken bij TRM Labs, vertelde aan Cointelegraph dat hoewel de gecoördineerde reactie van de sector op de aanval ongeëvenaard was, "we alleen maar veel meer van dit soort zaken gaan zien."

Ongeëvenaarde reactie vanuit de sector

De snelheid en schaal van de reactie van de sector vielen Redbord op. Tether bevroor slechts 37 minuten na de grote overboeking 971,1 miljoen USDt (USDT)-tokens, en stablecoin-uitgevers bevroren samen tokens ter waarde van ongeveer ,67 miljard dollar, volgens TRM.

"Zoiets is nog nooit eerder vertoond", zei Redbord. "Ze wisten meteen 40% terug te vorderen."

De race om gestolen geld te onderscheppen voordat hackers het offchain kunnen verplaatsen is een cruciaal onderdeel van de verdediging tegen dergelijke aanvallen. Redbord legde uit dat het Beacon Network, een systeem voor het delen van inlichtingen dat TRM in 2025 lanceerde, bedrijven in staat stelde snel te coördineren om het geld stil te zetten voordat het werd gevorderd.

"Normaal gesproken zie ik misschien elke dag een paar Beacon-meldingen. De afgelopen dagen heb ik, weet ik veel, honderden of misschien wel duizend Beacon-meldingen gezien", zei hij.

De roep om coördinatie komt nu Bloomberg op 4 november meldde dat de T3 Financial Crime Unit, die TRM in september 2024 vormde met Tron en Tether, eind augustus werd opgeheven, waarbij bronnen wezen op trage reacties en slechte coördinatie. Tether zei via Beacon door te blijven samenwerken met TRM. Het rapport herinnert eraan hoe sterk het rapid-response-speelboek van de sector leunt op samenwerking tussen bedrijven — en hoe kwetsbaar zulke constructies kunnen zijn.

Hoewel Redbord opriep tot meer coördinatie, waarschuwde hij dat dergelijke inspanningen toekomstige aanvallen weinig zullen afschrikken. Hij wees erop dat de diefstal van 29 oktober in Noord-Korea ongeveer gelijk stond aan een derde van het bbp van het land en de helft uitmaakte van de 12,5 miljard dollar die sinds 2017 door door de staat gesteunde hackers is gestolen. Zelfs als aanvallers slechts 1 miljard dollar terugkrijgen, blijft de potentiële opbrengst enorm, betoogde hij.

"Noord-Korea blijft dit doen zolang het effectief is", zei hij.

Van verdediging naar aanval

Redbord betoogde dat het stoppen van dergelijke aanvallen offensieve actie van regeringen vereist, als reactie op het gebruik door Noord-Korea van hackers die opereren als verlengstuk van de staat. TRM's rapport over de capaciteitskloof constateerde dat de kloof tussen aanvallers en cyberveiligheidsverdedigers blijft groeien, aangedreven door de vroege adoptie door hackers van grensverleggende technologieën zoals AI. Hij zei dat politie- en compliance-teams AI nodig hebben om kwetsbaarheden net zo snel te vinden en te dichten als hackers ze kunnen misbruiken. De inbreuk bij Binance diende als casus: een nepbericht van een recruiter plaatste de malware, een gecompromitteerde interne AI-tool opende de weg naar binnen en de wallet-ondertekendienst werd het doelwit.

"Elke keer dat Noord-Korea hackt, moeten we terug teen hacken", ging hij verder, met een oproep tot offensieve cyberoperaties en actie tegen de witwasnetwerken en banken die hackers gebruiken om geld op te nemen. "Dit is cyberoorlog", zei hij.