De diefstal van 6,34 miljard dollar bij Binance begon met een gestageerd sollicitatiegesprek en duurde vijf maanden voordat ook maar één munt verplaatst werd, aldus de eerste openbare reconstructie van het platform van de aanval van 29 oktober, dinsdag gepubliceerd.

Een eerste incidentrapport van Binance, gepubliceerd op X en vrijgegeven tegelijk met een persbriefing door co-CEO Richard Teng en chief security officer Jimmy Su, beschrijft een campagne die een vergiftigde software-download combineerde met een gestageerd wervingsproces, malware die endpointdetectie ontweek en een interne AI-tool die de aanvallers tegen de eigen wallet-engineers van het bedrijf gebruikten.

Binance zei circa 2,85 miljard dollar van de gestolen activa te hebben bevroren of onderschept en 98% van de getroffen tokens uit eigen middelen te hebben aangevuld, waarbij het restant op de open markt wordt ingekocht. Als het cijfer volledig bevestigd wordt, zou het de grootste diefstal tot nu toe in de crypto-industrie zijn, meer dan de circa 1,5 miljard dollar die in februari 2025 bij Bybit werd buitgemaakt — een aanval die onderzoekers eveneens aan Noord-Koreaanse actoren koppelden.

"Dit was geen enkele fout of één inbreuk — het was een campagne van maanden", schreef Teng op X. "We publiceren het volledige rapport omdat de lessen veel verder reiken dan Binance."

De FBI heeft de aanval toegeschreven aan Noord-Korea, een bevinding die het rapport van Binance aanhaalt zonder zelf tot toeschrijving te komen. Pyongyang verwierp de bewering maandag; Kim Yo Jong, zuster van leider Kim Jong Un, noemde het via staatsmedia een "ernstige politieke provocatie". VN-panelen en blockchain-analysebedrijven hebben Noord-Koreaanse hackingeenheden al jaren verbonden aan miljarden dollars aan cryptocurrency die wereldwijd van beurzen en protocollen is gestolen.

Vijf maanden voorbereiding

Volgens Binance kwam het eerste epid_dat de aanvallers bemachtigden in juni, toen een wallet DevOps-engineer die zocht naar een populaire AI-codeertool een gekraakte Homebrew-installer downloadde. Het beveiligingsteam ontdekte de anomalie, verving het apparaat en vernieuwde de inloggegevens, maar het incident onthulde de rol van de engineer en de namen van collega's van het wallet-infrastructuurteam.

In september werd een tweede engineer benaderd op een legitiem vacatureplatform door iemand die zich voordeed als projectdirecteur. Volgde een videogesprek met een zogenaamde HR-medewerker, waarbij de interviewer een persoonlijk socialmedia-account deelde om vertrouwen op te bouwen. Een tweede gesprek met een vermeende CEO eindigde met een "opdracht": een code repository die de engineer op zijn werkmachine moest installeren.

De repository verving een legitiem pyenv-component door een kwaadaardige versie en opende een kanaal naar een server onder controle van de aanvallers. Binance zei dat de zero-day malware destijds niet door de endpointtools werd gemarkeerd.

Op 20 oktober gebruikten de aanvallers die machine en een interne AI-tool om twee andere wallet-engineers te bereiken, waarvan er één een containerdeployment-token had. Op 29 oktober, tussen 17:15 en 19:56 UTC, logden ze in op de computer van een derde engineer, implementeerden een container met de gestolen inloggegevens en startten de leeghalning. Binance zei dit jaar nog 57 andere vermoedelijk aan Noord-Korea gelinkte pogingen met vergelijkbare lokkertjes geblokkeerd te hebben. Amerikaanse autoriteiten waarschuwen al jaren voor zulke nep-recruitercampagnes die malware willen implanteren in technologie- en cryptobedrijven via hun eigen medewerkers.

Vier uur om in te dammen

Het geld verdween snel. Tussen 20:05 en 20:09 UTC stuurden vijf hot wallets 233,46 miljoen XRP naar een adres van de aanvaller. Wallets op Solana en Optimism volgden met circa 970.500 SOL en 44,2 miljoen OP, en een Binance hot wallet stuurde vervolgens 18.270 BTC.

De aanvaller gebruikte de gecompromitteerde signing service ook om Ethereum's EIP-7702 aan te roepen — een standaard geïntroduceerd in de Pectra-upgrade van 2025 waarmee een account uitvoeringsrechten kan delegeren aan een slim contract zonder de sleutel bloot te geven — en gaf een contract onder controle van de aanvaller gedeeltelijke zeggenschap over een Binance hot wallet.

Het opschorten van opnames hield dat laatste kanaal niet tegen. De aanvallers hadden 50 signing-transacties ingediend om on-chain delegaties op te richten die buiten Binance' opname-infrastructuur opereerden. Omdat de wallet multi-party computation gebruikte, bestond er geen enkele sleutel om ze in te trekken, en het team moest ter plekke een procedure opbouwen. De laatste onbevoegde overdracht, 2.961,9 ETH, werd afgerond om 23:56 UTC, en Binance hief de delegatie op om 00:10 UTC op 30 oktober.

Het rapport erkent de achterstand. "Deze uitdagingen verlengden de tijd die nodig was om de onbevoegde vermogensbewegingen volledig te beheersen", staat er te lezen, met de toevoeging dat het bedrijf zijn signing-beleid en hot wallet-controles herziet.

Uitstromen, daarna tekenen van stabilisatie

Klanten haalden 10,97 miljard dollar op in de 46 uur nadat opnames zondag heropend werden, met netto-uitstromen van 5,28 miljard dollar, volgens gegevens die Teng dinsdag deelde. Om 03:00 UTC overtroffen de stortingen per uur de opnames — een verschuiving die Teng een teken van stabilisatie noemde. Dinsdag heropende Binance de opnames voor tientallen extra activa op negen netwerken.

De inbreuk is ook een gespreksonderwerp geworden in Washington. CFTC-voorzitter Michael Selig zei dat de hack "exact ons punt bewijst" over de noodzaak van een federale registratieroute voor offshore-beurzen, en dinsdag keurde het agentschap equity perpetual futures goed voor Amerikaans-gereguleerde platforms, waarmee het onshoring-offensief dat het in mei begon met Kalshi's bitcoin perp wordt uitgebreid.

Binance zei het walletsysteem en de interne AI-tool in nieuwe omgevingen te hebben herbouwd, getroffen apparaten te hebben vervangen, de inloggegevens van de engineers te hebben ingetrokken en de detectie van gedragsanomalieën te hebben uitgebreid. Het comissiont een onafhankelijk onderzoek, verhoogt de uitgaven voor endpoint- en developeromgeving-beveiliging en plant een onderzoeksfonds voor AI-beveiliging met externe partijen. Hoe snel de resterende gestolen tokens worden teruggekocht, of de bevroren activa kunnen worden teruggevorderd en tot welke conclusies het onafhankelijke onderzoek komt, zijn de directe aandachtspunten. Sommige technische details, aldus het rapport, vertrouwelijk blijven.

Dit artikel verscheen oorspronkelijk op Bitcoin Magazine en is geschreven door Micah Zimmerman.