Binance zei dat zijn securityteam in 2026 57 vermoedelijk aan Noord-Korea gelinkte cyberdreigingen heeft gedetecteerd en tegengehouden voordat één enkele aanval slaagde — een aanval die gebruikmaakte van een nep-sollicitatiegesprek en uiteindelijk de hot wallets van de beurs leegroofde, de met internet verbonden wallets die beurzen gebruiken om opnames van gebruikers te verwerken.

In zijn eerste rapport over de inbreuk, geplaatst op X, zei Binance dat circa $6,34 miljard aan digitale activa was getroffen en dat ongeveer $2,85 miljard is bevroren of onderschept. De beurs zei de verliezen zelf te dragen in plaats van door te berekenen aan gebruikers, en dat 98% van de getroffen tokenactiva is aangevuld — een cijfer dat volgens de beurs op zijn Proof of Reserves-pagina kan worden geverifieerd.

Ter schaalverhouding: de grootste crypto-diefstal die eerder geregistreerd stond, was de inbraak bij beurs Bybit in februari 2025, die circa $1,5 miljard betrof en door Bybit werd toegeschreven aan aan Noord-Korea gelinkte hackers.

Op basis van de meest recente informatie van de Federal Bureau of Investigation (FBI) schreef Binance het incident toe aan Noord-Korea.

Een Jaar van Gerichte Aanvallen

Volgens de beurs weerspiegelen de 57 gevallen de aanhoudende dreiging van staatsgesponsorde actoren die de cryptosector targeting. De waargenomen technieken omvatten frauduleuze sollicitatiegesprekken, kwaadaardige software die zich voordeed als populaire ontwikkelaarstools, gecompromitteerde softwarepakketten en browserextensies, nep-videobel-apps en social engineering-campagnes die waren ontworpen om inloggegevens te stelen of malware voor externe toegang te installeren.

Die op werving gebaseerde aanpak sluit aan bij publieke waarschuwingen die Amerikaanse instanties de afgelopen jaren hebben uitgegeven, waarin werd gewaarschuwd dat aan Noord-Korea gelinkte operatoren zich voordoen als recruiters of werkgevers om computers van doelwitten met malware te infecteren.

Binance omschreef de inbreuk als een campagne met meerdere fasen, in plaats van een enkele geïsoleerde inbreuk of een eenvoudige phishingpoging. Het eerste waarschuwingssignaal werd teruggevoerd naar juni, toen een DevOps-engineer van het walletteam een gemanipuleerde Homebrew-installatie downloadde tijdens het zoeken naar een AI-codeertool. Binance zei de anomalie te hebben gedetecteerd, het apparaat te hebben vervangen en de bijbehorende inloggegevens te hebben ververst — maar de rol van de engineer en zijn collega's in het walletteam waren al bekend bij de aanvaller.

Hoe het Sollicitatiegesprek Verliep

In september werd een tweede engineer, van wie het profiel op een banenplatform verwees naar zijn ervaring bij Binance, benaderd door iemand die zich voordeed als projectdirecteur. Daarop volgde een eerste videointerview met een vermeende HR-medewerker, die een socialmedia-account met persoonlijke foto's en video's deelde om vertrouwen op te bouwen. Binance omschreef dit als bedrieglijker dan eerdere social engineering-aanpakken.

De tweede ronde vond plaats op een populaire chat-app met iemand die beweerde CEO van een fictief bedrijf te zijn. Vlak voor het einde kreeg de engineer de opdracht een "opdrachtbestand" te downloaden op zijn werkcomputer. De code daarin werd tijdens de installatie uitgevoerd en opende een kanaal naar een door de aanvaller beheerde server. Binance zei dat de zero-day-malware op dat moment niet werd gedetecteerd door zijn endpoint-securitytools.

De aanvaller gebruikte vervolgens de gecompromitteerde computer en een intern AI-tool om controle te krijgen over twee andere wallet-engineers. Binance zei dat een token voor containerimplementatierechten dat op de machine van één engineer werd gevonden, op de dag van de aanval werd gebruikt om een container te implementeren en het kwaadaardige script te activeren.

Waarom het Indammen Tijd Koste

Binance zei dat de aanvallers de ondertekeningsdienst gebruikten om het EIP-7702-autorisatiemechanisme van Ethereum te misbruiken — een accountfunctie geïntroduceerd in de Pectra-upgrade van Ethereum in 2025 waarmee standaard gebruikersaccounts met smartcontractfunctionaliteit kunnen werken — waardoor activa bleven worden verplaatst nadat opnames waren opgeschort. Omdat de hot wallet multi-party computation (MPC) gebruikte, was er geen enkele privésleutel om de kwaadaardige autorisaties in te trekken, waardoor het team een speciale procedure moest ontwikkelen die extra tijd kostte.

De beurs zeide inmiddels het getroffen walletsysteem en de interne AI-tool te hebben herbouwd, getroffen apparaten te hebben vervangen, de bijbehorende inloggegevens buiten gebruik te hebben gesteld en zijn anomaliedetectie te hebben versterkt. Ook plant het een onafhankelijke securityreview, en sommige technische details zullen vertrouwelijk blijven.

Binance omschreef zijn rapport als een eerste versie, wat betekent dat de bevindingen nog onderworpen zijn aan onafhankelijke toetsing — de uitkomst van de geplande review en eventuele bijgewerkte cijfers over verliezen en terugvorderingen zijn de details om in de gaten te houden.