De $6,3 miljard die hackers op 29 oktober buitmaakten bij Binance, 's werelds grootste cryptocurrencybeurs, leek aanvankelijk eenvoudig af te doen als een probleem dat alleen de cryptowereld betrof. Minder dan een week later stortte die redenering ineen. Crédit Mutuel Arkéa, een Franse bank, maakte bekend dat aanvallers ongeveer €100 miljoen ($112 miljoen) uit haar systemen hadden gehaald.

De opeenvolgende inbraken onderstrepen dat cyberovervallen nu ook traditionele banken bedreigen, en niet langer alleen digitale-activaplatforms. In beide gevallen was het toegangspunt van de aanvallers menselijk of derden-vertrouwen, en niet een directe inbraak in de kernsystemen.

“De dreigingen voor banken zijn overweldigend”

Branchevertegenwoordigers stellen dat deze affaire net zoveel over het traditionele bankwezen zegt als over crypto. “Als een bedrijf als Binance miljarden dollars kan verliezen, zijn de dreigingen voor banken overweldigend,” aldus Ryan Kirkley, medeoprichter en CEO van Global Settlement, dat blockchain-infrastructuur voor banken ontwikkelt. Tijdens de Digital Asset Summit in Londen op 10 november voegde hij daaraan toe: “Het is onmogelijk voor een gemiddelde bank om veilig te blijven.”

Binance-oprichter en voormalig CEO Changpeng Zhao ging nog verder. “Als een crypto-beurs gehackt kan worden, staan banken er nog slechter voor, naar mijn mening,” vertelde hij CoinDesk enkele dagen na de overval.

Hoe de inbraak bij Binance plaatsvond

De aanvallers achter de diefstal bij Binance combineerden social engineering met schadelijke software om de controle over cryptowallets over te nemen en leeg te halen. In een zorgvuldig opgezet wervingsproces regelden ze een reeks nep-sollicitatiegesprekken om een Binance-engineer te overtuigen onbewust malware te downloaden, waarmee de hackers een route naar de interne systemen van het bedrijf kregen.

De schade is inmiddels deels beperkt. De FBI heeft $1,2 miljard van de gestolen cryptocurrency in beslag genomen, en Binance bevestigde dat het ongeveer 98% van het totale getroffen bedrag heeft “aangevuld”. Desondanks dekt die inbeslagname minder dan een vijfde van de oorspronkelijke buit, waardoor het grootste deel van de gestolen activa nog steeds niet is teruggevonden.

“Niet automatisch veiliger”

Volgens Katerina Mitrokotsa, hoogleraar cybersecurity aan de Universiteit van St. Gallen in Zwitserland, zijn de zwakke plekken die bij Binance werden uitgebuit niet uniek voor crypto: dezelfde kwetsbaarheden bestaan ook binnen traditionele financiële instellingen. “Banken zijn niet automatisch veiliger alleen omdat ze gereguleerd zijn,” aldus Mitrokotsa.

Toezichthouders aan beide kanten van de Atlantische Oceaan volgen de ontwikkelingen nauwlettend. In de Verenigde Staten begonnen de Federal Reserve en het Office of the Comptroller of the Currency op 2 november banken te bellen met vragen over ongebruikelijke activiteit en storingsmeldingen, meldde Reuters. In juli schreef de Europese Centrale Bank aan de bestuursvoorzitters van 110 banken met een waarschuwing over de risico's van grensverleggende AI-modellen, die het volgens haar “sneller en goedkoper maken om kwetsbaarheden in IT-systemen te identificeren en uit te buiten.”

Waar banken een voorsprong hebben

Traditionele banken hebben wel degelijk enkele voordelen ten opzichte van cryptoplatforms, aldus Vivien Mura, chief technology officer van Orange Cyberdefense, het cybersecurityonderdeel van de Franse telecomgroep Orange. De EU-verordening digitale operationele weerbaarheid (DORA), die sinds januari 2025 van kracht is, verplicht banken hun verdediging te testen en cyberincidenten te melden. “Ze profiteren ook van mechanismen die cryptoplatforms missen, zoals de mogelijkheid om betalingen te blokkeren of terug te draaien en de nauwe samenwerking met toezichthouders en opsporingsdiensten,” aldus Mura.

Hij gaf echter toe dat die voordelen slechts tot op zekere hoogte reiken. “Banken zijn beter in staat om een grote aanval op te vangen en ervan te herstellen, maar ze zijn niet noodzakelijkerwijs beter in het voorkomen ervan.”

Leveranciers en verouderde systemen

Mitrokotsa wijst op twee hardnekkige zwakke plekken: de lange keten van externe leveranciers waarvan banken afhankelijk zijn—een risico dat DORA probeert aan te pakken door de meest kritieke aanbieders onder rechtstreeks EU-toezicht te brengen—and de verouderde technologie die veel banken nog steeds draaien.

Beide speelden een rol bij Crédit Mutuel Arkéa. Daar kregen hackers toegang via een naamloze dienstverlener en gebruikten ze de rekening van de bank zelf om transacties uit te voeren. De bank vertelde klanten dat het incident “geen impact” had op hun bezittingen.

“Gecompromitteerde leveranciers, medewerkers met bijzondere toegangsrechten, nep-sollicitaties en misbruik van interne tools zijn al jaren erkende risico's en zijn niet uniek voor één sector,” vertelde Lee Elliott, directeur weerbaarheid en cyber bij UK Finance, de Britse bankbrancheorganisatie, aan Fortune. Hij voegde eraan toe dat banken ook profiteren van de praktijk binnen de sector om dreigingsinformatie te delen via initiatieven zoals het Financial Sector Cyber Collaboration Centre.

Wanneer een koelkast een toegangspunt wordt

Aanvallers verkennen al een IT-landschap in Europa dat buiten het bankwezen ook verouderd is. Sinds oktober hebben hackers internetverbonden koelsystemen gekaapt bij supermarkten in ruim een dozijn landen en bij drie Franse bloedbanken. Danfoss, fabrikant van de elektronische temperatuurcontrollers, zei dat de meeste getroffen apparaten oudere modellen waren die geen beveiligingsupdates meer ontvangen.

“Een koelkast lijkt geen beveiligingsrisico, en dat is precies waarom aanvallers hem leuk vinden,” aldus Mitrokotsa. “Banken hebben hetzelfde probleem. Veel banken draaien nog steeds kernsystemen die tientallen jaren oud zijn, naast oude servers, gebouwbeheersystemen en externe toegang van leveranciers.”

Haar advies is dat banken beginnen met het in kaart brengen van elk apparaat dat met hun netwerken is verbonden, en er vervolgens voor zorgen dat apparaten die geen toegang tot kernsystemen nodig hebben, daarvan worden afgescheiden.

Banken kunnen zelfs van crypto leren, voegde ze toe. “Sommige beurzen verdelen de controle over een sleutel onder meerdere partijen, zodat geen enkele computer een overschrijving zelfstandig kan goedkeuren, vergelijkbaar met een kluis die twee sleutels tegelijk nodig heeft. Een aanvaller die één laptop compromitteert, krijgt slechts een deel van wat hij nodig heeft.”

AI-agenten voegen een nieuwe risicolaag toe

Persoonlijke AI-agenten vormen een nieuwe uitdaging voor financiële instellingen. Consumenten gebruiken steeds vaker digitale assistenten—zoals Meta's Muse—om aankopen te doen of rekeningen te betalen namens hen.

Sommige banken hebben de deur al gesloten. Citigroup en Bank of America hebben AI-agenten de toegang tot klantrekeningen ontzegd, en JPMorgan Chase-CEO Jamie Dimon heeft financiële instellingen opgeroepen autonome AI-agenten niet toe te staan bankbetalingen te verwerken, met een waarschuwing voor hun “verraderlijke” risico. In het Verenigd Koninkrijk hebben HSBC, Nationwide, NatWest, Barclays en Lloyds AI-agenten eveneens geblokkeerd van toegang tot hun rekeningen.

Andere Europese banken kiezen een middenweg. Santander en ING staan agenten toe betalingen uit te voeren, maar alleen binnen door de klant vooraf vastgestelde grenzen of na goedkeuring door de klant bij elke aankoop.

Met een toenemend aantal cyberdreigingen—en met het grootste deel van de $6,3 miljard die bij Binance werd gestolen nog steeds spoorloos—is de hack bij Crédit Mutuel Arkéa naar alle waarschijnlijkheid niet de laatste aanval op de Europese financiële sector.

Dit verhaal is oorspronkelijk gepubliceerd door Fortune: fortune.com