Een codeeropdracht van een potentiële werkgever leek een gewoon onderdeel van een sollicitatieprocedure. In werkelijkheid was het één stap in een maandenlange cyberaanval die eindigde met 6,3 miljard dollar aan gestolen geld bij Binance — en het roept nieuwe vragen op over hoe cryptobeurzen zich verdedigen tegen dreigingen die op hun eigen medewerkers zijn gericht.

Volgens een naschrift dat Binance dinsdag publiceerde, was de diefstal onderdeel van een gecoördineerde campagne die zowel menselijke kwetsbaarheden als interne beveiligingssystemen uitbuitte. De bevindingen van de beurs tonen hoe hackers geleidelijk toegang kregen tot de wallet-infrastructuur van het bedrijf vóór de diefstal op 29 oktober.

Hoe hackers Binance binnendrongen

De campagne begon in juni, toen een ingenieur een gemanipuleerd softwarepakket downloadde tijdens het installeren van een AI-codeertool, aldus het beveiligingsrapport van Binance. Hoewel de beurs de malware detecteerde en het getroffen apparaat verving, hadden de aanvallers al informatie verzameld over het wallet-team van Binance. Het voorval laat zien hoe een infectie ook ná de ontdekking nog gevolgen kan hebben: het vervangen van het apparaat verwijderde de malware, maar niet de verkenning die de aanvallers al hadden voltooid.

In september richtten aanvallers die zich voordeden als recruiters zich op een andere software-ingenieur en brachten de medewerker ertoe een kwaadaardig bestand te downloaden dat was vermomd als een codeeropdracht. De malware compromitteerde de werkcomputer van de ingenieur en ontweek de beveiligingsmaatregelen van de beurs.

Op 20 oktober gebruikten de aanvallers de gecompromitteerde machine en een interne AI-tool om toegang te krijgen tot de systemen van twee andere ingenieurs, waarbij ze inloggegevens voor implementaties verkregen waarmee ze op 29 oktober kwaadaardige software konden installeren binnen de wallet-infrastructuur van Binance.

De indringers bereikten vervolgens de interne wallet-ondertekeningsservice van de beurs, die cryptotransacties autoriseert, waardoor ze geld konden verplaatsen buiten het normale opnameproces om. Toegang op dat niveau betekende dat het geld kon worden verplaatst terwijl de gebruikelijke opnamecontroles van de beurs werden omzeild — dezelfde dynamiek die later mogelijk maakte dat overschrijvingen bleven doorgaan zelfs nadat Binance de opnames had opgeschort.

"Dit was geen enkele fout of één inbreuk — het was een maandenlange campagne", zei Binance-medec CEO Richard Teng dinsdag in een bericht op X.

Bron: Richard Teng op X

EIP-7702 misbruikt om overschrijvingen gaande te houden

Binance zei dat de aanvallers ook het EIP-7702-mechanisme van Ethereum misbruikten, waarmee wallets transactierechten kunnen delegeren aan smart contracts. Dat maakte het mogelijk dat ongeautoriseerde overschrijvingen bleven doorgaan zelfs nadat de beurs de opnames had opgeschort. Het multiparty computation (MPC)-walletsysteem van de beurs, dat de controle over het ondertekenen van transacties verdeelt, bemoeilijkte het intrekken van die rechten. Samen betekenden die twee ontwerpen dat het stoppen van de ongeautoriseerde overschrijvingen vereiste dat rechten in het hele walletsysteem moesten worden teruggedraaid in plaats van één enkel controlepunt af te sluiten.

De inbreuk trof circa 6,3 miljard dollar aan digitale activa, waarbij Binance meldde dat 2,85 miljard dollar was bevroren of onderschept, volgens de meest recente administratie. De beurs zei de verliezen zelf te dragen in plaats van deze door te berekenen aan klanten en had per 31 oktober 98% van de getroffen tokenactiva aangevuld. Die cijfers vertegenwoordigen de laatste stand van zaken en geen definitieve afwikkeling, dus latere updates over de activa bovenop de 2,85 miljard dollar die bevroren of onderschept is — en over of het aanvullen voorbij 98% komt — zullen bepalen hoe de definitieve afrekening van de inbreuk eruitziet.

De aanval — de grootste crypto-hack uit de geschiedenis — is door de Federal Bureau of Investigation (FBI) toegeschreven aan Noord-Koreaanse hackers. Dinsdag ontkende Kim Yo Jong, de zus van de Noord-Koreaanse leider Kim Jong Un, de betrokkenheid van haar land en zei ze dat de toeschrijving door de FBI politiek gemotiveerd was en bedoeld was om de internationale reputatie van Noord-Korea te schaden. De verklaringen laten de twee versies publiekelijk tegenover elkaar staan, met de toeschrijving door de FBI en de ontkenning door Pyongyang onverzoenlijk naast elkaar.

Binance meldt 57 geblokkeerde cyberdreigingen dit jaar

Apart daarvan zei Binance-medoprichter Yi He dinsdag dat het beveiligingsteam van de beurs in 2026 57 vermoedelijke cyberdreigingen met een Noord-Koreaanse link heeft gedetecteerd en voorkomen, waaronder frauduleuze sollicitatiegesprekken, kwaadaardige softwarepakketten en social engineering-pogingen gericht op het stelen van inloggegevens of het installeren van malware. De telling van 2026 laat zien dat de methoden die centraal staan in de inbreuk — valse benaderingen door recruiters, gemanipuleerde pakketten en pogingen om inloggegevens te stelen — terugkerende patronen waren in de dreigingsdata van Binance en geen eenmalige gebeurtenissen.

"We hebben er veel van onderschept, maar de kosten van het niet stoppen van zelfs maar één ervan waren enorm — en dit had nooit mogen gebeuren", zei ze.

Dit artikel is oorspronkelijk gemeld door Cointelegraph.