Vermelijk Noord-Koreaanse hackers haalden vorige week $6,3 miljard uit Binance, de grootste cryptodiefstal ooit geregistreerd, en de technieken erachter weerspiegelen een breed, evoluerend spelboek: bedrijven infiltreren onder valse identiteiten, veelgebruikte codebibliotheken vergiftigen, wallet-infrastructuur compromitteren en in toenemende mate kunstmatige intelligentie inzetten om elke stap geloofwaardiger te maken.

De omvang van de dreiging is aanzienlijk. Eén schatting schrijft 60% van alle cryptoverliezen vorig jaar toe aan groeperingen met banden met de Democratische Volksrepubliek Korea (DPRK). Deze actoren gebruiken tegelijkertijd meerdere aanvalsvectoren, waardoor ze moeilijker op heterdaad te betrappen zijn.

Vorige week duurde het slechts 20 minuten voordat de vermeende Noord-Koreaanse aanvallers $6,3 miljard uit Binance hadden gehaald, de grootste cryptohack ooit geregistreerd. Volgens het beursplatform compromitteerden ze de werkcomputer van een Binance-ingenieur via een nep-sollicitatiegesprek, gebruikten ze een intern AI-tool om controle te krijgen over de computers van andere ingenieurs, en kapten ze vervolgens met gestolen inloggegevens een interne ondertekeningsdienst voor wallets aan.

— Binance (@binance) November 3, 2026

Historisch gezien zijn Noord-Koreaanse hackers erop uit geweest om onder valse identiteiten aangenomen te worden bij crypto-bedrijven, aan te vallen via infrastructuur van derden en veelgebruikte codebibliotheken te vergiftigen. Meer recent zijn ze begonnen AI te gebruiken om het alles geloofwaardiger te maken. Dit zijn de methoden waarvan bekend is dat ze ze gebruiken bij crypto-aanvallen.

Nepmedewerkers

Binance-chief security officer Jimmy Su vertelde Decrypt in augustus 2025 dat het beursplatform elke dag vermoedelijke Noord-Koreaanse cv's weggooit, en dat destijds "vrijwel alle grote DPRK-hacks" een nepmedewerker betroffen die meehielp de aanval mogelijk te maken.

Su zei dat er kenmerkende signalen in cv's staan die erop wijzen dat de sollicitant uit Noord-Korea afkomstig was, maar het platform was niet bereid de details van die rode vlaggen te onthullen. Soms komen kwaadwillende actoren toch door tot de sollicitatieronde, waar ze deepfakes gebruiken om hun gezicht en stem te veranderen.

"De enige echt goede detectiemethode is dat ze bijna altijd een trage internetverbinding hebben," vertelde hij aan Decrypt. "Wat er gebeurt, is dat de vertaling en de stemvervanger tijdens het gesprek werken … daarom zijn ze altijd vertraagd."

Wie toch wordt aangenomen, is verdacht goed in het werk. Su zei dat Noord-Koreaanse werknemers vaak tot de besten van een bedrijf horen, waarschijnlijk omdat meerdere personen één rol kunnen delen over verschillende tijdzones.

De dreiging is niet afgenomen. Binance zei dat zijn securityteam in 2026 57 vermoedelijke cyberdreigingsgevallen met banden tot Noord-Korea detecteerde en voorkwam, met technieken variërend van frauduleuze sollicitatiegesprekken tot nep-videobeleppraktijken.

Nep-sollicitatiegesprekken

Aanvallers draaien het bedrog ook om en geven zich uit als recruiters om mensen aan te vallen die al bij vooraanstaande crypto-bedrijven werken. Vaak beweert de aanvaller dat er tijdens het gesprek een video- of audioprobleem is en stuurt het slachtoffer een link om Zoom bij te werken, waarmee de apparaten worden geïnfecteerd met malware.

"De DPRK-groepering zal [ook] proberen gesprekken in te plannen met extern werkende medewerkers," vertelde Su aan Decrypt. "Als DeFi-project of beleggingsfonds. En erger nog: ze werven ze voor een functie op hoog niveau en betalen twee-, drievoudig, alleen om ze aan een sollicitatiegesprek te laten deelnemen."

Zo begon de aanval op Binance, aldus het beursplatform. In september werd een software-ingenieur van Binance via een legitiem vacatureplatform benaderd door iemand die zich voordede als projectdirecteur en twee sollicitatiegesprekken inrichtte. In het eerste bouwde een vermeende HR-medewerker vertrouwen op tijdens een live videogesprek door een socialmedia-account vol persoonlijke foto's en video's te delen, een aanpak die Binance "geavanceerder en bedrieglijker dan eerder gezien" noemde.

In het tweede gesprek, gehouden via een chat-app, kreeg de ingenieur de opdracht een "opdracht" op zijn werkcomputer te downloaden. De code-repository bevatte tot dan toe onbekende malware die tijdens de installatie werd uitgevoerd, een legitieme ontwikkelaarstool verving door een kwaadaardige versie en verbinding maakte met een server onder controle van de aanvaller, waarbij Binance's beveiligingstools werden omzeild.

Vergelijkbare methoden zijn op grote schaal elders gebruikt. Eén groepering met banden tot Noord-Korea infecteerde tussen ongeveer december 2025 en juli 2026 ten minste 30.000 apparaten in meer dan 100 landen, nam fondsen of inloggegevens af van meer dan 7.000 cryptowallets en verplaatste ongeveer $10,71 miljoen naar Noord-Korea.

Die groepering, bekend als WaterPlum of Contagious Interview, gaf zich uit als AI-, crypto- of NFT-bedrijf en gaf kandidaten een technisch sollicitatiegesprek of codeeropdracht die het downloaden van met malware gevulde bestanden vereiste. Sommigen gebruikten AI-gezichtsvervangingssoftware tijdens gesprekken voordat ze hun eigen video stopten en de kandidaat vroegen hetzelfde te doen, met een slechte verbinding als excuus.

Vergiftiging van bibliotheken

Su vertelde Decrypt ook dat Noord-Koreaanse hackers openbare codebibliotheken vergiftigen, wat hij rangschikte als de op een na meest voorkomende aanvalsmethode, na nepmedewerkers.

Node Package Manager (NPM)-pakketten zijn verzamelingen herbruikbare open-sourcecode waar ontwikkelaars vaak op vertrouwen. Aanvallers kunnen deze pakketten klonen en een klein regeltje kwaadaardige code toevoegen terwijl de oorspronkelijke functie intact blijft. Dat betekent dat een slachtoffer een vergiftigde codebibliotheek kan gebruiken zonder het te merken, waarbij de kwaadaardige code zich in de loop van de tijd dieper nestelt naarmate er meer software bovenop wordt gebouwd.

In september 2025 ontdekte softwarebeveiligingsbedrijf ReversingLabs twee NPM-pakketten die Ethereum-smartcontracts gebruikten om malware te downloaden, iets wat het bedrijf volgens eigen zeggen nog niet eerder had gezien. De pakketten waren verbonden met een breder netwerk van GitHub-repositories, meestal gebrandmerkt als crypto-tradingbots, met duizenden commits en sterren die volgens ReversingLabs grotendeels nep waren.

De tactiek vormde deel van een "geavanceerde campagne" van kwaadwillende actoren die probeerden gebruikers te hacken via vergiftigde openbare codebibliotheken met betrekking tot blockchain, een aanvalsvector die Binance eerder aan Noord-Koreaanse hackers heeft toegeschreven. Om de dreiging tegen te gaan, zei Su, laat Binance medewerkers NPM-bibliotheken met een kam doorlopen.

Geknoeide ontwikkelaarstools speelden ook een rol bij de Binance-hack. In juni downloadde een lid van Binance's wallet-DevOps-team een geknoeide installatie van Homebrew, een populaire software-installateur, terwijl hij probeerde een AI-codeertool te installeren die hij via een zoekmachine had gevonden, aldus het beursplatform. Het securityteam ontdekte het probleem, verving het apparaat en vernieuwde zijn inloggegevens, maar het incident stelde de ingenieur en zijn collega's van het wallet-infrastructuurteam bloot aan de aanvallers.

Infrastructuuraanvallen

Vóór Binance behoorde het ongewenste record voor de grootste cryptohack aan Bybit, dat in februari 2025 $1,4 miljard verloor, minder dan een kwart van het bedrag dat bij Binance werd buitgemaakt. Cyberbeveiligingsbedrijven brachten aan het licht dat Noord-Koreaanse hackers de aanval uitvoerden door kwaadaardige code te planten in de infrastructuur van Safe, een cryptowallet-aanbieder die door het beursplatform wordt gebruikt.

De beveiligingsbedrijven zeiden dat kwaadaardige JavaScript-code rechtstreeks werd ingebracht in de online infrastructuur van Safe, al bleef onduidelijk hoe de aanvallers dat voor elkaar kregen. Bybit's infrastructuur "was niet gecompromitteerd," vertelde het beursplatform aan Decrypt; de hack kwam puur doordat een derde partij werd misbruikt.

De Binance-aanval was daarentegen gericht op de eigen systemen van het beursplatform. Op 29 oktober gebruikte de aanvaller gestolen inloggegevens om een container te implementeren, een geïsoleerde softwareomgeving die wordt gebruikt om diensten binnen de eigen infrastructuur van een bedrijf te draaien, en om ongeautoriseerde toegang te verkrijgen tot een interne ondertekeningsdienst voor wallets, waarmee het transacties kon starten buiten het normale opnameproces van Binance. Op Ethereum gebruikte het de ondertekeningsdienst om EIP-7702 uit te buiten, een mechanisme waarmee een account uitvoeringsrechten kan delegeren aan een smart contract, waardoor een contract onder controle van de aanvaller gedeeltelijke controle kreeg over een hot wallet van Binance, de met internet verbonden wallet waar beursplatforms op vertrouwen voor klantopnames.

Die on-chain autorisaties bleven werken zelfs nadat Binance de opnames had opgeschort. Omdat de hot wallet multi-party computation gebruikte, een aanpak waarbij de sleutelcontrole over meerdere partijen wordt verdeeld zodat geen enkele deelnemer de volledige sleutel bezit, was er geen enkele privésleutel die Binance snel kon gebruiken om ze in te trekken, aldus het beursplatform.

AI-aangedreven oplichting

Elk van de bovengenoemde aanvalsvectoren kan met kunstmatige-intelligentietools worden geturbo-charged.

Begin dit jaar waarschuwde Google voor een AI-aangedreven malwarecampagne gericht op crypto-bedrijven die afkomstig was uit Noord-Korea. Ook Su van Binance heeft opgemerkt dat AI-tools kunnen worden gebruikt om de effectiviteit van aanvallen te vergroten.

Zorgen over AI-aangedreven hacks zijn de afgelopen maanden toegenomen, met Ethereum-medeoprichter Vitalik Buterin die in oktober zei dat het "plausibel" is dat AI binnen twee jaar versleuteling kan kraken. Dat kwam te midden van een explosie in AI-gedreven wiskunde, waarbij OpenAI beweerde in enkele dagen een 90 jaar oud wiskundeprobleem te hebben opgelost, en experts riepen de sector op zich voor te bereiden op AI-aangedreven aanvallen op versleuteling.

Er zijn geen bevestigde berichten dat Noord-Koreaanse hackers AI gebruiken om versleuteling te kraken. Maar gezien hoe snel ze elders AI hebben omarmd, moet de sector zich mogelijk op dat volgende voorbereiden.