Hackers met banden tot Noord-Korea hadden ongeveer acht weken toegang tot de systemen van Binance voordat ze op 29 oktober de exploit van $6,3 miljard van het beursplatform uitvoerden, volgens de non-profitcyberbeveiligingsorganisatie Security Alliance (SEAL). Binance zegt echter dat de bredere aanvalscampagne al in juni begon, en dat de hackers pas op 20 oktober toegang kregen tot extra walletinfrastructuur-apparaten.

In een rapport van donderdag schreef SEAL dat de hackersgroep in september het apparaat van een software-engineer van Binance compromitteerde via een nepwervings campagne, waarbij werd opgemerkt dat aanvallensystemen na de initiële inbraak "met een hoge mate van stiekemheid gedurende lange periodes" door gecompromitteerde systemen kunnen navigeren. SEAL's schatting van acht weken heeft betrekking op de inbraakperiode van september tot oktober, en niet op het begin van de bredere campagne die Binance beschrijft.

Cointelegraph nam contact op met Binance voor toelichting op de tijdlijn. Een woordvoerder zei dat de initiële apparaatinbreuken in juni en september plaatsvonden, maar dat aanvallers pas op 20 oktober de toegang kregen die nodig was om walletoperaties te bereiken.

"Zoals in onze aankondiging uiteen is gezet, vonden de initiële apparaatinbreuken plaats in juni en september, maar de aanvallers verkregen pas op 20 oktober de toegang die nodig was om walletoperaties te bereiken, toen ze dat uitgangspunt gebruikten om lateraal te bewegen en toegang te krijgen tot extra apparaten en inloggegevens," zei de woordvoerder.

SEAL identificeerde ten minste vier "frontbedrijven" die verbonden waren aan TraderTraitor's nepwervingscampagnes in 2026, waaronder citalab.net, citalab.com, bitfit.io en oddium.io — domeinen die de organisaties aan hun doelwitten presenteerden als legitieme werkgevers.

Binance spoorde de aanvalscampagne terug tot juni, toen het apparaat van een andere werknemer werd gecompromitteerd nadat de werknemer een geknoeide Homebrew-installatie (een open-source pakketbeheerder voor het installeren van software op macOS en Linux) had gedownload bij een poging een AI-coderingstool te installeren, zoals eerder gemeld. Het beursplatform ontdekte het incident, verving het apparaat en vernieuwde de betrokken inloggegevens. De aanvallers hadden echter al informatie verkregen over werknemers die aan Binance's walletinfrastructuur werkten, aldus een X-post van dinsdag.

Op 20 oktober gebruikten aanvallers de gecompromitteerde computer van de engineer die in september was getarget, samen met een intern AI-tool, om de apparaten van twee walletinfrastructuur-engineers over te nemen, volgens Binance. Vervolgens ontdekten zij een deployment-permission-token dat tijdens de exploit van 29 oktober werd gebruikt.

SEAL's analyse wees op vergelijkbare meerfasen-inbraakpatronen bij andere high-profile crypto-hacks. De organisatie schatte dat aanvallers ongeveer zes weken toegang hadden vóór de Bitget-hack van $388 miljoen, zes weken toegang tot LayerZero vóór de kwetsbaarheid die leidde tot de Kelp DAO-exploit van $293 miljoen, en ongeveer drie weken vóór het uitvoeren van de AFX-exploit van $24 miljoen. Samen laten deze gevallen zien dat lange toegangsperioden tussen de initiële inbraak en de uitvoering een terugkerend kenmerk zijn van grote crypto-inbraken, in plaats van een anomalie die uniek is voor Binance.

De Amerikaanse Federal Bureau of Investigation schreef de aanval in een rapport van zaterdag toe aan Noord-Korea's TraderTraitor. Kim Yo Jong, zus van de Noord-Koreaanse leider Kim Jong Un, verwierp de beschuldigingen, waarmee de verantwoordelijkheid voor de exploit publiekelijk betwist blijft tussen Washington en Pyongyang. Nu de twee regeringen sterk tegenstrijdige versies geven, zouden verdere openbaarmakingen door Binance, SEAL of Amerikaanse instanties meer details kunnen bieden over hoe de inbraak tussen juni en oktober verliep.

Gerelateerd: Binance-hack mogelijk 'tijdelijke tegenslag' voor crypto, zegt Grayscale's Pandl