Toezichthouders van de Federal Reserve en het Office of the Comptroller of the Currency (OCC) begonnen deze week Amerikaanse banken te bellen om te controleren of hun systemen aanwijzingen vertoonden van compromittering na de hack van $6,3 miljard bij Binance. Het contact begon op maandag 2 november — dezelfde dag dat een nieuwe regel van de OCC en de Federal Deposit Insurance Corporation (FDIC) van kracht werd die de omstandigheden beperkt waarbij examinatoren banken kunnen dwingen cybersecurityfouten te verhelpen.

Toezichthouders controleren banksystemen op kwetsbaarheden

Toezichthouders van de Federal Reserve en de OCC begonnen die dag banken te bellen met de vraag of zij serviceonderbrekingen honden ervaren of iets ongebruikelijks op hun systemen hadden opgemerkt. Enkele personen die bekend zijn met het contact beschreven de telefoontjes aan Reuters.

Eén bank die een telefoontje aannam meldde geen onderbrekingen. Het personeel had spreekpunten opgesteld voor gebruik richting klanten, maar kreeg uiteindelijk slechts enkele vragen te beantwoorden. Binance zei niets te weten van de uitwisselingen tussen bankiers en toezichthouders, maar verklaarde dat het toezichthouders over de hele wereld op de hoogte houdt van de securityinbreuk.

Nieuwe regel verhoogt de drempel voor gedwongen herstel

De regel, aangenomen door de OCC en de FDIC op 27 augustus en gepubliceerd in de Federal Register op 1 september, werd op 2 november van kracht. Volgens de FDIC stelt de regel voor het eerst in regelgeving vast wat geldt als een "unsafe or unsound practice", en maakt zij het lastiger om een matter requiring attention (MRA) uit te spreken — de formele schriftelijke kennisgeving waarmee examinatoren een bank meedelen dat een probleem verholpen moet worden.

Onder de nieuwe norm moeten examinatoren het zwakke punt koppelen aan waarschijnlijk ernstige schade aan de financiën van de bank of aan een daadwerkelijke wetovertreding. Problemen die niet aan die toets voldoen worden supervisory observations, die geen actieplan met zich meebrengen, niet als formele bevindingen worden bijgehouden en niet aan de raad van bestuur hoeven te worden gemeld.

De Federal Reserve heeft zich niet bij de regel aangesloten, dus banken onder haar toezicht vallen er niet onder; de Fed hanteert in plaats daarvan een vergelijkbare norm via intern beleid. De OCC behield een afzonderlijke bevoegdheid om banken te dwingen ernstige securityzwaktes te verhelpen, zelfs wanneer er geen verband is met de financiën van de bank, terwijl de FDIC zei die bevoegdheid slechts zelden en uitsluitend onder dezelfde strenge norm te zullen gebruiken. De scheiding gaat terug op de structuur van het Amerikaanse banktoezicht: de OCC verleent vergunningen aan en houdt toezicht op nationale banken, de Fed houdt toezicht op staatsspanen banken en bankholdingmaatschappijen, en de FDIC houdt toezicht op banken met een staatvergunning die geen Fed-leden zijn — waardoor hetzelfde soort cybersecurityzwakte onder verschillende regimes kan vallen, afhankelijk van wie toezicht houdt op een bepaalde bank.

Banken onderzoeken hun eigen verdediging

Banken hebben de hack bij Binance naar verluidt uit elkaar gepluist en diagnostiek uitgevoerd op hun eigen systemen om te bepalen of zij een vergelijkbare aanval konden doorstaan. Binnen enkele uren na de diefstal nam een securityteam van een van de grootste Amerikaanse banken contact op met collega's bij Binance. Het team schrijft momenteel een intern rapport dat, volgens één bron, kan leiden tot een herziening van de systemen van de bank en mogelijke securityupdates. Het tempo waarmee AI-modellen verbeteren maakt het voor banken moeilijker om aanvallers voor te blijven, en banken hebben naar verluidt begonnen met het investeren van middelen in reviews en codepatches.

Hoe de hack van $6,3 miljard bij Binance verliep

Cryptopolitan meldde eerder dat bij het incident op 29 oktober ongeveer $6,3 miljard van de beurs werd afgehaald, wat wordt beschouwd als de grootste cryptodiefstal ooit geregistreerd. In het incidentrapport van Binance staat dat de aanval in juni begon, toen een walletingenieur een gemanipuleerde AI-coderingstool installeerde, en in september escaleerde nadat een tweede ingenieur kwaadaardige code downloadde na een nep-sollicitatiegesprek. Beide toegangspunten — een gecompromitteerde ontwikkelaarstool en malware geleverd via een vals wervingsproces — passen bij goed gedocumenteerde intrusiecategorieën: softwaretoeleveringsketen-compromittering en social engineering. De aanvallers gebruikten later een interne AI-tool met gestolen inloggegevens om toegang te krijgen tot de wallets van de beurs, volgens eerdere berichtgeving van Cryptopolitan.

De FBI wees in een waarschuwing op 31 oktober de TraderTraitor-groep van Noord-Korea aan als dader, een claim die Pyongyang ontkende. Binance-co-CEO Richard Teng zei dat de beurs ongeveer 95% van de gestolen fondsen uit eigen reserves had vervangen en financieel gezond bleef. Vanaf hier zijn de directe aandachtspunten de doorlopende updates van Binance aan toezichthouders wereldwijd, waarvan het heeft gezegd dat die doorgaan, en de resultaten van de diagnostiek en interne rapporten die banken zijn begonnen als reactie op de diefstal.