Noord-Koreaanse hackers stelen 6,34 miljard dollar van Binance

caution signage — Andreas Schantl / Unsplash

Noord-Koreaanse hackers hebben activa ter waarde van 6,34 miljard USD gestolen van de cryptobeurs Binance.

De aanval vond plaats op 29 oktober 2026. Volgens een rapport van Binance bereidden de hackers de roof zich maandenlang voor. De FBI bevestigde dat de aanval werd uitgevoerd door de Noord-Koreaanse hackers TraderTraitor, die door onderzoekers ook worden gelinkt aan Lazarus Group, Jade Sleet en APT38.

De eerste sporen van de aanval dateren uit juni 2026. Een DevOps-ingenieur van Binance downloadde destijds een valse installatie van Homebrew terwijl hij probeerde een populair AI-instrument voor programmeren te installeren. Hoewel beveiligingsexperts de infectie ontdekten en de laptop en inloggegevens van de medewerker vervingen, hadden de hackers al informatie verzameld over hem en zijn collega's.

In september benaderden de aanvallers een andere ingenieur via een legitiem platform voor vacatures. De medewerker werd uitgenodigd voor sollicitatiegesprekken bij een niet-bestaand bedrijf. Een valse personeelsfunctionaris gebruikte een sociaal mediaprofiel met persoonlijke foto's en video's om vertrouwen te wekken, waarna een tweede gesprek volgde met een vermeende algemeen directeur.

De ingenieur kreeg de opdracht om een testopdracht uit een repository te downloaden, die in werkelijkheid schadelijke code bevatte. Deze software verving een legitiem uitvoerbaar bestand in de Homebrew-map en startte een zsh-shell die contact maakte met de server van de aanvallers. De malware verborg haar eigen activiteiten en verwijderde sporen van de inbraak.

Op 20 oktober gebruikten de hackers de besmette laptop en een intern AI-instrument van Binance om toegang te krijgen tot de computers van twee andere ingenieurs. Hierbij vonden zij een token met rechten voor het implementeren van containers. Op 29 oktober gebruikten zij deze gestolen gegevens om een container te implementeren en een schadelijk script uit te voeren, waardoor zij toegang kregen tot de interne service voor het ondertekenen van transacties.

De aanvallers maakten daarnaast misbruik van het Ethereum EIP-7702 mechanisme door 50 transacties te versturen voor kwaadaardige gedelegeerde machtigingen. Hierdoor kon een door hackers gecontroleerd smart contract activa blijven onttrekken, zelfs nadat Binance de operaties had stopgezet. Per 3 november was Binance erin geslaagd om ongeveer 2,85 miljard dollar aan gestolen activa te bevriezen of te onderscheppen.

Na de aanval heeft Binance de getroffen infrastructuur van de portefeuilles en het interne AI-instrument herbouwd. Besmette apparaten zijn vervangen en alle gerelateerde inloggegevens en tokens zijn ingetrokken. Het onderzoek naar het incident loopt nog en onafhankelijke beveiligingsexperts zijn daarbij betrokken.