Binance onthult hoe nep-sollicitaties en besmette AI-tool leidden tot hack van 6,3 miljard dollar

De grootste cryptohack ooit begon niet met een geniale exploit, maar met een sollicitatie. Binance heeft zijn postmortem gepubliceerd over de diefstal van 6,3 miljard dollar op 29 oktober, en daaruit blijkt dat de aanvallers maandenlang via gewone werknemers naar binnen kropen: een besmet softwarepakket bij een AI-codeertool, een nep-recruiter met een 'programmeeropdracht' en uiteindelijk gestolen deploymentsleutels.

Van AI-tool naar wallet-signing

Volgens het rapport van Binance startte de campagne in juni. Een engineer downloadde bij het installeren van een AI-codeertool een gemanipuleerd softwarepakket. Binance ontdekte de malware en verving het apparaat, maar de aanvallers hadden toen al informatie verzameld over het walletteam. Dat bleek genoeg voor de volgende stap.

In september benaderden zij, vermomd als recruiters, een andere softwareontwikkelaar. Die kreeg een sollicitatieopdracht toegestuurd die in werkelijkheid malware was. De werkcomputer raakte besmet en de beveiliging van de exchange sloeg niet aan. Op 20 oktober gebruikten de hackers die computer en een interne AI-tool om ook de systemen van twee collega's over te nemen. Zo kwamen ze aan deploymentgegevens waarmee ze op 29 oktober eigen code in de walletinfrastructuur plaatsten. Daarna hadden ze toegang tot de interne signeerdienst die cryptotransacties autoriseert, en konden ze geld wegsluizen buiten het normale opnameproces om.

Co-CEO Richard Teng vatte het op X samen als: "Dit was niet één fout of één inbraak, het was een campagne van maanden." Dat is eerlijk, maar ook ongemakkelijk. Een exchange van dit formaat liet een aanvaller die al in juni gesnapt was vier maanden later alsnog tot de kern doordringen.

EIP-7702 als vertragende factor

Voor de technische lezer zit het interessantste stuk in de nasleep. De aanvallers misbruikten EIP-7702, een Ethereum-mechanisme waarmee een gewone wallet transactierechten kan delegeren aan een smart contract. Daardoor liepen ongeautoriseerde transfers door, zelfs nadat Binance de opnames had stilgezet. Het MPC-walletsysteem van de exchange, waarbij de controle over het ondertekenen over meerdere partijen is verdeeld, maakte het intrekken van die rechten juist lastiger. Een beveiligingsmodel dat diefstal moet voorkomen, stond het herstel dus in de weg.

Binance zegt de verliezen zelf te dragen. Op 1 november begon de exchange met het gefaseerd heropenen van opnames. "Vandaag beginnen we met de gefaseerde hervatting van opnames, met een voorzichtige aanpak zodat diensten veilig terugkeren", schreef Teng volgens CNN. Klanten maakten er massaal gebruik van: in de eerste negenenhalf uur ging er 4,65 miljard dollar uit tegenover 1,01 miljard aan stortingen, een netto-uitstroom van 3,64 miljard dollar.

Noord-Korea ontkent

De FBI schrijft de aanval toe aan de Noord-Koreaanse hackgroep die zij TraderTraitor noemt. Volgens de opsporingsdienst zetten de daders de buit vooral om in ether en moeten cryptobedrijven transacties van de betrokken adressen blokkeren. Pyongyang reageerde dinsdag via Kim Yo Jong, de zus van Kim Jong Un, die de beschuldiging politiek gemotiveerd noemde. Noord-Korea deed het onderzoek volgens NBC News af als "een afgezaagde provocatie".

Het patroon is bekend. Ook bij Bybit, de vorige recordhouder met 1,5 miljard dollar, liep de aanval via de computer van een ontwikkelaar. Wie dacht dat MPC-wallets en audits genoeg waren, krijgt nu de rekening: de zwakste schakel zit achter het toetsenbord, en tegenwoordig ook in de AI-tools die ontwikkelaars zonder nadenken installeren. Voor gewone gebruikers is de les simpel. Ook een exchange met een noodfonds blijft een partij die je moet vertrouwen.