Noord-Koreaanse hackers zaten al acht weken in systemen van Binance vóór roof van $6,3 miljard

De hackers achter de diefstal van $6,3 miljard bij Binance waren geen bliksemaanval maar een langdurige bezetting. Volgens de non-profit beveiligingsorganisatie Security Alliance (SEAL) had de aan Noord-Korea gelinkte groep TraderTraitor al zo'n acht weken toegang tot de systemen van de exchange toen op 29 oktober het geld verdween. De inbraak zou ergens in september hebben plaatsgevonden.

Dat verandert hoe je naar deze hack moet kijken. Na de aanval wezen exchanges massaal naar hun cold storage-percentages, alsof het probleem vooral ging om hoeveel geld er online stond. De tijdlijn van SEAL laat iets anders zien: het echte falen zat in het opsporen. Een aanvaller die twee maanden ongezien rondloopt, heeft alle tijd om uit te zoeken welke mensen en welke systemen de sleutels tot de wallets beheren.

Een sollicitatie als breekijzer

Binance gaf eerder deze week zelf een reconstructie. Volgens het bedrijf begon de campagne al in juni, toen het apparaat van een medewerker werd gecompromitteerd. Binance merkte dat op en verving het apparaat, maar de aanvallers hadden op dat moment al informatie verzameld over het team en de wallet-infrastructuur.

In september volgde de tweede fase. Een andere software engineer werd via een legitiem vacatureplatform benaderd door iemand die zich voordeed als projectdirecteur. Er volgden twee nepgesprekken, en aan het eind werd de engineer gevraagd een programmeeropdracht te downloaden op zijn werkcomputer. Die opdracht bevatte kwaadaardige code. Vanaf 20 oktober gebruikten de aanvallers die besmette computers, samen met een interne AI-tool, om controle te krijgen over de apparaten van twee wallet-engineers. Negen dagen later sloegen ze toe.

Voor wie minder thuis is in beveiliging: de term hiervoor is dwell time, de tijd tussen de eerste inbraak en het moment dat een aanval wordt ontdekt of uitgevoerd. Hoe langer die periode, hoe beter de aanvaller het doelwit leert kennen. SEAL schrijft dat dit soort groepen zich na de eerste inbraak met een "high degree of stealth over prolonged periods of time" door systemen kan bewegen.

Co-CEO Richard Teng hield het op sociale media kort: "This was a complex attack." Binance benadrukt dat er niet één enkele fout of inbraak achter de hack zat.

Hetzelfde draaiboek bij andere hacks

Wat het rapport van SEAL extra relevant maakt, is dat Binance geen uitzondering is. De organisatie ziet hetzelfde gefaseerde patroon bij meerdere grote crypto-hacks van dit jaar.

SEAL identificeerde daarnaast minstens vier mantelbedrijven die dit jaar zijn gebruikt voor de nep-wervingscampagnes van TraderTraitor: citalab.net, citalab.com, bitfit.io en oddium.io. Voor ontwikkelaars in de cryptosector is dat praktische informatie. Een recruiter die namens een van deze domeinen een "opdracht" stuurt, hoort direct alarmbellen te laten rinkelen.

Pyongyang ontkent

De Amerikaanse FBI schreef de aanval afgelopen weekend toe aan TraderTraitor. Kim Yo Jong, de zus van de Noord-Koreaanse leider Kim Jong Un, wuifde die beschuldigingen weg. Binance reageerde niet op vragen van Cointelegraph over de schattingen van SEAL.

De les voor andere platforms is ongemakkelijk. Een besmet apparaat vervangen is niet genoeg als de aanvaller al weet wie er naast je zit. Bij Binance werd het eerste incident in juni wel degelijk opgemerkt, en toch ging het vier maanden later alsnog mis. Wie zich alleen beschermt tegen het moment van de diefstal, en niet tegen de weken van stil verkennen die eraan voorafgaan, speelt het spel van TraderTraitor mee.