Binance-roof van 6,3 miljard begon met een nep-sollicitatie
De grootste cryptoroof ooit begon niet met een technisch lek, maar met een sollicitatiegesprek. Een ontwikkelaar draaide een programmeeropdracht op zijn werklaptop. Waarom dat ook uw organisatie aangaat, en wat u eraan doet.
De meeste aanvallen die we beschrijven beginnen bij een kwetsbaar apparaat. Deze begon bij een mens, en het doelwit kan in elke organisatie met ontwikkelaars of beheerders werken.
Wat er gebeurde
Op 29 oktober 2026 verdween ongeveer 6,3 miljard dollar aan cryptovaluta uit de wallets van Binance, de grootste cryptoroof ooit. Chainalysis en TRM Labs koppelen de aanval aan TraderTraitor, een Noord-Koreaanse groep; volgens Binance-topman Richard Teng heeft de FBI de aanval ook aan Noord-Korea toegeschreven. Noord-Korea ontkent. Ongeveer 2,85 miljard dollar is bevroren, en Binance vult de verliezen van klanten aan.
Op 3 november legde Binance uit hoe de aanvallers binnenkwamen. Volgens BleepingComputer en CoinDesk ging het zo:
- September: een ontwikkelaar werd via een gewoon vacatureplatform benaderd door een zogenaamde projectdirecteur van een niet-bestaand bedrijf.
- Eerste gesprek: een nep-recruiter voerde een videogesprek en deelde een socialemedia-account met persoonlijke foto's, om vertrouwen te wekken.
- Tweede gesprek: via een chat-app vroeg een zogenaamde CEO hem een programmeeropdracht te downloaden uit een online repository en uit te voeren op zijn werklaptop.
- De opdracht bevatte malware die de beveiligingssoftware op de laptop niet herkende. Die verving een ontwikkeltool in Homebrew door een kwaadaardige versie en gaf de aanvallers toegang.
- 20 oktober: via die laptop en een interne AI-tool kregen de aanvallers toegang tot twee collega's in het wallet-team, met hun inloggegevens.
- 29 oktober: met die gegevens zetten ze een eigen script in en kregen ze toegang tot het systeem dat transacties ondertekent.
Volgens CoinDesk installeerde in juni al een andere Binance-medewerker een gemanipuleerd softwarepakket. Teng noemde het "een campagne, opgebouwd over vele maanden".
Waarom dit ook u aangaat
Het crypto-deel is uitzonderlijk, de werkwijze niet. Nep-vacatures met een programmeeropdracht zijn een bekende tactiek van Noord-Koreaanse groepen, onder namen als Contagious Interview en Operation Dream Job. Het doelwit is altijd hetzelfde: mensen met veel rechten, zoals ontwikkelaars en beheerders.
Drie dingen springen eruit:
- De werklaptop werd gebruikt om te solliciteren. Daarmee liep een privéactiviteit direct over in de bedrijfsomgeving.
- De virusscanner zag het niet. Wie op endpointbeveiliging vertrouwt om onbekende code te vangen, mist precies dit soort aanvallen.
- Na de eerste laptop volgde de rest via interne tools. Een overgenomen werkplek is een springplank naar collega's met meer rechten.
Kwaadaardige pakketten zijn een terugkerend probleem, zoals we beschreven bij de kwaadaardige Python-pakketten. Hier kwam de malware niet via een pakketbron, maar via iemand die vertrouwen won.
Wat u nu kunt doen
- Verbied het draaien van externe code op werkapparaten, ook "even" voor een sollicitatie of een cursus. Onbekende code hoort in een wegwerpomgeving, zoals een virtuele machine zonder toegang tot bedrijfsgegevens.
- Leg ontwikkelaars en beheerders uit hoe een nep-recruiter werkt: een onbekend bedrijf, snel doorschakelen naar een chat-app, en een opdracht die u lokaal moet uitvoeren.
- Scheid beheer van dagelijks werk. Toegang tot kritieke systemen, zoals productie of betalingen, hoort op een aparte werkplek met eigen inloggegevens, niet op de laptop waarmee wordt gemaild en gebrowsed.
- Houd zicht op ontwikkeltools. Bewaak wijzigingen in mappen van pakketbeheerders als Homebrew, npm en pip, en beperk welke pakketten mogen worden geïnstalleerd.
- Beperk wat interne tools kunnen. Ook een AI-assistent of chatbot met toegang tot systemen of collega's is een route voor een aanvaller, zoals we beschreven in AI-agents raken twee keer zoveel data als u heeft goedgekeurd.
- Maak tokens kort geldig. De aanvallers gebruikten gestolen inloggegevens en een deployment-token weken na de eerste inbraak.