De recordhack bij Binance begon maanden voordat miljarden aan crypto verdwenen. Volgens een nieuw voorlopig onderzoeksrapport drongen de aanvallers via drie medewerkers steeds verder door tot de interne dienst die transacties voor beurswallets ondertekent. Privésleutels hoefden zij daarvoor niet te stelen.
Aanval begon maanden voor de hack
Binance beschrijft in het voorlopige incidentrapport een aanval in meerdere stappen. In juni downloadde een medewerker een vervalst installatieprogramma terwijl hij een populaire AI-tool voor programmeurs wilde installeren. De beveiligingsafdeling merkte dat op, verving de computer en vernieuwde de bijbehorende inloggegevens.
Toch hadden de aanvallers toen al informatie verzameld over de functie van de medewerker en zijn collega’s. In september benaderden zij een tweede engineer via een echt vacatureplatform. Na een videogesprek met een nep-recruiter moest hij voor een programmeeropdracht een codebestand downloaden op zijn werkcomputer.
Dat bestand bevatte malware die een onderdeel van een legitiem ontwikkelprogramma verving. Volgens Binance herkenden de beveiligingssystemen die nieuwe aanvalsmethode op dat moment niet.
Interne AI-tool werd springplank
Op 20 oktober gebruikten de aanvallers de besmette computer om via een interne AI-tool apparaten van twee andere engineers te bereiken. Op een daarvan vonden zij een digitaal toegangsbewijs waarmee softwarecontainers konden worden geplaatst.
Tien dagen later combineerden zij dat toegangsbewijs met gestolen inloggegevens van een andere medewerker. Zo konden zij kwaadaardige software uitvoeren en de interne walletdienst bereiken die transacties ondertekent.
Daarna misbruikten de aanvallers een functie van Ethereum om extra rechten aan een eigen computerprogramma te geven. Zij lieten vijftig transacties ondertekenen, waardoor een deel van de transfers doorging nadat Binance de gewone opnames al had stilgelegd. Eerder onderzoek legde al uit hoe de Ethereum-wallet zonder sleutellek kon worden geleegd. Het nieuwe rapport beantwoordt nu de open vraag hoe de hackers de interne ondertekendienst bereikten.
Onderzoek is nog niet definitief
Binance zegt alle gebruikte toegangsroutes te hebben gesloten en de getroffen wallet- en AI-systemen opnieuw te hebben opgebouwd. Ook meldt de beurs dat ongeveer 2,85 miljard dollar aan gestolen bezittingen is bevroren of geblokkeerd. Dat bedrag kan volgens het bedrijf nog veranderen.
Het rapport blijft een eigen, voorlopige reconstructie van Binance. De beurs nodigt externe beveiligingsbedrijven uit om de bevindingen te controleren. De FBI schrijft de aanval toe aan Noord-Korea, maar dat land ontkende vandaag betrokkenheid. De nieuwe uitleg maakt vooral duidelijk dat de route naar de cryptowallets begon bij medewerkers en interne bedrijfssystemen, niet bij een gestolen privésleutel.