Noord-Koreaanse hackers beroven Binance van $6,3 miljard
Binance schat de omvang van de hack op ongeveer $6,3 miljard en meldt dat er circa $3 miljard is bevroren. Analisten van TRM Labs en Chainalysis brengen de aanval in verband met de Noord-Koreaanse hackersgroep TraderTraitor. Uit een voorlopig onderzoek van de beurs blijkt dat de laptop van een medewerker is gehackt.
Volgens berekeningen van TRM Labs haalden de aanvallers op 29 oktober ongeveer $6,36 miljard weg uit Binance-wallets op tien blockchains. Het grootste deel van de activa werd in ongeveer 20 minuten buitgemaakt, vanaf 20.:05 UTC. Analisten noemen dit de grootste diefstal in de geschiedenis van cryptovaluta: het bedrag is ongeveer vier keer zo hoog als de schade door de hack van Bybit in februari 2025.
Wie wordt verdacht van de aanval?
TRM Labs schrijft de hack met grote zekerheid toe aan TraderTraitor, een Noord-Koreaanse hackeenheid die banden heeft met Lazarus. Het bedrijf baseert zich op een combinatie van blockchaingegevens en andere bronnen.
Lazarus wordt rechtstreeks in verband gebracht met de staatsstructuren van Noord-Korea. Het Amerikaanse ministerie van Financiën rekent de groep tot de organisaties die onder controle staan van de Noord-Koreaanse regering via het Reconnaissance General Bureau (RGB), de inlichtingendienst van het land.
De autoriteiten van de Verenigde Staten, Japan en Zuid-Korea beschouwen cryptodiefstallen door Noord-Koreaanse hackers als een bron van illegale inkomsten voor de financiering van programma’s voor massavernietigingswapens en ballistische raketten. Waarvoor de middelen zijn bestemd die specifiek bij Binance zijn gestolen, is nog niet vastgesteld.
Chainalysis-medeoprichter en CEO Jonathan Levin noemde TraderTraitor eveneens de waarschijnlijke uitvoerder van de aanval. Binance heeft zelf nog geen conclusies bekendgemaakt over de identiteit van de aanvallers en werkt nog samen met de rechtshandhaving.
Hoe werd Binance gehackt?
Volgens de voorlopige lezing van de beurs hebben de aanvallers mogelijk toegang gekregen tot de laptop van een DevOps-ingenieur. Via die laptop drongen ze een servicecontainer binnen en verstuurden ze ongeautoriseerde transacties om geld op te nemen.
Binance heeft geen aanwijzingen gevonden dat de privésleutels van wallets zijn gelekt. De eerste lezing van het bedrijf wijst dus op een compromittering van de interne infrastructuur waarmee opnames werden uitgevoerd. De precieze werkwijze van de aanval moet nog worden vastgesteld.
De beurs heeft de autorisatie van het getroffen adres ingetrokken en stortingen en opnames tijdelijk opgeschort totdat de veiligheidscontroles zijn afgerond. Binance belooft na afloop van het onderzoek een uitgebreid technisch rapport te publiceren.
Wat gebeurt er met het geld van klanten?
Samen met partners is Binance erin geslaagd activa ter waarde van ongeveer $3 miljard op de blockchains te bevriezen. Het bedrijf blijft de overige middelen volgen en werkt met tokenuitgevers, analysebedrijven en rechtshandhavingsinstanties aan aanvullende blokkades en het terughalen van activa.
De niet-bevroren middelen kunnen voorlopig niet als definitief verloren worden beschouwd: de zoektocht ernaar gaat door. Een bevriezing beperkt weliswaar de verplaatsing van activa, maar betekent nog niet dat ze aan de beurs zijn teruggegeven.
Binance heeft verklaard alle verliezen te vergoeden uit het SAFU-reservefonds en uit eigen middelen. Het bedrijf heeft gebruikers verzekerd dat hun activa veilig zijn en beloofd na afloop van de herstelwerkzaamheden een bijgewerkt Proof of Reserves-overzicht te publiceren.
