Binance licht nepsollicitatiegesprekken en misbruik van AI-tool toe bij hack

Binance zei in de op 3 november 2026 gepubliceerde eerste bevindingen dat nep-sollicitatiegesprekken, schadelijke ontwikkelaarssoftware en een gecompromitteerde interne AI-tool voorafgingen aan de diefstal van ongeveer 6,34 miljard dollar aan digitale activa op 29 oktober 2026.

De beurs neemt de financiële gevolgen voor eigen rekening en schuift die niet af op gebruikers. Binance meldde dat het meer dan 100% van de benodigde middelen voor het dekken van het verlies had gereserveerd, dat het op 31 oktober 2026 98% van de getroffen tokenactiva had aangevuld en dat het ongeveer 2,85 miljard dollar had bevroren of onderschept, onder voorbehoud van verrekening en marktprijsschommelingen. Het koopt de resterende, minder liquide activa in.

De pagina Bewijs van reserves waarnaar wordt verwezen voor de aanvulling, beschrijft een 1-op-1-dekking van de activa van gebruikers die in bewaring worden gehouden. Daarbij worden Merkle-boomgegevens en zk-SNARK-bewijzen gebruikt, zodat gebruikers kunnen controleren of hun saldo is opgenomen in het overzicht van de verplichtingen.

De bevindingen zijn voorlopig. Het onderzoek loopt nog, een onafhankelijke beoordeling moet nog plaatsvinden en Binance houdt sommige technische details achter om te voorkomen dat kwaadwillenden er hun aanvallen mee kunnen voorbereiden.

Maandenlange toegang voorafgaand aan de aanval op de wallets

In juni 2026 downloadde een DevOps-engineer van het walletteam een gemanipuleerde Homebrew-installatie toen die via een zoekmachine een populaire AI-codeertool probeerde te installeren. Binance ontdekte de afwijking, verving het apparaat en vernieuwde de bijbehorende inloggegevens, maar de functie van de engineer en diens collega’s in het walletinfrastructuurteam waren toen al blootgesteld aan de aanvaller.

In september 2026 werd een andere software-engineer via een legitiem platform voor werkzoekenden benaderd door iemand die zich voordeed als projectdirecteur. Na een live-videogesprek met iemand die zich voordeed als medewerker personeelszaken, volgde een tweede gesprek in een populaire sociale chatapp met iemand die beweerde de CEO van een fictief bedrijf te zijn. Tegen het einde daarvan kreeg de engineer de opdracht om op een werkcomputer een opdracht te downloaden met daarin een schadelijke coderepository. De code daarvan werd tijdens de installatie uitgevoerd.

De malware verving een legitiem onderdeel van pyenv door een schadelijke versie en communiceerde met een server die door de aanvaller werd beheerd. Volgens Binance detecteerde de endpointbeveiliging de zero-day-malware destijds niet, terwijl de aanvaller stappen ondernam om de activiteit te verhullen en sporen van de compromittering te verwijderen.

Op 20 oktober 2026 gebruikte de aanvaller de gecompromitteerde computer van de tweede engineer en een interne AI-tool om ook toegang te krijgen tot de oorspronkelijke DevOps-engineer en een andere software-engineer van het walletteam. Vervolgens werd op de computer van de DevOps-engineer een token met rechten voor containerimplementatie aangetroffen. Tussen 17:15 en 19:56 UTC op 29 oktober meldde de aanvaller zich aan op de computer van de derde engineer, gebruikte inloggegevens die van de DevOps-engineer waren gestolen, implementeerde een container en activeerde het schadelijke script dat de aanval op de wallets in gang zette.

On-chain-autorisaties bemoeilijkten de indamming

De aanvaller gebruikte ongeoorloofde toegang tot een interne dienst voor het ondertekenen van wallettransacties om transacties te starten buiten Binance’ gebruikelijke opnameproces om. Tussen 20:05 en 20:09 UTC verstuurden vijf Binance-hotwallets 233,46 miljoen XRP naar een adres dat door de aanvaller werd beheerd. Daarna volgden uitgaande transacties vanuit hotwallets op Solana en Optimism, en verstuurde een Binance-hotwallet 18.270 Bitcoin naar een adres dat door de aanvaller werd beheerd.

De aanvaller maakte ook misbruik van Ethereum’s autorisatiemechanisme EIP-7702, waarmee een account bepaalde uitvoeringsrechten aan een smart contract kan delegeren zonder de privésleutel bloot te geven. Vijftig ondertekeningstransacties manipuleerden de nonce van het account en brachten schadelijke delegatieautorisaties tot stand, waardoor een door de aanvaller beheerd contract gedeeltelijke uitvoeringsrechten kreeg over een Binance-hotwallet. Dankzij die autorisaties konden activa zich blijven verplaatsen buiten de opname-infrastructuur van de beurs om.

Daardoor maakten het opschorten van opnames en het stilleggen van hotwalletdiensten de bestaande on-chain-machtigingen niet ongeldig. Omdat de wallet gebruikmaakte van meerpartijenberekening, was er geen afzonderlijke privésleutel beschikbaar om de machtigingen onmiddellijk in te trekken. Daarvoor was een gespecialiseerde procedure nodig, die extra tijd kostte. De laatste ongeoorloofde overboeking, 2.961,9 Ether, werd om 23:56 UTC definitief vastgelegd op de blockchain, nadat deze eerder in behandeling was gebleven; daarna werden geen verdere ongeoorloofde overboekingen waargenomen. Op 30 oktober 2026 om 00:10 UTC voerde Binance vanuit zijn Binance14-hotwallet een nieuwe autorisatie uit naar het nuladres, waarmee de schadelijke delegatiecode werd verwijderd.

Systemen herbouwd en afzonderlijke toeschrijving door de FBI

Op 3 november had Binance het getroffen walletsysteem herbouwd in een nieuwe omgeving en ook de getroffen interne AI-tool en de toegangscontroles daarvoor opnieuw opgebouwd. Het verving ook getroffen apparaten, trok bijbehorende inloggegevens en tokens in, voerde uitgebreidere scans uit op apparaten van medewerkers, breidde de AI-gestuurde detectie van gedragsafwijkingen uit en verscherpte de risicobeheersing voor walletdiensten.

Er worden onafhankelijke externe cybersecurityexperts ingeschakeld om de bevindingen te valideren en aanvullende maatregelen aan te bevelen. Binance investeert meer in AI-gestuurde detectie, endpointbeveiliging, de beveiliging van ontwikkelomgevingen en gedragsmonitoring. Ook werkt het aan de oprichting van een fonds voor veiligheidsonderzoek en aan gerichte initiatieven met AI-bedrijven, andere partijen in de sector en beveiligingsbedrijven die zich richten op AI-beveiliging in blockchainomgevingen.

In een afzonderlijke kennisgeving van 31 oktober 2026 zei de FBI dat de TraderTraitor-actoren uit Noord-Korea verantwoordelijk waren, dat het bureau en zijn partners van de USSS en IRS-CI hadden waargenomen dat zij gestolen activa voornamelijk omzetten in Ether, en dat verdere witwaspraktijken naar verwachting via DeFi- en instant-swapdiensten zouden verlopen. De instanties drongen er bij nodebeheerders, exchanges, DeFi-diensten, bedrijven voor blockchainanalyse en andere aanbieders van virtuele activa op aan transacties te blokkeren die de vermelde adressen betroffen of daaruit voortkwamen.

Het relaas legt een indammingsprobleem bloot dat verder reikt dan het opsporen van malware: het vervangen van het eerste gecompromitteerde apparaat maakte geen einde aan de toegang van de aanvaller tot het walletteam, en het opschorten van opnames nam de on-chain-bevoegdheid niet weg. De onafhankelijke beoordeling moet nu uitwijzen of Binance die keten correct heeft gereconstrueerd en of de opnieuw opgebouwde controles het probleem aanpakken.