De Binance-diefstal begon met een sollicitatiegesprek: toegang bepaalde de prijs

In september voerde een software-engineer van Binance twee sollicitatiegesprekken met een bedrijf dat niet bestond. Het eerste was een live videogesprek met een HR-medewerker, die een persoonlijk account op sociale media deelde, compleet met foto’s en video’s, om te bewijzen dat die echt was. Het tweede gesprek vond plaats in een chatapp, met iemand die zich voordeed als de CEO. Tegen het einde werd de engineer gevraagd een programmeeropdracht te downloaden op zijn werkcomputer.

Op 29 oktober haalden aanvallers ongeveer $6,34 miljard weg uit Binance-wallets, waarvan het grootste deel in ongeveer 20 minuten. De FBI heeft de diefstal toegeschreven aan TraderTraitor, de Noord-Koreaanse groep die ook verantwoordelijk wordt gehouden voor de diefstal van $1,5 miljard bij Bybit in februari 2025. Het is de grootste cryptovalutadiefstal ooit.

Binance heeft de verantwoordelijkheid aanvaard en zegt de verliezen voor eigen rekening te nemen. Op 3 november meldde het bedrijf dat 98% van de getroffen tokenactiva was aangevuld en dat ongeveer $2,85 miljard was bevroren of onderschept.

De vraag die het stellen waard is: waartoe kon één gecompromitteerde laptop toegang krijgen, en kan elk team dat vandaag in zijn eigen omgeving testen?

Twee toegangspunten en een campagne die liep van juni tot en met oktober

Niets in Binance’ update van 3 november wijst op deepfakes of andere AI-ondersteunde technieken. Beide toegangsroutes liepen via mensen: een engineer die een zoekresultaat vertrouwde en iemand anders die een recruiter vertrouwde.

De campagne duurde minstens vijf maanden. In juni downloadde een DevOps-engineer van het walletteam, die op zoek was naar een AI-programmeertool, een aangepaste Homebrew-installatieprogramma. Het beveiligingsteam van Binance ontdekte de afwijking, verving het apparaat en vernieuwde de inloggegevens. Tegen die tijd wisten de aanvallers al wie er in het walletinfrastructuurteam zaten.

Drie maanden later kwamen ze via een andere ingang terug. De engineer die in september was benaderd, had een profiel op een legitiem platform voor werkzoekenden waarop zijn ervaring bij Binance werd vermeld. Zijn programmeeropdracht bevatte malware die tijdens de installatie werd uitgevoerd, een legitiem onderdeel van pyenv verving door een kwaadaardig exemplaar, verbinding maakte met een server van de aanvallers en zijn sporen uitwiste. Binance zegt dat de endpointbeveiliging de malware niet heeft gedetecteerd.

Op 20 oktober gebruikten de aanvallers die laptop en een interne AI-tool om de controle over de computers van nog twee engineers over te nemen. Een van die computers was van de DevOps-engineer die in juni was gecompromitteerd. Op die computer vonden ze een token met rechten om containers te implementeren. Op 29 oktober logden ze in op de computer van de andere engineer, gebruikten ze de gestolen inloggegevens om een container te implementeren en voerden ze het script uit dat de diefstal in gang zette.

Waarom lokmiddelen van recruiters nog altijd werken

Neprecruiters en gemanipuleerde programmeertests zijn een beproefde tactiek. Noord-Koreaanse operators zetten die al jaren in tegen ontwikkelaars, met name in de campagne die bekendstaat als Contagious Interview. Binance zegt dat het alleen al in 2026 57 vermoedelijke pogingen met banden met Noord-Korea heeft tegengehouden.

Het lokmiddel werkt omdat het engineers vraagt iets te doen wat ze dagelijks doen. Een onbekende repository uitvoeren is een normaal onderdeel van een technisch sollicitatiegesprek. Er is geen verdacht afzenderadres en geen link waar je met de muis overheen kunt bewegen, alleen een aannemelijke werkgever, iemand in een videogesprek en een opdracht die op werk lijkt.

Een bericht van een recruiter is bovendien een van de weinige ongevraagde benaderingen die mensen verwelkomen. Geen enkel bewustwordingsprogramma kan garanderen dat elke engineer elk overtuigend bericht herkent. Beveiligingsmaatregelen moeten er dus van uitgaan dat er eentje doorheen komt.

Hoe één laptop toegang kreeg tot de wallets

Mijn eerste vraag gaat over de beveiligingsmaatregelen in de omgeving van die engineer. Het gebruik van een werkcomputer voor een externe programmeertest verdient kritisch onderzoek. De grotere zorg is hoe die ene compromittering toegang tot andere systemen mogelijk maakte en uiteindelijk tot gevoelige financiële infrastructuur.

Elke stap na de eerste infectie bouwde voort op vertrouwen dat al binnen Binance bestond. Een interne AI-tool accepteerde instructies van een gecompromitteerde computer en zette die om in acties op apparaten van collega’s. Op de laptop van een engineer stond een implementatietoken. Met een containerimplementatie waarvoor geldige inloggegevens werden gebruikt, werden miljarden verplaatst. Daar was geen nieuw lokmiddel voor nodig.

Interne AI-tools verdienen bijzondere aandacht. Ze hebben vaak ruime rechten voor repositories, endpoints en diensten. Wie de controle heeft over een computer die zo’n tool opdrachten kan geven, krijgt daarmee ook toegang tot alles waartoe die tool toegang heeft.

Ontwikkelaars beschermen zonder de engineering te vertragen

Ontwikkelaars moeten pakketten kunnen downloaden, onbekende code kunnen uitvoeren en software kunnen testen. Hun laptops zo streng vergrendelen als een computer voor de financiële afdeling zou de engineering vrijwel stilleggen en ontwikkelaars ertoe aanzetten om workarounds te zoeken. Een beleid dat sollicitatieactiviteiten buiten bedrijfsapparaten houdt, is redelijk, maar niemand houdt zich altijd aan beleid. Het praktische doel is om te beperken wat een gecompromitteerde computer van een ontwikkelaar vervolgens kan doen.

Een handvol maatregelen maakt het grootste verschil. Niet-vertrouwde code moet draaien in wegwerpbare virtuele machines die geen toegang hebben tot bedrijfsinloggegevens. Inloggegevens voor implementaties moeten een korte geldigheidsduur hebben, strikt beperkte bevoegdheden bieden en waar mogelijk worden verstrekt aan gecontroleerde implementatieworkflows. Ondertekeningssleutels of sleutelonderdelen voor wallets moeten apart van de werkstations van ontwikkelaars worden beveiligd, met ondertekeningsbeleid dat bepaalt welke transacties en autorisaties mogen worden goedgekeurd. Voor handelingen met wallets, betalingen of productiesystemen moet goedkeuring vereist zijn van een tweede persoon op een afzonderlijk apparaat. Interne AI-tools moeten met minimale bevoegdheden werken en registreren wat ze doen.

Detectie moet ook werken wanneer de inloggegevens legitiem zijn. Gedragsmonitoring die een implementatie vanaf een onverwachte computer of op een ongebruikelijk tijdstip signaleert, geeft een team de kans om in te grijpen, zelfs wanneer alle inloggegevens in orde lijken. Binance zegt dat het dit soort detectie sinds het incident heeft uitgebreid.

De rol van dreigingsinformatie

De waarschuwing was zes weken vóór de diefstal openbaar. In de gezamenlijke waarschuwing over Contagious Interview werd beschreven hoe daders zich voordeden als recruiters voor AI-, crypto- en NFT-bedrijven om IT-professionals als doelwit te kiezen en cryptovaluta te stelen. De zaak van Binance volgde hetzelfde draaiboek.

Dreigingsinformatie vervult een concrete functie bij dit soort campagnes. De daders kunnen veranderen, maar hun tactieken zijn bekend. Teams die hen volgen, kunnen bekende infrastructuur blokkeren en engineers waarschuwen voor de voorwendsels die op dat moment worden gebruikt.

Informatie over dreigingen laat een team ook zien wie extra bescherming nodig heeft. Zodra een incident duidelijk maakt wie toegang heeft tot gevoelige systemen, zoals bij het beveiligingsincident bij Binance in juni, moeten die mensen maandenlang als waarschijnlijke doelwitten worden beschouwd, met intensievere monitoring van hun apparaten en de benaderingen die ze ontvangen.

Wat dit buiten de cryptosector betekent

Cryptobeurzen zijn een voor de hand liggend doelwit, omdat gestolen geld snel wordt verplaatst en moeilijk terug te krijgen is. Hetzelfde patroon doet zich voor overal waar een werkstation van een ontwikkelaar via slechts enkele tussenstappen toegang heeft tot kritieke systemen, of het nu gaat om de betalingsketen van een bank of het bouw- en releaseproces van een softwareleverancier. Wervingsvoorwendsels bereiken engineers bij al deze organisaties.

Voor beveiligingsverantwoordelijken die deze week hun eigen omgevingen doorlichten, zijn twee controles het belangrijkst. Breng eerst in kaart waartoe één gecompromitteerde laptop van een ontwikkelaar vandaag toegang kan krijgen, waaronder opgeslagen tokens, SSH-sleutels, inloggegevens voor clouddiensten en interne AI-tools. Controleer vervolgens of voor productie-implementaties en transacties met een hoge waarde onafhankelijke goedkeuring vereist is die niet door één gecompromitteerde identiteit alleen kan worden gegeven.

Binance heeft de getroffen systemen opnieuw opgebouwd en onafhankelijke beoordelaars ingeschakeld, waarbij de beslissingen na het verlies zijn genomen. Organisaties die nu dezelfde oefening uitvoeren, kunnen die beslissingen op hun eigen moment nemen.