Binance is getroffen door een van de grootste cryptodiefstallen in de geschiedenis, waarbij ongeveer 6,3 miljard dollar is buitgemaakt. Onderzoekers van onder andere Chainalysis en TRM Labs vermoeden dat de Noord-Koreaanse hackersgroep TraderTraitor verantwoordelijk is, gezien de gebruikte tactieken en overlap met eerdere aanvallen op Bybit en Bitget.
De uitvoering van de aanval was zeer efficiënt: op 29 oktober werden in slechts 20 minuten wallets op tien verschillende blockchains leeggetrokken. Uit analyse blijkt dat de aanval zorgvuldig was voorbereid met tests 36 uur van tevoren. Binance geeft aan dat de inbraak complex was en mogelijk begon bij een gecompromitteerde laptop.
Van de gestolen buit is ongeveer 2,8 miljard dollar aan stablecoins bevroren. De resterende 3,3 miljard dollar, bestaande uit Bitcoin, Ether en XRP, kan echter niet worden bevroren en wordt waarschijnlijk definitief beschouwd als verloren.
De hack van 6,3 miljard dollar bij Binance werd in slechts 20 minuten uitgevoerd
Cryptobedrijven en onderzoekers racen om miljarden dollars aan gestolen digitaal geld te bevriezen en op te sporen na wat de grootste cryptodieftest aller tijden lijkt te zijn. Op donderdag, beginnend rond 16:00 uur ET, begonnen hackers snel ongeveer 6,3 miljard dollar aan cryptovaluta weg te sluizen uit wallets die toebehoren aan de cryptobeurs Binance. De buit was verspreid over meerdere blockchains.
Na de diefstal schortte Binance vrijwel onmiddellijk alle stortingen en opnames via hun diensten op als onderdeel van het onderzoek naar de hack. Het bedrijf geeft aan te werken aan het identificeren van de daders. Binance en andere cryptobedrijven melden dat ze tot nu toe ongeveer de helft van de gestolen gelden hebben kunnen bevriezen, waardoor hackers het geld niet verder kunnen verplaatsen of kunnen verzilveren. Een groot deel van de resterende crypto kan echter mogelijk niet worden bevroren.
Vermoeden van Noord-Koreaanse betrokkenheid
Drie bedrijven die cryptotransacties volgen, hebben de aanval snel gelinkt aan potentiële Noord-Koreaanse hackers. "We denken dat Noord-Korea waarschijnlijk verantwoordelijk is," zegt Tom Robinson, hoofdwetenschapper en medeoprichter van Elliptic, tegen WIRED. "Als Noord-Korea hierachter zit, zou deze ene diefstal bijna verdubbelen wat het regime tot nu toe in crypto heeft gestolen."
De tactieken die bij de hack zijn gebruikt, lijken overeen te komen met methoden van een elitegroep Noord-Koreaanse hackers, bekend onder de naam TraderTraitor. Zowel TRM Labs als Chainalysis geloven dat TraderTraitor achter de aanval kan zitten, terwijl Robinson aangeeft dat Elliptic het niet specifiek aan de groep heeft gekoppeld, maar wel overlap in de activiteiten ziet.
Hoewel noch Binance, noch overheidsinstanties officiële links hebben bevestigd tussen de aanval en Noord-Koreaanse hackers, hebben Noord-Koreaanse groepen in de afgelopen jaren herhaaldelijk cryptobedrijven aangevallen. TraderTraitor heeft zich in die context onderscheiden door zijn sophisticated aanpak en focus op crypto- en decentrale financieringsbedrijven. Vorig jaar wees de FBI TraderTraitor aan als verantwoordelijk voor de hack van 1,5 miljard dollar bij cryptobeurs Bybit.
De uitvoering van de aanval
Volgens analyse van TRM Labs werd het grootste deel van de crypto gestolen in een periode van ongeveer 20 minuten op 29 oktober. Wallets van Binance op ten minste tien verschillende blockchains — waaronder Ethereum, Bitcoin, Tron en Solana — werden leeggetrokken en naar meerdere adressen gestuurd die worden gecontroleerd door één enkele aanvaller.
De voorbereiding begon volgens TRM ten minste 36 uur voor de diefstal:
- Vroeg op 29 oktober: De operator implementeerde een eerste stuk code voor de aanval en testte deze op twee wallets.
- Later die dag: De definitieve versie werd getest op een derde wallet, waarna de testgelden naar zichzelf werden teruggestuurd.
- Vier uur na de repetitie: Dezelfde code werd geïnstalleerd op een 'hot wallet' van Binance.
Hot wallets zijn cryptowallets die verbonden zijn met het internet, waardoor cryptobeurzen klantopnames kunnen verwerken. Analisten stellen dat de gelden uit hot wallets over de getroffen blockchains zijn weggezogen.
Binance verklaarde in een statement: "Ons initiële onderzoek suggereerde dat het beveiligingsincident mogelijk te maken had met een gecompromitteerde laptop, maar ons verdere onderzoek heeft aanvullende inbraakpunten blootgelegd. Dit was een complexe aanval."
Rafe Pilling, senior director of threat intelligence bij beveiligingsbedrijf Sophos, vult aan: "TraderTraitor lijkt zich te richten op deze grotere operaties. In het verleden hebben ze hun eigen nepapplicaties ontwikkeld om zo binnen organisaties door te dringen."
Bewijsvoering en sporen
TRM en Chainalysis baseren hun link naar TraderTraitor op analyse van zowel on-chain als off-chain activiteiten. In een onderzoeksblog van Chainalysis staat dat het sterkste bewijs naar voren kwam toen onderzoekers in realtime zagen dat gelden die van Binance waren gestolen, werden gemengd met gelden uit de exploit van Bitget van vorige maand, die al aan Noord-Koreaanse actoren was toegeschreven.
Robinson van Elliptic merkt op dat het targeten van personeel van cryptobedrijven een kenmerk is van TraderTraitor. "De aanvaller financierde hun wallet via Tornado Cash en oefende de aanval vooraf, net als bij Bybit."
Status van de gestolen gelden
Hoewel er direct na de aanval ongeveer 3 miljard dollar aan cryptovaluta werd bevroren, is het waarschijnlijk dat de daders nog steeds grote bedragen kunnen wegsluizen. Onderzoek van Chainalysis wijst op "witwaspatronen die we nog niet eerder hebben gezien" en het gebruik van automatisering om het spoor van de gelden te vertroebelen.
Volgens Robinson van Elliptic is ongeveer 2,8 miljard dollar (circa 44 procent van het totaal) bevroren door cryptobedrijven en beurzen. Bijna al dit bevroren bedrag bestaat uit stablecoins.
"De resterende 3,3 miljard dollar bestaat voornamelijk uit Bitcoin, Ether en XRP, die niemand kan bevriezen," legt Robinson uit. "Dit kan alleen gestopt worden wanneer het een exchange of andere dienst bereikt. Sommige gelden zullen de komende maanden worden onderschept, maar ik verwacht niet dat het bevroren aandeel veel verder zal stijgen."
De hack van 6,3 miljard dollar bij Binance werd in slechts 20 minuten uitgevoerd
Cryptobedrijven en onderzoekers racen om miljarden dollars aan gestolen digitaal geld te bevriezen en op te sporen na wat de grootste cryptodieftest aller tijden lijkt te zijn. Op donderdag, beginnend rond 16:00 uur ET, begonnen hackers snel ongeveer 6,3 miljard dollar aan cryptovaluta weg te sluizen uit wallets die toebehoren aan de cryptobeurs Binance. De buit was verspreid over meerdere blockchains.
Na de diefstal schortte Binance vrijwel onmiddellijk alle stortingen en opnames via hun diensten op als onderdeel van het onderzoek naar de hack. Het bedrijf geeft aan te werken aan het identificeren van de daders. Binance en andere cryptobedrijven melden dat ze tot nu toe ongeveer de helft van de gestolen gelden hebben kunnen bevriezen, waardoor hackers het geld niet verder kunnen verplaatsen of kunnen verzilveren. Een groot deel van de resterende crypto kan echter mogelijk niet worden bevroren.
Vermoeden van Noord-Koreaanse betrokkenheid
Drie bedrijven die cryptotransacties volgen, hebben de aanval snel gelinkt aan potentiële Noord-Koreaanse hackers. "We denken dat Noord-Korea waarschijnlijk verantwoordelijk is," zegt Tom Robinson, hoofdwetenschapper en medeoprichter van Elliptic, tegen WIRED. "Als Noord-Korea hierachter zit, zou deze ene diefstal bijna verdubbelen wat het regime tot nu toe in crypto heeft gestolen."
De tactieken die bij de hack zijn gebruikt, lijken overeen te komen met methoden van een elitegroep Noord-Koreaanse hackers, bekend onder de naam TraderTraitor. Zowel TRM Labs als Chainalysis geloven dat TraderTraitor achter de aanval kan zitten, terwijl Robinson aangeeft dat Elliptic het niet specifiek aan de groep heeft gekoppeld, maar wel overlap in de activiteiten ziet.
Hoewel noch Binance, noch overheidsinstanties officiële links hebben bevestigd tussen de aanval en Noord-Koreaanse hackers, hebben Noord-Koreaanse groepen in de afgelopen jaren herhaaldelijk cryptobedrijven aangevallen. TraderTraitor heeft zich in die context onderscheiden door zijn sophisticated aanpak en focus op crypto- en decentrale financieringsbedrijven. Vorig jaar wees de FBI TraderTraitor aan als verantwoordelijk voor de hack van 1,5 miljard dollar bij cryptobeurs Bybit.
De uitvoering van de aanval
Volgens analyse van TRM Labs werd het grootste deel van de crypto gestolen in een periode van ongeveer 20 minuten op 29 oktober. Wallets van Binance op ten minste tien verschillende blockchains — waaronder Ethereum, Bitcoin, Tron en Solana — werden leeggetrokken en naar meerdere adressen gestuurd die worden gecontroleerd door één enkele aanvaller.
De voorbereiding begon volgens TRM ten minste 36 uur voor de diefstal:
- Vroeg op 29 oktober: De operator implementeerde een eerste stuk code voor de aanval en testte deze op twee wallets.
- Later die dag: De definitieve versie werd getest op een derde wallet, waarna de testgelden naar zichzelf werden teruggestuurd.
- Vier uur na de repetitie: Dezelfde code werd geïnstalleerd op een 'hot wallet' van Binance.
Hot wallets zijn cryptowallets die verbonden zijn met het internet, waardoor cryptobeurzen klantopnames kunnen verwerken. Analisten stellen dat de gelden uit hot wallets over de getroffen blockchains zijn weggezogen.
Binance verklaarde in een statement: "Ons initiële onderzoek suggereerde dat het beveiligingsincident mogelijk te maken had met een gecompromitteerde laptop, maar ons verdere onderzoek heeft aanvullende inbraakpunten blootgelegd. Dit was een complexe aanval."
Rafe Pilling, senior director of threat intelligence bij beveiligingsbedrijf Sophos, vult aan: "TraderTraitor lijkt zich te richten op deze grotere operaties. In het verleden hebben ze hun eigen nepapplicaties ontwikkeld om zo binnen organisaties door te dringen."
Bewijsvoering en sporen
TRM en Chainalysis baseren hun link naar TraderTraitor op analyse van zowel on-chain als off-chain activiteiten. In een onderzoeksblog van Chainalysis staat dat het sterkste bewijs naar voren kwam toen onderzoekers in realtime zagen dat gelden die van Binance waren gestolen, werden gemengd met gelden uit de exploit van Bitget van vorige maand, die al aan Noord-Koreaanse actoren was toegeschreven.
Robinson van Elliptic merkt op dat het targeten van personeel van cryptobedrijven een kenmerk is van TraderTraitor. "De aanvaller financierde hun wallet via Tornado Cash en oefende de aanval vooraf, net als bij Bybit."
Status van de gestolen gelden
Hoewel er direct na de aanval ongeveer 3 miljard dollar aan cryptovaluta werd bevroren, is het waarschijnlijk dat de daders nog steeds grote bedragen kunnen wegsluizen. Onderzoek van Chainalysis wijst op "witwaspatronen die we nog niet eerder hebben gezien" en het gebruik van automatisering om het spoor van de gelden te vertroebelen.
Volgens Robinson van Elliptic is ongeveer 2,8 miljard dollar (circa 44 procent van het totaal) bevroren door cryptobedrijven en beurzen. Bijna al dit bevroren bedrag bestaat uit stablecoins.
"De resterende 3,3 miljard dollar bestaat voornamelijk uit Bitcoin, Ether en XRP, die niemand kan bevriezen," legt Robinson uit. "Dit kan alleen gestopt worden wanneer het een exchange of andere dienst bereikt. Sommige gelden zullen de komende maanden worden onderschept, maar ik verwacht niet dat het bevroren aandeel veel verder zal stijgen."
Groetjes,