De door Noord-Korea gesteunde hackgroep TraderTraitor had ongeveer acht weken lang toegang tot de systemen van Binance voordat de groep op 29 oktober de $6,3 miljard exploit uitvoerde, aldus een rapport van Security Alliance (SEAL) dat donderdag werd gepubliceerd. De FBI wijst de aanval toe aan TraderTraitor, terwijl de Fed en de OCC Amerikaanse banken bevragen over hun blootstelling aan de inbraak.
Belangrijkste Punten
- TraderTraitor had ~8 weken toegang tot Binance-systemen vóór $6,3 mrd exploit op 29 oktober (SEAL-schatting)
- FBI schrijft aanval toe aan door Noord-Korea gesteunde TraderTraitor; Kim Yo Jong ontkent betrokkenheid
- Fed en OCC bevragen Amerikaanse banken over blootstelling aan Binance-hack — eerste grote toets van crypto-toezicht na april
- Vergelijkbare meerfasige inbraakpatronen: ~6 weken vóór $388 mln Bitget-hack, ~6 weken vóór $293 mln Kelp DAO-exploit, ~3 weken vóór $24 mln AFX-exploit
- Binance traceerde campagne terug naar juni inbraak medewerkersapparaat via nep sollicitatiegesprek; gedetecteerd maar inlichtingen al verzameld
Executive Intelligence Brief
Inbraaktijdlijn en aanvalsvector
SEAL schat dat de bedreigingsactoren ergens in september initiële toegang kregen, navigerend door de systemen van Binance met een "hoge mate van heimelijkheid over langere periodes" vóór de exploit van 29 oktober. Binance traceerde de campagne apart terug naar juni, toen een apart medewerkersapparaat werd gecompromitteerd via een nep sollicitatiegesprek. De beurs detecteerde en verving dat apparaat, maar erkende dat aanvallers al inlichtingen hadden verzameld over teamstructuur en wallet-infrastructuur.
Het bedrag van $6,3 miljard maakt dit de grootste geregistreerde crypto-beurshack ooit. Binance schrijft de inbraak toe aan diefstal van inloggegevens van een gecompromitteerd medewerkersapparaat dat toegang gaf tot wallet-infrastructuur. SEAL identificeerde ten minste vier schuilbedrijven — citalab.net, citalab.com, bitfit.io en oddium.io — die in 2026 werden gebruikt in de nepwervingscampagnes van TraderTraitor.
Patroonherkenning bij grote crypto-diefstallen
De analyse van SEAL onthult een consistent meerfasig inbraakpatroon bij recente hoogprofielaanvallen. De cybersecurity-organisatie schatte vergelijkbare verblijftijden van ongeveer zes weken vóór de $388 miljoen Bitget-hack, zes weken toegang tot LayerZero vóór de kwetsbaarheid die de $293 miljoen Kelp DAO-exploit mogelijk maakte, en ruwweg drie weken vóór de $24 miljoen AFX-exploit. Dit patroon wijst op een gestandaardiseerd operationeel handboek voor door Noord-Korea gesteunde actoren die gecentraliseerde crypto-infrastructuur als doelwit hebben.
Regulatorische reactie en blootstelling bankensector
De Federal Reserve en het Office of the Comptroller of the Currency hebben begonnen met het bevragen van Amerikaanse banken over hun blootstelling aan de Binance-inbraak, wat een belangrijke toets vormt van het crypto-toezichtsraamwerk na april. Indiës cybersecurity-agentschap waarschuwde apart voor AI-gestuurde hackers die crypto-beursen op "machinesnelheid" aanvallen, wat de groeiende soevereine zorgen over beursveiligheidsstandaarden aangeeft. Binance en Deribit hebben de SignalPlus API-sleutels ingetrokken na een gerelateerde aanval via een nep Microsoft Teams-uitnodiging.
Toeschrijving en geopolitieke reactie
De FBI schrijft de aanval formeel toe aan de Noord-Koreaanse TraderTraitor-groep in een rapport van zaterdag. Kim Yo Jong, de zuster van Noord-Koreaanse leider Kim Jong Un, verootmoedigt de beschuldigingen. De toeschrijving sluit aan bij een breder patroon van door de staat gesteunde cyberoperaties van Noord-Korea die digitale asset-platformen als doelwit hebben om inkomsten te genereren voor het gesanctioneerde regime.
Vooruitblik en monitoringpunten
Belangrijke ontwikkelingen om in de gaten te houden zijn Binance's uitgebreide incidentrapport en hersteltijdlijn, potentiële recuperatie of bevriezing van gestolen activa, verdere opsporingsacties tegen TraderTraitor-infrastructuur, en eventuele Fed/OCC-richtlijnen over bank-crypto-custodystandaarden voortvloeiend uit de blootstellingsvragen. De verblijftijd van acht weken roept ook vragen op over detectiemogelijkheden in de gecentraliseerde beurssector.
