De Amerikaanse federale opsporingsdienst heeft onlangs aangekondigd dat een grootschalige cryptodiefstal van meer dan 5,6 billion euro (ongeveer 6,3 billion dollar) bij het wereldwijde crypto-platform Binance aan Noord-Korea zou worden toegeschreven. Het gaat om de grootste digitale roofactie die ooit is waargenomen. Volgens de FBI zou een door het land aangestuurde hackersgroep de gestolen cryptomunten eerst hebben omgezet in andere digitale assets en daarna een meerlaagse witwasoperatie hebben begonnen om de sporen te verdoezelen.
FBI-aanklacht: miljardenschaal cyberroof
De beschuldigingen leggen de verantwoordelijkheid bij een unit die door Pyongyang wordt gecontroleerd. In de eerste fase zouden de criminelen de op Binance gestolen Bitcoin hebben geconverteerd naar ethereum. Vervolgens zou een serie van zero-day malware en valse ontwikkeltools zijn ingezet om extra toegang te krijgen tot interne wallets, waarna de digitale fondsen via een reeks anonieme adressen werden afgeschreven. De FBI stelt dat extra ‘witwasfasen’ gepland staan om de herkomst van de fondsen verder te verhullen.
Kim Yo-jong en de Noord-Koreaanse reactie
Kim Yo-jong, de invloedrijke zus van leider Kim Jong-un, gaf via een persbericht van het staatsorgaan KCNA een resolute weerlegging. Ze bestempelde de Amerikaanse beweringen als “absurde retoriek” en als een “ernstige politieke provocatie”. In haar verklaring wordt betoogd dat de VS probeer de wereldwijde opinie te manipuleren door Noord-Korea de enige bron van alle cybercriminaliteit te maken. De Noord-Koreanen herinneren bovendien aan een eerdere beschuldiging in 2025, waarbij de FBI een vermeende link legt tussen Pyongyang en de diefstal van 1,5 billion dollar bij de cryptobeurs ByBit.
Hoe de aanval op Binance werd uitgevoerd
Valse sollicitatie als toegangspoort
Volgens de eerste resultaten van Binance’ eigen onderzoek begon de infiltratie met een nep-sollicitatiegesprek. Een individu die zich voordeed als project-directeur benaderde een software-ontwikkelaar via een bekend vacatureplatform. Na twee interviewrondes – één via een video-HR-gesprek waarin een nep-socialmediaprofiel werd getoond, en een tweede via een chat-app met een vermeende CEO – kreeg de aanvaller toestemming om een code-repository te downloaden. Deze repository bevatte gemodificeerde pyenv-software, een tool voor het beheren van Python-versies, waarmee een verborgen malware-payload op de werkcomputer van de ontwikkelaar werd geïnstalleerd.
Interne tools en verdere diefstal
De geïnfecteerde computer werd later gebruikt om een intern AI-ondersteuningsinstrument van Binance te benutten. Via deze tool kreeg de aanvaller controle over twee andere systemen: een DevOps-engineer en een derde software-ontwikkelaar. Met behulp van een gestolen container-token lanceerden de hackers een kwaadaardig script dat automatisch de hot wallets van Binance leeguide naar adressen onder hun controle. De diefstal werd afgerond op 29 oktober, toen er voor circa 6,34 billion dollar aan digitale valuta werd overgeboekt.
Binance stelt dat het grootste deel van de verloren activa inmiddels is gecompenseerd en dat de incidenten van dit jaar reeds meer dan vijftig verdachte Noord-Koreaanse pogingen omvatten, waaronder valse sollicitaties, vervalste ontwikkeltools en nep-video-vergaderapps. Het platform heeft zijn walletsysteem en AI-infrastructuur opnieuw opgebouwd, alle betrokken hardware vervangen en externe beveiligingsfirma’s gevraagd de bevindingen te verifiëren.
