Binance waarschuwde eerder al voor nepsollicitaties, maar trapte er zelf in

De beveiligingschef van Binance legde afgelopen zomer haarfijn uit hoe een nepsollicitatie hackers toegang tot de beurs kon geven. Een paar maanden later gebeurde precies dat toen de cryptobeurs slachtoffer werd van de grootste industrieroof ooit.

Binance zag de inbreker al aankomen

In juli sprak Jimmy Su, Chief Security Officer van Binance, met nieuwssite Cointelegraph over dmaae groeiende dreigingen voor de beurs. Hij noemde nepsollicitaties toen “iets waar we ons intern veel zorgen over maken”.

Su beschreef ook hoe zo’n aanval werkt. De hackers doen zich voor als werkgever en bieden een medewerker een baan aan die precies bij hem past. Tijdens de sollicitatie halen ze hem over om code te draaien, zogenaamd als technische test.

“En zodra dat wordt uitgevoerd, is het apparaat gecompromitteerd en kunnen ze beginnen met het verzamelen van inloggegevens,” zo legde hij uit.

Met die gestolen inloggegevens kunnen de hackers volgens Su verder het netwerk van het bedrijf in. Cointelegraph liet deze passage in juli nog weg uit zijn artikel, maar brengt hem nu alsnog naar buiten.

Nepsollicitatie zette Binance hack in gang

In september downloadde een software-engineer van Binance tijdens een nepsollicitatiegesprek een besmette programmeeropdracht op zijn werklaptop. Dat blijkt uit een onderzoeksrapport die de beurs vorige week naar buiten bracht.

Die besmetting werd de eerste schakel in een aanval in meerdere fases. Op 29 oktober verdween zo’n 6,3 miljard dollar uit de wallets van Binance, ruim vier keer zoveel dan bij de vorige recordhack op Bybit.

Su zag in juli ook al aankomen waarom beveiligingssoftware zo’n val mist. Een opdracht bestaat namelijk uit stappen die normaal ogen, zoals het downloaden van code van GitHub.

Daardoor gaat er geen alarm af, legde hij uit: “Elke stap is op zichzelf eigenlijk legitiem. Dus veel antivirusprogramma’s kunnen het mogelijk niet detecteren en markeren.”

Binance kwam later tot dezelfde conclusie: de malware zat in het installatieproces van de opdracht en glipte via versluiering, het bewust onleesbaar maken van code, langs de beveiliging.

Verantwoordelijkheid ligt bij Binance zelf

Su vond in juli dat de beurs dat risico zelf moet opvangen. “Natuurlijk mogen medewerkers rondkijken naar kansen elders. Waar we ons wel zorgen over maken, is dat ze dat doen op het apparaat van het bedrijf.”

Trapt iemand toch in een nepgesprek, dan ligt volgens hem “de verantwoordelijkheid bij ons om het te detecteren”. Daarom test een intern red team, een eigen hackersteam dat aanvallen naspeelt, medewerkers elke maand.

Dat gebeurt al drie à vier jaar met phishing-oefeningen, nepberichten die inloggegevens proberen te ontfutselen. Opgeteld zijn dat zo’n 36 tot 48 oefenrondes, en toch was één overtuigend sollicitatiegesprek genoeg.

Het gevaar blijft op de loer liggen: Binance blokkeerde dit jaar al 57 vermoedelijk Noord-Koreaanse cyberaanvallen, grofweg één elke vijf dagen. De FBI wijst Noord-Korea ook aan als dader van de Binance hack in oktober.