Noord-Korea hackt niet meer alleen digitaal: Drift-aanval begon op conferentievloer

Nieuw onderzoek naar de hack bij gedecentraliseerde beurs Drift, waarbij 285 miljoen dollar werd gestolen, onthult een verontrustende aanvalsmethode. De hackers begonnen niet achter een computer maar op de vloer van internationale crypto-conferenties. Daar deden ze zich zes maanden lang voor als een professioneel handelsbedrijf en bouwden ze relaties op met medewerkers van Drift.

Van handdruk naar hack

Volgens blockchain-analysebedrijf TRM Labs benaderden de aanvallers meerdere medewerkers op conferenties in verschillende landen. Wat leek op normaal netwerken bleek een geavanceerde infiltratie. De aanvallers investeerden een half jaar in vertrouwen voordat ze toesloegen.

Die aanpak is nieuw. Eerdere grote hacks in de cryptosector verliepen vrijwel altijd digitaal: via phishing, gecompromitteerde software of nep-sollicitaties. Bij Drift gebeurde het eerste contact face to face, waardoor het veel lastiger te herkennen was als dreiging.

Nep-token als uiteindelijk wapen

Toen het vertrouwen er was, volgde de technische aanval. De hackers introduceerden een nep-token, CarbonVote Token, en creëerden kunstmatig handelsvolume om die betrouwbaar te laten lijken. Het systeem van Drift accepteerde de token als onderpand, waarna opnamelimieten werden verhoogd en 285 miljoen dollar werd weggesluisd.

Volgens TRM Labs verliep het witwassen sneller en agressiever dan bij de Bybit-hack van 1,4 miljard dollar eerder dit jaar.

Noord-Korea bouwt infiltratienetwerk

De aanval past in een breder patroon. Noord-Koreaanse groepen combineren grootschalige hacks steeds vaker met langdurige infiltratie. Ze doen zich voor als softwareontwikkelaars, solliciteren bij techbedrijven en verdienen via valse identiteiten tot 1 miljoen dollar per maand. Sinds november is via deze constructies al meer dan 3,5 miljoen dollar binnengehaald.

De aanvallers gebruiken computers in andere landen waardoor hun activiteiten lokaal lijken. Volgens de Verenigde Naties worden de opbrengsten gebruikt om het Noord-Koreaanse wapenprogramma te financieren.

Conferenties als nieuw aanvalsoppervlak

Voor de cryptosector is de les helder. Beveiliging gaat niet meer alleen over code, firewalls en sleutelbeheer. Sociale manipulatie en persoonlijk contact zijn onderdeel geworden van het aanvalsarsenaal van statelijke hackers.

Bedrijven moeten hun medewerkers trainen om ook offline waakzaam te zijn. Een professioneel ogende gesprekspartner op een conferentie kan net zo goed een Noord-Koreaanse agent zijn als een potentiële klant. De Drift-hack laat zien dat de grens tussen netwerken en infiltratie dunner is dan ooit.