Binance beschreef op 3 november 2026 hoe een aanval die op 29 oktober tot diefstal van cryptovaluta leidde, via gecompromitteerde apparaten en interne systemen een walletondertekeningsdienst bereikte. Volgens het bedrijf maakten de aanvallers daarna gebruik van EIP-7702-autorisaties, die niet meteen met de gewone opnamecontroles konden worden ingetrokken.
NeoTeo beschreef eerder de on-chain koppeling die Chainalysis legde tussen de Binance- en Bitget-diefstal. Deze vervolgartikel gaat in op de aanvalsketen en de transactieautorisaties die Binance later beschreef.
Van personeelsapparaat naar on-chain autorisatie
Volgens Binance begon een deel van de aanval in juni, toen Engineer A een gemanipuleerd Homebrew-pakket installeerde. Binance zegt dat het de afwijking ontdekte, het apparaat verving en bijbehorende inloggegevens vernieuwde. Later kwam informatie over de rol van Engineer A en diens collega’s alsnog bij de aanvallers terecht.
In september werd Engineer B via een legitiem wervingsplatform benaderd. Mensen met overtuigende identiteiten vroegen Engineer B vervolgens een schadelijke coderepository te downloaden als opdracht voor een sollicitatie. Binance zegt dat de aanvallers op 20 oktober het gecompromitteerde apparaat van Engineer B en een interne AI-tool gebruikten om toegang te krijgen tot Engineer A en Wallet Software Engineer C.
Op 29 oktober kregen de aanvallers volgens Binance toegang tot de computer van Wallet Software Engineer C. Ze gebruikten inloggegevens die van Engineer A waren gestolen, plaatsten een container en startten een schadelijk script. Zo bereikten ze een interne dienst voor het ondertekenen van wallettransacties. Die toegang maakte transacties buiten het normale opnameproces mogelijk, aldus Binance.
Waarom EIP-7702 een aparte intrekking vroeg
Binance zegt dat de aanvallers EIP-7702 gebruikten om een door hen beheerd smart contract gedeeltelijke uitvoeringsrechten over een hotwallet te geven. Ze dienden 50 ondertekeningstransacties in om de accountnonce te manipuleren en de kwaadaardige delegaties vast te leggen.
Die autorisaties bestonden op de blockchain, los van het gewone opnamesysteem. Een opnamepauze trok ze daarom niet automatisch in. Volgens Binance gebruikte de hotwallet multiparty computation (MPC), waarbij geen enkele privésleutel de delegaties direct kon intrekken. Daarvoor was een gespecialiseerde procedure nodig.
Binance zegt dat een laatste ongeautoriseerde overdracht van 2.961,9 ETH op 29 oktober om 23.56 uur UTC definitief werd verwerkt. Het bedrijf meldt dat het de Binance14-delegatie op 30 oktober om 00.10 uur UTC heeft opgeheven. Binance zegt ook de getroffen walletsysteem en interne AI-tool opnieuw te hebben opgebouwd, apparaten te hebben vervangen, bijbehorende inloggegevens en tokens buiten gebruik te hebben gesteld en de detectie van afwijkend gedrag en de controles op de walletdienst te hebben versterkt.
Wat Binance meldde over de getroffen assets
Binance schatte de getroffen digitale assets op ongeveer 6,34 miljard dollar. Het bedrijf meldde daarnaast dat ongeveer 2,85 miljard dollar aan assets was bevroren of onderschept. Binance waarschuwde dat dit laatste bedrag nog kon veranderen door reconciliatie en schommelingen in marktprijzen.
De twee bedragen beschrijven verschillende zaken: de schatting van de getroffen assets en het bedrag dat volgens Binance was bevroren of onderschept. Los daarvan zei Binance dat het meer dan 100% van de benodigde middelen voor dekking had gereserveerd. Het bedrijf meldde dat op 31 oktober 2026 98% van de getroffen tokenassets was aangevuld.
De FBI-toeschrijving aan Noord-Korea
De FBI schreef de diefstal van meer dan 6 miljard dollar aan virtuele assets op 31 oktober toe aan Noord-Korea en gebruikte de naam TraderTraitor voor de betreffende cyberactiviteit. Binance verwees in zijn update naar de FBI-toeschrijving. De FBI-waarschuwing bevat de verklaring van de dienst.
Binance noemde zijn relaas voorlopig en zei dat het onderzoek en een onafhankelijke beoordeling door cybersecuritybedrijven doorgingen.
