Binance-hackers kwamen via nepsollicitatie binnen bij DevOps-engineer

De hackers die cryptovalutaplatform Binance aanvielen, deden dat onder andere door nepsollicitatiegesprekken. Tijdens zo'n gesprek downloadde een werknemer van Binance een geïnfecteerde coderepo op zijn werk-pc. Daarin zat zerodaymalware die de hackers in staat stelde het account van een DevOps-werknemer over te nemen, schrijft Binance in een eerste analyse van de diefstal.

Dit nieuws in het kort

• Binance heeft een eerste postmortemanalyse gemaakt na de hack waarbij meer dan 6 miljard euro in cryptovaluta werd gestolen.
• Vermoedelijk Noord-Koreaanse hackers infecteerden een werknemer die tijdens een in scène gezet sollicitatiegesprek geïnfecteerde code op een werk-pc downloadde.
• Die malware werd gebruikt om andere werknemers te infecteren, waaronder een DevOps-engineer die wallets kon ondertekenen.

Binance heeft een eerste postmortem op X gepubliceerd over de hack van eind oktober. Toen wisten hackers meer dan 6 miljard euro aan cryptovaluta te stelen van Binance. Inmiddels lijkt het erop dat het gaat om Noord-Koreaanse staatshackers. Binance doet die attributie zelf niet, maar het bedrijf verwijst wel naar de FBI. De modus operandi van de Binance-hackers komt in ieder geval overeen met eerdere hacks door dat land op cryptovalutaplatformen.

De hack kwam doordat één engineer zijn laptop liet infecteren, zegt Binance. In oktober werd een werknemer van Binance benaderd door een recruiter. Daarop volgde een uitgebreide, maar in scène gezette sollicitatieprocedure, inclusief een videogesprek. Tijdens een tweede gesprek werd de werknemer gevraagd een opdracht uit te voeren. Daarvoor moest de werknemer een coderepo downloaden waar malware in zat. De medewerker deed dat op zijn werklaptop.

Bron: Samuel Boivin/NurPhoto via Getty Images

Binance zegt niet om welke malware het gaat. Wel zegt het bedrijf dat het gaat om zerodaymalware, waarover voorheen nog geen details bekend waren. Mede doordat de malware onbekend was, detecteerde Binance die niet op zijn systemen.

Met de malware was het mogelijk de werk-pc van de solliciterende werknemer te infecteren. Vervolgens gebruikten de hackers 'een interne AI-tool' om nog twee Binance-werknemers te infecteren. Dat waren een DevOps-werknemer en een software-engineer die aan Binance-wallets werkten.

Container die wallets ondertekent

Met gestolen inloggegevens konden de hackers een container opzetten op de laptop van de DevOps-engineer. Dat maakte het mogelijk een interne dienst te misbruiken waarmee wallets ondertekend konden worden bij het uitvoeren van transacties, buiten het normale proces om.

In vier minuten stuurden de aanvallers 233 miljoen Ripple (XRP), 970.500 Solana (SOL) en 44,2 miljoen Optimism-coins (OP) naar andere wallets. Ook stuurden ze 18.270 bitcoin naar een hot wallet. Via het overgenomen ondertekeningsmechanisme wisten de aanvallers een autorisatietechniek binnen Ethereum te omzeilen. Het gaat om EIP-7702, een mechanisme om bestaande smartcontracts te autoriseren om andere wallets op een blockchain te beheren.

Helft van het geld terug

Binance zegt dat het lastig was om de autorisatie voor dat mechanisme in te trekken, omdat de betreffende wallet waar alle coins in stonden meerdere private keys hadden. Uiteindelijk heeft Binance naar eigen zeggen 2,85 miljard dollar aan munten teruggekregen of in ieder geval vastgezet, van de 6,34 miljard dollar die werd gestolen.

Reacties (102)

[NikkieDev]

Waarom zou een DevOps engineer zomaar een repository clonen als die niet weet wat er echt in zit...

[Mavex]

Het is wat verwarrend, maar het was niet de DevOps werknemer zelf die de repo heeft gedownload, maar een collega engineer.

..De hack kwam doordat één engineer zijn laptop liet infecteren, zegt Binance.

..Met de malware was het mogelijk de werk-pc van de solliciterende werknemer te infecteren. Vervolgens gebruikten de hackers 'een interne AI-tool' om nog twee Binance-werknemers te infecteren. Dat waren een DevOps-werknemer en een software-engineer die aan Binance-wallets werkten.

[Ruthhl3ss]

Zo hebben ze waarschijnlijk ook het vierogen principe overgeslagen bij het creeren van pull requests.

[Aerophobia1]

Dit is een mooi schoolvoorbeeld van social engineering.
Met zelfs een echt sollicitatie gesprek erbij.
Dan heb al snel niet meer het gevoel dat je met een "bot" te maken hebt.
Dus eerst vertrouwen wekken met een echt persoon.
Na toegang ook nog eerst even goed rondkijken op het netwerk.
Daar zorgen dat je langer onopgemerkt kan handelen.
Dan pas de payload dumpen.
Dit heeft maanden voorbereidingstijd gehad.
Ze zullen hier in Noord Korea een mooie digitale spionnenfilm van kunnen maken.
Daar is Oceans Eleven helemaal niets bij.

[Spanje]

we hebben jouw gevonden en denken dat je geschikt bent voor de volgende functie:
[link naar vacature waar je 2 tot 3 x meer kan verdienen dan nu]

maar we willen de sollicatie vandaag nog binnen hebben,


dus voordat jij weer thuis bent, en op je eigen laptop die kan indienen.

[wjvh]

In artikelen over phishing wordt gewaarschuwd dat alles waar haast bij is gevaarlijk is. Dat zal hier ook gelden.

[Spanje]

maar wil je die baan dan niet? Sollicitatie ronde sluit vanmiddag om 16h. --greed

[witchdoc]

een baanaanbod dat sluit binnen een paar uur.. is geen echte baan.
Als ze je echt willen, wachten ze echt wel een paar dagen/weken.

[Spanje]

ja een een link naar 39338cciod punt tk is geen link naar jouw security afdeling, toch blijven gebruikers klikken.

Maar reken maar dat een hoop bij een dergelijk baan aanbod toch even snel verder klikken, zeker na een telefoon gesprek of persoonlijke email. Onze sollicitatie rond sluit vandaag, ik heb jou net gevonden, en wil toch graag dat jij ook mee doet, lukt dat nog voor vanmiddag?

[bzuidgeest]

Clonen is niet het probleem, dan krijg je weinig meer dan text. Zomaar runnen is wellicht een minder goed idee

[Zombaya]

Git clone zou inderdaad veilig moeten zijn, maar een andere mogelijke optie is dat ze je een gezipt project bezorgen met daarin een .git-folder, waar reeds hooks in geconfigureerd zijn.

Zo kan het uitvoeren van een `git status` in zo'n folder genoeg zijn om een bepaald script uit te voeren.

Een meer uitvoerig voorbeeld vond ik op op de blog van sonarsource.

[bzuidgeest]

"hooks" jeetje. Een status zou nooit zomaar hooks moeten uitvoeren, vragen om problemen.

[Llopigat]

Het verbaast me dat mensen hun werk laptops gebruiken voor prive zaken. Ik zou dat echt niet meer doen in deze tijd. Elke corporate EDR (antimalware) is enorme spyware tegenwoordig. En alles is zo dichtgetimmerd dat je er toch niks meer mee kan. Maar ik hoor het van Nederlanders in de IT ook wel dat ze geen eigen PC meer hebben. Zelf kan ik me dat niet voorstellen. Ik heb wel 20 eigen computers thuis Inclusief servers.

Ik gebruik mijn werk mobiel ook niet meer voor prive. Ik had een tijd BYOD maar sinds ze de werk antivirus constant alle netwerkverkeer via hun VPN wilden laten routeren heb ik dat er allemaal afgesmeten en weer een werk mobiel aangevraagd. Dat werd niet gewaardeerd ("Wij zijn een groen bedrijf dus we lopen niet met twee telefoons") maar daar maken ze het zelf naar.

[Reactie gewijzigd door Llopigat op 4 november 2026 12:49]

[Mit-46]

Bij ons mag je deze gewoon privé gebruiken. Het is jouw eigen verantwoordelijkheid de "security" niet te triggeren, want anders kan het zo zijn dat je "even" niet meer bij de bedrijfsbronnen kan en anders neemt er op z'n minst iemand contact jou op om te controleren of alles wel gaat zoals het hoort.

Bij ons heeft iedereen die een laptop gebruikt een "eigen" laptop. De gebruiker is daarop ook admin en mag zelf bepalen wat hij/zij erop installeert (naast de standaard installatie). Voorwaarde is dat het jouw eigen verantwoordelijkheid is de security niet te triggeren.

Bij ons is het idee vooralsnog ook dat wij onze data beveiligen en niet per se de computers. De computers hebben beveiliging om de data te beveiligen.

Als medewerkers thuis Netflix oid willen kijken is dat niet verboden. Zelfs spelletjes zijn niet verboden (voor in eigen tijd), maar wel zolang er niets wordt getriggerd uiteraard!

Ikzelf doe dit ook niet. Heb privé spullen, maar ik kan mij goed voorstellen dat een hoop mensen dat niet hebben, omdat ze toch al een laptop en vaak ook een iPhone van het werk hebben die ze privé mogen gebruiken.
Het kost nu eenmaal veel geld en als je niet in de techniek zit weet en besef je vaak niet dat het niet zo handig is als dat het in eerste instantie lijkt.

[Reactie gewijzigd door Mit-46 op 4 november 2026 13:03]

[Llopigat]

Dat vind ik een beetje naief in deze tijd. Wij hadden het ook zo maar de laatste jaren is dat niet houdbaar meer. En dat zie je precies ook met wat hier is gebeurd. Een aanvaller gebruikt een prive interesse van een werknemer om binnen te komen en een gebruiker die iets draait met adminrechten kan het hele systeem ondermijnen. De meeste antimalware oplossingen zijn gewoon te omzeilen als je adminrechten hebt (en ons red team doet dat ook regelmatig).

Bovendien hebben we tegenwoordig met de GDPR/AVG te maken. Dat geldt niet alleen voor data van klanten maar ook van andere medewerkers. Als een medewerker de rechten heeft om spullen naar hun eigen NAS of dropbox te kopieren enzovoorts dan zit je al gauw met het probleem dat data op diensten staat waar je geen dataverwerkingsovereenkomst mee hebt. En ja je kan dat verbieden maar in de praktijk gebeurt het toch wel want 'handig', 'moet even snel wat doen' enzovoorts.

Het hangt er natuurlijk wel vanaf wat voor bedrijf je bent. Hoe kleiner hoe minder eisen want grote bedrijven vangen de meest gerichte aanvallen, en het type is ook van belang. Bij een financiele instelling werden tussen 2005-2010 al de USB poorten geblokkeerd.

Maar met AI zie je nu al erg dat de echt gerichte aanvallen op steeds kleinere doelwitten worden gericht omdat ze geautomatiseerd kunnen worden met AI. Ook is de snelheid van kwetsbaarheid naar exploit enorm verkort. Ik denk al met al dat jullie dat beleid niet meer zo lang zullen hebben.

[Mit-46]

Je bent bij ons een soort van local admin en kan niets aan Defender wijzigen of uitschakelen.

Als dat wel wordt uitgeschakeld kan je weer niet bij bedrijfsbronnen/data.

In principe gaat alles wat iemand op een laptop doet langs Defender. Alles

Op het moment dat Defender "het niet doet" is de computer niet compliant en kan je niet meer bij bedrijfsdata.

Dat hackers dit kunnen omzeilen geldt denk ik voor elke beveiliging in the end.

[Llopigat]

Je bent bij ons een local admin en kan niets aan Defender wijzigen of uitschakelen.

Qua instellingen niet, maar als je local admin bent kan je daar meestal toch wel op de een of andere manier omheen. Ons red team demonstreert dat regelmatig. Nou gebruiken wij geen defender maar een andere EDR die ook beweert dat dat niet zou kunnen maar ze vinden toch vaak weer een manier.

Het wegnemen van admin rechten helpt enorm op dat punt.

[Mit-46]

Ze vinden altijd wat

Wij hanteren het zero trust model volgens (bepaalde) best practices zoals Microsoft deze voorschrijft.
Deze worden geïmplementeerd door een Microsoft partner. Wat wij doen is volledig op advies van Microsoft. Eigenlijk wordt hier "blind" gedaan wat zij ons adviseren.

De complete security van onze omgeving is dan ook uitbesteed aan hen en ik denk dat wij daarmee een heel modern netwerk hebben.

Het beveiligen van apparaten en het compleet dichttimmeren hiervan deden wij tot Covid.

[Takkeding]

Voor een zero trust model heb je dan wel veel vertrouwen in je Microsoft partner

[Mit-46]

Ik heb helemaal geen vertrouwen in Microsoft! Ik werk hier gewoon.

Ik vertrouw Microsoft voor geen meter!

[Wouterie]

Wat is het alternatief? Een ontwikkelaar zal op zijn werkplek de nodige rechten nodig hebben. En het geval van dit artikel was het werkgerelateerd, dus niet eens in de privésfeer dat er iets werd geïnstalleerd.

Een sollicitatiegesprek voeren op privéapparatuur lijkt me eigenlijk nog onwenselijker.

[rookie no. 1]

Klopt helemaal en met die wetenschap (ik zit zelf in die IT rol) komt er helemaal niets privé op zakelijk en vice versa (behalve Tweakers ;- ).

Maar goed, dat was off-topic. Hier werd een zakelijke/werk laptop gebruikt. Misschien had het enigszins geholpen als er niet met root/admin rechten gewerkt werd wat developers nogal lastig vinden (snap ik overigens).

En voor wat betreft Binance organisatie wijd: wordt er wel onderzoek gedaan naar de eventuele sollicitant? En ook dat remote solliciteren wel echt een groot risico is tegenwoordig? Ze hebben een hele grote verantwoordelijkheid in de financiële (niet alleen crypto) wereld.

Ik hoop dat ze er van leren. Leergeld van anderen helaas, dat dan weer wel...

[Llopigat]

wat developers nogal lastig vinden (snap ik overigens).

Wat beter gebeurt is dat devs altijd werken in een lab omgeving (eventueel remote) en dit niet doen op hun lokale laptop zelf. Dat heeft een reden:

Een van de specifieke problemen met ontwikkelaars is dat compileren van binaries de antimalware vaak nogal op de heupen brengt. Dat vertraagt de compilatie enorm en bovendien geeft het veel false positives (interne compilaties die als malware worden gedetecteerd). Dus wat doe je dan: Je maakt een uitzondering voor ontwikkelaars van een bepaalde directory waar ze hun werk kunnen doen, en daar wordt niks gescand. Op dat moment maak je alleen wel een enorme achilleshiel in je beveiliging natuurlijk, een aanvaller die weet welk pad dat is kan ongedetecteerd zijn slag slaan. En dat maakt developers juist extra interessant voor social engineering zoals hier is gebeurd. Daarom is het dan beter ze te laten ontwikkelen in een omgeving die verder nergens bij kan zodat je dat risico minimaliseert. Die root rechten die vaak nodig zijn voor ontwikkeling is ook een verder bijkomend probleem.

Met DevOps is het een beetje lastiger helaas, omdat die ook bij produktie moeten kunnen. Want die doen juist de omschakeling van dev releases naar produktie. Dus daar moet je heel specifieke regels toepassen waar hun omgeving wel en niet bij kan. Ik denk dat het hier ook juist is misgegaan bij binance.

[Reactie gewijzigd door Llopigat op 4 november 2026 13:32]

[BLACKfm]

Uit veiligheidsoogpunt (En een kringloopwinkel is misschien wat minder risicovol doelwit dan een financiele instelling) moet je ongeacht niet willen dat werknemers zakelijke hard- en software gebruiken voor privé doeleinden.

Maar dan komt er ook nog om de hoek kijken dat je als werkgever ook nog dat beetje 'extra' wil geven (de 'telefoon en laptop van de zaak'), of de werknemers ook de mogelijkheid wilt geven dat ze vrij het internet op kunnen en niet voor elke poep of scheet 2 logins en 5 veiligheidswaarschuwingen moeten doorlopen om een 'vertrouwde' website te kunnen openen (kan met whitelist, maargoed, het punt lijkt mij duidelijk).

Bij mij blijft alles op de zaak liggen maar doe ik er wel gewoon alles op wat ik anders ook zou doen. Dat is overigens niet bewust malefide websites bezoeken of apps downloaden, maar genoeg dingen (zoals deze tekst typen) die niet werkgerelateerd zijn.
Naast dat je dat als werkgever niet wilt hebben is het lastig (als je personeel wilt houden), om het in te perken.

En inderdaad leuk als je als bedrijf een beetje schappelijk wilt zijn met en naar je personeel, maar daar kleven dus (bedrijfs)risico's aan vast.

[Zebby]

Ik regel het, dus ik gebruik hem prive met zo veel. MacOS is gelukkig standaard nog steeds iets veiliger dan Windows. In een groter bedrijf, sure, dan zou ik het ook niet snel meer doen. Tbh moet dat ook gewoon door IT dichtgetimmerd worden.

[iqcgubon]

Het verbaast me dat mensen hun werk laptops gebruiken voor prive zaken

Tja, in België betaal je daar ook gewoon voor. "Voordeel alle aard" geeft je gewoon het recht om die ook privé te mogen gebruiken.

Of je dat ook wil is wat anders natuurlijk. Quote van een collega: "Waarom zou ik, ik mag op deze laptop niet eens naar tetten kijken."

[phoenix2149]

Begrijp het ook niet eerlijk gezegd.

Zit steeds vaker te denken om misschien ook mijn bedrijfstelefoon niet meer voor prive te gebruiken, wordt ook steeds meer dicht getimmerd, maar heb dan ook weer geen zin om met 2 telefoons te moeten leuren. Dat is toch het merendeel van de tijd dat dit nodig is. Als ik op gegeven moment niet eens meer een game mag installeren of mijn eigen VPN/DNS (gebruik Adguard) instellen dan stopt dat wel.

[Reactie gewijzigd door phoenix2149 op 4 november 2026 14:27]

[Raymond Deen]

Lekker bedrijf dan. Je mag geld verdienen voor ze, maar wel met je eigen spullen graag want anders moeten zij die aanschaffen.

[Wouterie]

Bij mij is het andersom! Ik heb nog ergens een smartphone liggen, maar gebruik eigenlijk die van mijn werk altijd. Net als de laptop. Mijn gamingPC doet het prima, maar daar zit ik eigenlijk nooit meer achter aangezien ik Moonlight kon installeren op mijn werklaptop.

In de bruikleenovereenkomsten staat dat ik de apparatuur privé mag gebruiken, uiteraard met de nodige kanttekeningen.

[gavinz]

Toch ergens bijzonder dat er wordt gesproken over 6,34 miljard dollar die is gestolen.

Die 6,34 miljard dollar is immers puur de waarde die wij op dat moment aan die digitale munten toekennen. Los van stablecoins is er toch geen echte valuta of vaste waarde aan gekoppeld? Feitelijk zijn er dus digitale munten gestolen, waarvan we vervolgens zeggen dat ze 6,34 miljard dollar waard zijn.

Ik ben vooral benieuwd hoe dit straks met de digitale euro werkt. Kunnen gestolen digitale euro's bijvoorbeeld worden bevroren, zoals Binance nu met een deel van de gestolen crypto hebben gedaan?

[Anonnymous!]

Als een schilderij van 30 miljoen gestolen is zeggen we dat er toch ook bij? Het is niet alleen maar een schilderij, het is ook nog eens 30 miljoen waard.

Anders; we zeggen ook niet dat er honder-duizend biljetten gestolen zijn, en na nader onderzoek bleken die ook nog eens 5 euro elk waard te zijn!

Ik snap je punt dus niet helemaal

[gavinz]

Een schilderij is een fysiek en uniek object waaraan een geschiedenis verbonden is. Het vertelt iets over de periode waarin het is geschilderd, de kunstenaar die het heeft gemaakt of de persoon die erop is afgebeeld. Die combinatie van object en geschiedenis maakt dat je er niet zomaar een tweede van hebt.

Cryptovaluta hebben alleen een unieke waarde op de blockchain. Mijn punt is vooral dat ik het bijzonder vind dat we zulke gigantische bedragen koppelen aan iets wat niet fysiek bestaat.

[Anonnymous!]

Cryptovaluta hebben wel waarde daar je het gewoon terug om kan zetten naar een "normale" valuta. Ik ga er nu even uit gemak er van uit dat iets omzetten naar een fiat betekend dat het waarde heeft.

Waarom iets waarde heeft hier als argument gebruiken is arbitrair. Ik ben het eens met wat je zecht over een schilderij, ik heb er zelf ook in mijn huis hangen waar ik goed voor betaald heb. Maar ook een schilderij kan je reduceren naar "wat verf op een doek" en waarom zou dat in hemelsnaam miljoenen waard zijn.

Crypto heeft ook bijvoorbeeld proof-of-stake of proof-of-work mechanismes en schaarste, waar wij als mensen waarde aan hechten.

Er is geen fundamenteel verschil tussen hoe crypto of een schilderij zijn waarde verkrijgt.

Nu denk ik dat ik je argument wel begrijpt, als er gezecht word dat er 6 miljard aan USD gestolen is aan (ik zeg maar wat) $PEPE, maar door dat nieuws zakt de waarde van PEPE met 50%, is er dan 3 of 6 miljard USD gestolen?
Maar...dat is met een schilderij toch ook zo? Als ik een schilderij steel die op een veiling 10 miljoen opgebracht zou hebben, en ik gooi het ding door de shredder, heb ik dan 10 of 0 miljoen gestolen? En voordat dat schilderij op een veiling verkocht was was het geen 10 miljoen euro, het was een schilderij. Net als dat een cryptomunt op de blockchain crypto is, maar na verkoop euro is.

[Joop]

De hele zin is: Uiteindelijk heeft Binance naar eigen zeggen 2,85 miljard dollar aan munten teruggekregen of in ieder geval vastgezet, van de 6,34 miljard dollar die werd gestolen.

Het "aan munten" slaat ook op het 2e deel van de zin. Dat is gewoon een normale manier om zoiets te zeggen. Je kan munten ook vervangen door diamanten bijvoorbeeld.

[outlandos]

Hetzelfde doet men toch als het om een drugsinval gaat, de straatwaarde benoemen?

[gavinz]

Hier gaat het om de fysieke verkoop van nutsmiddelen tegen de gangbare straatprijs. Indien de criminelen deze middelen daadwerkelijk hadden verkocht, zouden de opbrengsten naar schatting ongeveer dit bedrag hebben bedragen.

[outlandos]

Het gaat toch om de prijs die mensen er aan toekennen? Zie niet in of het dan verschil maakt of het digitaal of fysiek is.


En trouwens, bij nutsmiddelen gaan ze in hun berichtgeving standaard uit van de gram prijs die op straat wordt betaald. Terwijl de partijen die ze in beslag hebben genomen vaak honderden/duizenden kg's beslaat. Bij dergelijke hoeveelheden is de prijs per gram een fractie van de prijs die op straat wordt betaald. Kortom de bedragen die daarbij worden genoemd kun je ook met een korreltje zout nemen.

[moimeme]

Minus de witwasserij kosten.

[watercoolertje]

We rekenen alle berichtgeving over dollars hier toch ook om naar euro's? Dat die tegen de tijd dat je het leest niet meer klopt (want waarde stijgt/daalt) is helemaal niet relevant verder...

Daarnaast geeft die hele zin natuurlijk wel de context dat het de waarde(indicatie) van (crypto)munten betreft en dus niet 'echte' euro's.

[Reactie gewijzigd door watercoolertje op 4 november 2026 13:30]

[dasiro]

jip&janneke moeten het begrijpen en die snappen amper wat crypto is, laat staan hoeveel elke random munt waard is. Daarom wordt alles omgerekend.

Als je leest dat bij een centrale van een wisselkantoor 200 miljoen roebel, 10 miljoen rand, 20 miljoen yen en 2 miljard won is gestolen, kan jij dan inschatten of dat veel of weinig is?

[Anonnymous!]

Dat is ongeveer 5 euro samen.

[dasiro]

Dat is ongeveer 5 euro samen.

wie van de 2 ben jij? jip of janneke

[theduke1989]

dus als ik het goed begrijp was er een recruiter*neppert* die een zogenaamde baan had voor de developer die in Binance werkt? Dus de devop medewerker was natuurlijk enthousiast omdat misschien meer geld te verdienen valt, en is dus op zijn werk laptop gaan solliciteren? heb ik dit zo begrepen?

[Mavex]

Zo heb ik het ook begrepen, maar met een kleine correctie:

..De hack kwam doordat één engineer zijn laptop liet infecteren, zegt Binance.

..Met de malware was het mogelijk de werk-pc van de solliciterende werknemer te infecteren. Vervolgens gebruikten de hackers 'een interne AI-tool' om nog twee Binance-werknemers te infecteren. Dat waren een DevOps-werknemer en een software-engineer die aan Binance-wallets werkten.

Dus via de solliciterende engineer zijn ze bij de DevOps werknemer terecht gekomen.

[Llopigat]

Ja dat noemen ze "lateral movement" in securityland. Ook dat is iets dat een te los security beleid veel makkelijker maakt.

[Reactie gewijzigd door Llopigat op 4 november 2026 13:19]

[trucker0werner]

Ja, althans ik ook.

Dus 1ste punt is werklaptop limiteren of geen werklaptop uitgeven. Nuc kun je niet meenemen of thuis direct echt gebruiken maar wel mee werken op werk.

[Oon]

Limiteren is lastig voor developers die nogal wat persoonlijke tooling gebruiken en vaak bijv. libraries moeten kunnen installeren, en geen laptop is ook geen oplossing in een wereld van gestandaardiseerde apparaten en hybride werken.

[JvdHoudt]

Thuiswerken is geen recht. Als je zulke bevoegdheden hebt vind ik dat je werkgever je best mag verplichten om op kantoor te werken.

[Goldwing1973]

Mede doordat de malware onbekend was, detecteerde Binance die niet op zijn systemen.

Dit had dus ook op kantoor kunnen gebeuren, dus locatie maakte niet veel uit.,

[JvdHoudt]

Dat malware zich niets van een locatie aantrekt snap ik, maar wat ik bedoel is dat ik eraan twijfel of een dergelijk incident gebeurt als deze medewerker geen thuiswerkplek had gehad. Of je moet al zo brutaal zijn om in de baas zijn tijd een sollicatiegesprek te gaan voeren.

[curkey]

Ook op het werk zul je zero trust nodig hebben tegenwoordig.

Het verschil is tegenwoordig praktisch alleen dat je werklaptop allerlei malware monitoring tools heeft draaien. Bij mij loopt systeem access bij de klant altijd via een whitelist procedure van zscaler.

[wiseger]

In de IT werk je ook regelmatig in de avond uren en in het weekend. Dan is bij ons het kantoor gesloten.

Bevoegdheden heb je nodig om je werk te kunnen uitvoeren.

Zo eenvoudig als jij het doet klinken, is het in de praktijk dus niet.

[theduke1989]

Binance heeft genoeg geld. Dus VDI is makkelijk te realiseren met veel RAM/opslag.
En is beter te beveiligen met MFA etc.

En heeft een recruiter niks te zoeken op de VDI machines. Laptops zijn een portaal geworden naar de apps. Meeste outlook apps zijn eigenlijk gewoon web based. Daar is amper geen software lokaal toegepast. Maar het verpakt als app.

[memphis]

Ik heb een verre tijd geleden een tijdje bij de DNB gezeten en daar werkten de developers op een eigen netwerk met gesimuleerde servers om inderdaad dit soort misbruik als ook schadelijke foutjes te voorkomen.

[adje123]

Aangezien bijna niemand in Noord-Korea internet heeft, moet dit wel vanuit de opdracht van de Noord-Koreaanse Bolle Jos komen. Ik weet dat overheidsinstellingen vaker bedrijven en andere overheden hacken, maar hacken om je overheidsbegroting rond te krijgen is wel echt next level.

Maare, de Noord-Koreaanse Bolle Jos wil graag alle slachtoffers bedanken voor het financieren van zijn nieuwe schip.

NAMPO - De Noord-Koreaanse leider Kim Jong-un heeft uitgepakt met ambitieuze plannen voor een nieuw oorlogsschip dat volgens hem zal beschikken over een gevechtssysteem „zoals geen enkel ander land ter wereld heeft”.

[Anonnymous!]

Zijn plannen kunnen wel eens kloppend zijn, bij lancering van het oorlogsschip is de techniek zodanig verouderd dat zelfs de marine van Centraal Afrika dit reeds uitgefaseerd heeft.

[theduke1989]

Halen nu we echt Bolle Jos erbij, hij heeft het al moeilijk in africa met alle aandacht van de Nederlandse interpollisten etc die hem najagen daar!

kijk naar alle nederlandse verslaggevers!

[adje123]

Ik heb Bolle Jos en Kim Jong-Un nog nooit samen in 1 kamer gezien…….., ik kan niks uitsluiten

[Faloude]

Eens

[Waah]

Een slagschip met katapults en rotsen. Geen enkel ander land ter wereld heeft dat!

[SPee]

Maare, de Noord-Koreaanse Bolle Jos wil graag alle slachtoffers bedanken voor het financieren van zijn nieuwe schip.

Is dat niet het schip dat kapseizde bij zijn tewaterlating?

[moimeme]

Of is dat de vliegdekschip die onderweg zijn schroef verloor? Of die brand in zijn wasserette kreeg en te weinig eten had voor de bemanning?

slagschip met katapults en rotsen

Better dan een fregat die op missie ging zonder ammunitie.

Maar die NK hoeven dan ook niet zoveel poen steun geven aan een corrupterende schipbouwer.

Bolle Jos is denk ik een typische nederlandse product.

Nee, sorry, ze zijn de dom slechteriken en wij de goeie slimmeriken.

[Reactie gewijzigd door moimeme op 5 november 2026 15:45]

[Mit-46]

Vanuit mijn beleving is dit wel "next level phishing".

[mocean]

Nee, de sollicitatie met assessment waar je een repo moet clonen zijn echt wel bekend in Crypto land.

[Mit-46]

Ik begeef mij niet in Crypto land. Ben er nog nooit geweest.

Ik ben vooral bekend met de "we spammen jouw mailbox vol met opvallende mailtjes met linkjes" en niet met het daadwerkelijk persoonlijk benaderd worden met een hele sollicatieshow er omheen.

Ben wel eens gebeld dus wat dat betreft ben ik wel eens persoonlijk benaderd, maar dat was altijd een hele slechte "show".

[Reactie gewijzigd door Mit-46 op 4 november 2026 13:07]

[marcelnooijen]

Die medewerker op staande voet ontslaan. Vooral in zijn functie/positie wordt je toch hopelijk wel geleerd dit soort dingen te voorkomen.

[sambalbaj]

In die functie mag je zeker wel weten dat je geen vreemde bestanden op je werklaptop moet (en mag) downloaden en zeker geen vreemde installaties. Dat is inderdaad erg nalatig en gaat vast in tegen een heleboel interne regelgeving.

Sowieso doe je externe online sollicitaties maar op je privelaptop en niet op werkspullen.

[gamezfreak]

Sowieso doe je externe online sollicitaties maar op je privelaptop en niet op werkspullen.

Afhankelijk om wat voor sollicitatie het gaat. Als het gaat om een functie binnen het bedrijf, dan is het werklaptop, is het een functie buiten het bedrijf, dan privé.

Maar ben het met je eens dat je geen vreemde bestanden / code moet openen op je werklaptop, doe dit desnoods in een geïsoleerde VM, die geen koppeling heeft met het productie netwerk. Tegenwoordig moet je toch wel weten of het een verwachte bestand is, of dat het om phising / malware om gaat.

Deze manier doet mij denken aan hoe Linus was gehacked, middels een PDF die wat meer was dan een invoice.

[SunnieNL]

Ik denk dat 80-90% van de mensen met een zakelijke laptop ook privé zaken daar op doet. Browsen, mailen, etc.

Je kunt je ook afvragen waarom deze programmeur al die andere zaken op zijn laptop had staan en waarom er niet gewoon in een vm wordt geprogrammeerd waaruit alle zakelijke bronnen veilig bereikt kunnen worden

[Powerblast]

Mensen maken nu eenmaal fouten, dat kun je nooit 100% voorkomen. Zelfs met alle trainingen ter wereld heb je nog altijd maar soms één klik nodig om een hack op te starten. Vreemde vind ik alleen wel dat hij een sollicatie op de laptop van zijn huidige werkgever aan het doen was .

[Reactie gewijzigd door Powerblast op 4 november 2026 12:20]

[KoningsGap]

Uh of misschien er niet voor zorgen dat 1 laptop bij 6 miljard aan crypto kan? Tuurlijk is de werknemer hier iets aan te rekenen, maar het bedrijf zelf heeft z’n shit ook niet echt op orde.

[Cobalt]

Dit ligt niet perse aan de medewerker. Dit had ook een legitime andere repo kunnen zijn, waarin een specifieke branch of release iets verstopt zit.

Het probleem zit in dat met de laptop ook direct toegang was tot productie zonder verificatie, zonder review proces van andere medewerkers wat ik opmaak uit het artikel.

Het is dus een proces fout.

[Reactie gewijzigd door Cobalt op 4 november 2026 14:49]

[Orky Rulez]

Nee hoor, die werkt er gewoon nog. Ze noemen hem nu wel Mr. 6,3 miljard .

Wat denk je zelf

[marcelnooijen]

[moimeme]

Hij was toch al bezig ergens anders te solliciteren.

[Robru1]

Dat is lief! Een hacker die de helft teruggeeft

[Llopigat]

Zo werkt het niet Ze hebben die transacties kunnen annuleren omdat het om stablecoins ging met toezicht erop.

[FFW]

Of hij creëert vrolijk een extra admin account op de MacBook, waar de Binance security ook niet aan had gedacht. Zo kunnen de kinderen er ook op spelen en met wat geluk kom je ook makkelijk bij de andere accounts die beveiligd zijn met een hergebruikt wachtwoord. En bij het inleveren zet hij er een firmware lock op. Succes er mee. Ik ga voor Kraken werken doei en doe eens allemaal niet zo negatief zeg.

Ik denk dat bij de security bij Binance de meeste ontslagen vallen, niet alleen die ene collega die nu als zondebok wordt aangewezen.

[Reactie gewijzigd door FFW op 4 november 2026 12:43]

[Llopigat]

Eh als je een extra admin account kan aanmaken heb je al veel te veel rechten. Met name als je gaat over software die miljarden dollars beheert.

[Reactie gewijzigd door Llopigat op 4 november 2026 12:47]

[BLACKfm]

"De medewerker deed dat op zijn werklaptop."

Zie hier het risico van werkgevers die in hun vacaturetekst trots zeggen 'En een mobiel en laptop van de zaak'.

De werknemer heeft misschien niet eens een eigen computer en gebruikt de zakelijke laptop vervolgens voor privé zaken waar je als werkgever minder controle op hebt.
En blijkbaar wou deze werknemer ook nog eens ontslag nemen of even zijn 'waarde' checken, die zijn op zich al een extra risico omdat ze niet meer echt denken aan het huidige bedrijfsbelang.

Nu was het een 'DevOp' die beter zou moeten weten, maar het kan net zo goed die ene medewerker van administratie zijn die thuis even geen zin heeft om te betalen voor die ene netflixfilm en maar een willekeurige website/app gebruikt.

[pegagus]

Behalve dat die laptop beveiligd had moeten zijn, is er natuurlijk nog veel meer mis gegaan.

• een systeem wat buiten de normale procedures kan werken.
• er geen vier ogen principe wordt gebruikt.
• het gemak en de snelheid waarmee de bedragen zijn weggesluisd.

Kortom, de beveiliging rammelde aan alle kanten. En wat ik nog steeds niet helder heb, is hoe dit bedrag zich nu verhoudt tot wat er per dag rond gaat. Waarom zat dit bedrag in hot wallets, die direct bruikbaar waren? Onze eigen economie doet er twee dagen over om een dergelijk bedrag te produceren. De totale waarde van bitcoin is momenteel ca. 1.600 miljard dollar. Nu zijn er ook andere munten gestolen, maar het zegt mij wel iets over de omvang die voor het grijpen lag.

[Ruthhl3ss]

Zoals vaker wordt gezegd in de reacties. Er waren 3 medewerkers geïnfecteerd via een onbekende zeroday gebruikt door Noord Koreaanse staatshackers. Zodoende kunnen ze de 4 ogen principes ook over slaan door akkoord te geven vanuit de 3 medewerkers.

Dit waren serieuze hackers. Had het voorkomen moeten worden? Absoluut, maar dit is uiterst geraffineerd gedaan.

[BLACKfm]

Wellicht heb ik het gemist, maar was het niet dat die ene 'sollicitant' is geinfecteerd en via die hack weer 2 andere collega's?

Maar zeker geraffineerd gedaan. Beetje zelfde niveau als de Radar/Kassa/Opgelicht
phishing verhalen van semi-oude mensen van 'Hoe kun je hier nou intrappen'.

Lijkt mij dat de bewuste persoon is 'gevraagd' om elders te werken en zo een sollicitatiegesprek in is gelokt. Tja, als iemand al op de wipstoel zit gaan er in principe helemaal geen alarmbellen rinkelen. Wellicht was die repo die gedownload moest worden
ook iets wat niet bijzonder is in een dergelijke traject.

En je kan alles nog zo beveiligd hebben, als je vervolgens een tunnel in je huis krijgt hoef je ook niet langs alle poortjes en hangsloten. We kunnen hier allemaal benoemen wat er fout is gegaan, in de basis had een kritiek systeem als een werklaptop niet gebruikt mogen worden voor (dergelijke) privézaken.

[Ruthhl3ss]

Deze quote:


..De hack kwam doordat één engineer zijn laptop liet infecteren, zegt Binance.

..Met de malware was het mogelijk de werk-pc van de solliciterende werknemer te infecteren. Vervolgens gebruikten de hackers 'een interne AI-tool' om nog twee Binance-werknemers te infecteren. Dat waren een DevOps-werknemer en een software-engineer die aan Binance-wallets werkten.

Vervolgens binnen 4 minuten die 6 miljard buit maken. Ik ken geen SOC die dat even gaat tegenhouden.

Uiteraard had de Engineer de repo nooit mogen downloaden op zijn werklaptop maar dit soort dingen gebeuren overal en het zal altijd blijven gebeuren.

Weet jij of de engineer lokale permissies had? Of draaide dit in user context en was dat voldoende? Ik vermoed het eerste wat natuurlijk eigenlijk nooit zou moeten mogen.

[BLACKfm]

Ik weet niks meer dan hier is verteld, maar ik acht in 99,9% van de gevallen de gebruiker/mens de zwakste schakel.

Aldus andere kanalen zouden er al over een langere periode pogingen zijn gedaan om 'binnen te komen', en dat kan je dan denk ik hetzelfde zien als een linkedin account waar elke week wel weer 10 recruiters om een kopje koffie smeken, en je na 150 berichten die 151e dan toch maar eens een kans geeft. Maar van die 151 personen was er misschien maar 1 die echt een ander bedrijf was en de andere 150 dus een poging van Noord Korea om een weg naar binnen te krijgen.

En dan kun je alles nog zo goed beveiligen top op het bot, als het systeem van die ene persoon die wel enige rechten heeft wordt gecompromitteerd, heeft het allemaal geen nut gehad.