Bij Binance, de grootste cryptobeurs ter wereld, is 6,36 miljard dollar aan cryptovaluta weggesluisd. De sporen van deze recordroof leiden naar Noord-Koreaanse hackers. Hoe kon dit gebeuren, en hoe veilig is geld op een cryptobeurs? ‘Als de technische beveiliging op orde is, zijn mensen de zwakke plek.’
is economieverslaggever bij de Volkskrant. Ze schrijft vooral over vervoer en cryptovaluta.
1. Zijn klanten hun geld kwijt?
Binance belooft alle verliezen te vergoeden. Daarvoor gebruikt het bedrijf, dat vanuit Abu Dhabi opereert, een reservefonds met ongeveer 1 miljard dollar aan bitcoin en eigen middelen. Volgens medeoprichter Yi He is de jaarlijkse omzet voldoende om de verliezen te dekken.
Cybersecurityonderzoeker Kris Oosthoek van de TU Delft noemt het logisch dat Binance gedupeerde klanten tegemoetkomt. ‘Het bedrijf heeft een reputatie hoog te houden.’ Voor kleinere cryptobeurzen zou het veel moeilijker zijn om zo’n miljardenverlies op te vangen.
Ongeveer de helft van de buit is inmiddels bevroren. Het gaat daarbij voornamelijk om stablecoins: cryptomunten die de waarde van de dollar volgen, zoals die van Tether en Circle.
‘Deze stablecoins hebben een functionaliteit ingebouwd waardoor de uitgever tegoeden op de blockchain kan bevriezen’, zegt hoogleraar Maarten van Oordt van de Vrije Universiteit Amsterdam. De hackers kunnen die munten dan niet meer verplaatsen. ‘In het verleden is deze functionaliteit ook gebruikt om honderden miljoenen te bevriezen die gelinkt werden aan Iran.’
Bij bitcoin en ether, de munt van het Ethereum-netwerk, is zo’n ingreep niet mogelijk: achter die munten zit geen bedrijf dat tegoeden kan bevriezen. Dat maakt het voor Binance een stuk ingewikkelder om dat deel van de buit terug te krijgen.
2. Hoe kon deze hack plaatsvinden?
Aanvankelijk wees Binance naar een gehackte medewerkerslaptop. Inmiddels spreekt het bedrijf van een ‘complexe aanval’ waarbij ‘meerdere toegangspunten zijn ontdekt’. Wat dat precies inhoudt, is niet bekendgemaakt. Het merendeel van de cryptovaluta werd binnen twintig minuten weggesluisd.
TRM Labs, een bedrijf dat cryptotransacties onderzoekt en opsporingsdiensten ondersteunt, vermoedt dat de aanvallers het systeem konden misbruiken waarmee Binance transacties digitaal ondertekent. Zie het als een kluis, zei de Hongkongse advocaat Joshua Chu tegen Reuters. ‘De aanvaller heeft mogelijk niet de kluissleutel gestolen, maar het systeem gekaapt dat de kluis opdracht geeft geld vrij te geven.’
Grote cryptoplatforms als Binance investeren veel in hun technische beveiliging, zegt Oosthoek. Maar dat geldt niet voor alle aanbieders. En ook een technisch goed beveiligd platform blijft kwetsbaar voor aanvallen via medewerkers. ‘Als de technische beveiliging op orde is, zijn mensen de zwakke plek.’
Twee dagen voor de hack meldde Binance Noord-Koreaanse aanvallen te hebben afgeslagen. De hackers probeerden binnen te dringen via een beproefde methode met nepsollicitaties. Een programmeur wordt dan bijvoorbeeld via LinkedIn benaderd en krijgt een aantrekkelijke baan voorgespiegeld. Voor een sollicitatietest moet hij software installeren of code uitvoeren. Daarmee krijgen de aanvallers toegang tot de computer. Of deze hack ook zo begon, is niet vastgesteld.
3. Wie zijn de Noord-Koreanen naar wie wordt gewezen als daders van deze hack?
TRM schrijft de aanval met grote zekerheid toe aan TraderTraitor, een aan Noord-Korea gelieerde hackersgroep. Die werd ook door de FBI verantwoordelijk gehouden voor de roof bij Bybit, in februari vorig jaar. Daarbij werd 1,5 miljard dollar buitgemaakt. Chainalysis, dat eveneens cryptotransacties onderzoekt, ziet ook een Noord-Koreaanse connectie.
Onderzoekers kunnen de geldstromen volgen via de blockchain, het openbare register waarin cryptotransacties worden vastgelegd. Althans, tot op zekere hoogte, legt Oosthoek uit. Hackers proberen hun sporen te verhullen door onder meer gebruik te maken van de digitale dienst ‘Tornado Cash’. Daarin kunnen gebruikers cryptomunten storten, om die later via een andere digitale portemonnee weer op te nemen.
‘Je moet het vergelijken met dat jij en ik en nog heel veel andere mensen crimineel geld hebben en dat allemaal in een tombola gooien’, zegt Oosthoek. De gestolen munten komen samen met die van andere gebruikers, die niet bij de roof betrokken hoeven te zijn. Daardoor is moeilijk vast te stellen welke opname bij welke storting hoort.
Volgens Oosthoek zijn deze hackers uiterst geraffineerd en opereren ze in dienst van de staat. ‘Noord-Korea heeft cryptodiefstal als verdienmodel.’ Westerse veiligheidsdiensten stellen dat de opbrengsten onder meer worden gebruikt om het Noord-Koreaanse kernwapenprogramma te financieren.
4. Hoe goed zijn klanten van cryptobeurzen beschermd?
Dat hangt onder meer af van de beurs waarbij ze hun geld onderbrengen. Voor cryptotegoeden bestaat geen depositogarantiestelsel, dat bij een bankfaillissement tot 100 duizend euro per persoon per bank beschermt. Volgens Oosthoek heeft Binance wel ‘een morele verantwoordelijkheid’ om klanten te compenseren.
Daarnaast kunnen cryptobeurzen juridisch aansprakelijk zijn. Onder de Europese cryptowet Mica zijn bedrijven die cryptovaluta voor klanten bewaren verantwoordelijk voor verliezen door incidenten die hen kunnen worden toegerekend, bijvoorbeeld als de beveiliging niet op orde is.
Saillant is dat Binance dit jaar geen Mica-vergunning heeft verkregen. Deze Europese cryptowet geldt sinds eind 2024 voor cryptodienstverleners en moet klanten beter beschermen, onder meer door strengere eisen te stellen aan de bedrijfsvoering en de bescherming van klanttegoeden.
Binance trok zijn aanvraag in Griekenland in juni in. Welke bezwaren daarbij speelden, is niet duidelijk. Nederlanders kunnen nog wel een account bij Binance hebben, maar kunnen niet zonder meer rekenen op de bescherming die Mica biedt. Dat kan het moeilijker maken om hun geld terug te krijgen als hun cryptomunten worden gestolen of het platform failliet gaat.
5. Kunnen opsporingsdiensten het gestolen geld nog terughalen?
Binance zegt samen te werken met opsporingsdiensten. Voorlopig kunnen klanten geen geld opnemen. Het bedrijf wil eerst zeker weten dat de hackers geen toegang meer hebben tot zijn systemen.
De hackers proberen ondertussen te voorkomen dat hun buit wordt geblokkeerd. Volgens TRM hebben ze stablecoins ingeruild voor ether, de cryptomunt van het Ethereum-netwerk. Ook hebben ze gestolen tegoeden als onderpand gebruikt om ether te lenen. Alleen al aan bitcoin en ether zouden zij ongeveer 2,4 miljard dollar bezitten.
Hackers hebben niet volledig vrij spel. Mochten ze de munten naar een cryptobeurs of tussenhandelaar sturen, bijvoorbeeld om ze in te wisselen voor dollars, dan kan die partij de tegoeden alsnog blokkeren. Aangezien steeds meer partijen weten welke digitale portemonnees bij de roof zijn betrokken, wordt het moeilijker om de buit ongemerkt in te wisselen.
Daarnaast kunnen opsporingsdiensten proberen de digitale sleutels te bemachtigen die toegang geven tot de buit. Amerikaanse onderzoekers kregen dat in 2022 voor elkaar: zij namen ruim 94 duizend bitcoin in beslag die zes jaar eerder bij cryptobeurs Bitfinex waren gestolen.
Geselecteerd door de redactie
Source: Volkskrant