Binance treft grootste cryptoroof ooit, klanten tijdelijk niet bij tegoeden

Noord-Koreaanse staatshackers zitten vermoedelijk achter de aanval op cryptobeurs Binance, blijkt uit het operationele patroon van de inbraak. Dat concluderen gespecialiseerde cryptoanalysebedrijven, die een vergelijkbaar patroon al eerder aan Noord-Koreaanse hackgroepen koppelden. Zo’n speurtocht naar de herkomst van een hack steunt op patronen in portemonnee-adressen en witwasroutes. Een directe bekentenis is er niet. Bij de aanval op ’s werelds grootste cryptobeurs raakte naar schatting 6,3 miljard dollar aan cryptomunten betrokken, ruim 5,6 miljard euro. Meerdere media noemen dat de grootste cryptoroof uit de geschiedenis van de sector. Zoveel geld buitmaken bij één bedrijf, in één aanval, is zonder precedent in de cryptosector.

Binance zegt dat de aanvallers aanvankelijk binnenkwamen via de gehackte laptop van een medewerker, om vandaar geld weg te sluizen. Later noemde het bedrijf de aanval complexer: meerdere kwetsbaarheden tegelijk, niet simpelweg één gestolen laptop. Zo’n bijstelling is gangbaar bij grote hacks, ook buiten de cryptosector. De eerste reconstructie na een aanval is vaak onvolledig; pas forensisch onderzoek achteraf legt de volledige keten van kwetsbaarheden bloot die aanvallers hebben benut. Grote beurzen scheiden de systemen van medewerkers normaal gesproken van de systemen met cryptotegoeden van klanten. Dat moet zo’n scenario net voorkomen.

Van het buitgemaakte bedrag heeft Binance ongeveer 3 miljard dollar terugvonden en bevroren, zodat het niet in verkeerde handen valt. Over het lot van het resterende bedrag, ruim 3 miljard dollar, deed het bedrijf vrijdag geen uitspraak. Zo’n bevriezing kan alleen zolang het geld nog op een adres staat dat beurzen en uitgevers van munten herkennen en kunnen blokkeren. Is het bedrag eenmaal omgewisseld voor een andere cryptomunt of weggesluisd naar een onbekend adres, dan is ingrijpen achteraf vaak niet meer mogelijk. Dat verklaart waarom Binance wel kon melden hoeveel geld het terugvond, maar niet wat er met de rest is gebeurd.

Grote hacks bij cryptobeurzen raken niet alleen de beurs zelf. Ze voeden ook de discussie over toezicht op dit soort platforms. Internationaal vallen ze niet overal onder dezelfde regels als banken. Spaarders kennen van de bank het vangnet van het depositogarantiestelsel. Bij een cryptobeurs is er geen vergelijkbare overheidsgarantie. Raakt een platform zelf getroffen door een aanval of fraude, dan dekt niemand de tegoeden van klanten; het risico ligt dan bij de gebruiker zelf.

Voor klanten van Binance was het gevolg vrijdag direct voelbaar: ze konden niet bij hun eigen tegoeden. Binance schortte stortingen en opnames op zodra de vermoedelijke roof aan het licht kwam. Wie geld op het platform had staan, kon dat niet opnemen. Omwisselen voor een andere munt of overboeken naar een andere beurs ging evenmin; het bedrag bleef ondertussen wel op naam staan. Zodra een beurs zulke noodmaatregelen neemt, zitten klanten vaak dagenlang vast aan hun eigen geld. Dat geldt ook voor wie zelf part noch deel heeft aan de oorzaak van het probleem. Binance verwacht dat klanten weer bij hun tegoeden kunnen zodra de veiligheidscontroles zijn afgerond, naar eigen zeggen binnen ongeveer 48 uur.