Binance gehackt: wat de grootste cryptohack ooit leert over jouw beveiliging

Op donderdag 29 oktober werd Binance, de grootste cryptobeurs ter wereld, getroffen door de grootste cryptohack ooit. Binance schat de totale schade op ongeveer 6,3 miljard dollar, omgerekend zo’n 5,6 miljard euro. Het startpunt was geen geavanceerde aanval op de blockchain. Het was de laptop van één medewerker.

Ook als jouw organisatie niets met crypto doet, is deze aanval relevant. De aanvalsroute is dezelfde die we bij gewone bedrijven zien.

Wat is er gebeurd bij Binance?

Volgens het eerste onderzoek van Binance kreeg de aanvaller toegang via de gecompromitteerde laptop van een DevOps-engineer. Vanaf die laptop kwam de aanvaller bij een zogenoemde service container, waar hij opnametransacties kon indienen zonder geldige goedkeuring. Binance zegt geen bewijs te hebben gevonden dat de private keys van wallets zijn gelekt. De aanvaller hoefde die sleutels dus niet te stelen. Hij gebruikte simpelweg systemen die al gemachtigd waren om transacties uit te voeren.

Binance zette alle stortingen en opnames tijdelijk stil, trok de getroffen autorisaties in en schakelde opsporingsdiensten in. Samen met blockchainpartners werd ongeveer 3 miljard dollar bevroren. Binance belooft alle verliezen van gebruikers te vergoeden. Tweakers en BNR berichtten uitgebreid over de aanval.

Blockchain-onderzoeksbureaus zoals Chainalysis en TRM Labs wijzen met hoge zekerheid naar Noord-Korea. Overheden hebben dat nog niet officieel bevestigd, en de bedragen zijn voorlopige schattingen.

Niet de eerste keer: het patroon achter de aanval

Het vorige record stond ook op naam van Noord-Korea. In februari 2025 werd bij cryptobeurs Bybit bijna 1,5 miljard dollar gestolen. De FBI schreef die aanval toe aan TraderTraitor, een onderdeel van de beruchte Lazarus-groep. Ook daar begon het bij de computer van een ontwikkelaar, in dat geval bij een leverancier van Bybit.

Deze groep valt zelden de techniek frontaal aan. Ze richt zich op mensen. Ontwikkelaars en beheerders krijgen nepvacatures, besmette bestanden of software die echt lijkt. Eén klik is genoeg om een laptop over te nemen. Daarna gebruikt de aanvaller de rechten van die medewerker om ongezien verder te komen.

Waarom dit ook jouw organisatie aangaat

Vervang “crypto-wallet” door “betaalsysteem”, “klantdatabase” of “productieomgeving” en je ziet hetzelfde risico. Wij halen er drie lessen uit.

1. De laptop van een beheerder is een kroonjuweel

Wie de laptop van een ontwikkelaar of IT-beheerder in handen heeft, heeft vaak ook toegang tot cloudomgevingen, servers en scripts. Deze apparaten verdienen daarom extra bescherming. Met Endpoint Detection & Response herken je verdacht gedrag op de laptop zelf en kun je een besmet apparaat direct isoleren, voordat de aanvaller verder komt.

2. Rechten zijn het nieuwe doelwit

De aanvaller bij Binance brak geen versleuteling. Hij misbruikte bestaande rechten. Identities are the new vulnerabilities. Beperk daarom wat één account of één systeem kan doen. Laat kritieke handelingen, zoals grote betalingen of wijzigingen in productie, altijd door een tweede persoon of systeem goedkeuren. En controleer regelmatig wie welke rechten heeft, en waarom.

3. Snelheid bepaalt de schade

Binance kon ongeveer de helft van het geld bevriezen doordat er snel werd gereageerd. Aanvallen gebeuren vaak ’s nachts of in het weekend. Zonder 24/7 monitoring zie je ze pas de volgende ochtend, en dan is het te laat. Een Security Operations Center houdt je omgeving dag en nacht in de gaten, ziet het als een geldig account iets ongebruikelijks doet en grijpt direct in.

Wat zegt NIS2 hierover?

Onder NIS2 en de Nederlandse Cyberbeveiligingswet moeten organisaties in essentiële en belangrijke sectoren onder meer:

• passende maatregelen nemen voor toegangsbeheer en de beveiliging van systemen;
• ernstige incidenten binnen 24 uur vroegtijdig melden;
• aantonen dat het bestuur actief toezicht houdt op cyberrisico’s.

Voor financiële instellingen en cryptodienstverleners komt DORA daar nog bovenop.

De aanval op Binance laat zien waarom die eisen er zijn. Zonder detectie kun je niet binnen 24 uur melden. En zonder goed toegangsbeheer kan één laptop de hele organisatie raken. Cybersecurity is daarmee geen IT-onderwerp meer, maar een verantwoordelijkheid van de directie.

Waar sta jij?

Stel jezelf drie vragen:

• Weten we welke medewerkers en apparaten toegang hebben tot onze kritieke systemen?
• Merken we het als een geldig account op een vreemd moment iets ongebruikelijks doet?
• Kunnen we binnen een uur een besmet apparaat isoleren en een account blokkeren?

Twijfel je bij een van deze vragen? Met een Cybersecurity Assessment weet je binnen één tot twee werkdagen waar je staat, ook ten opzichte van NIS2, en welke stappen het meeste opleveren.

Don’t panic. We’ve got your back. Bel ons op 088 000 2000 of mail naar info@access42.nl voor een vrijblijvend gesprek.