Default
Door Remote - 03 Nov 2026
In het kort
Noord-Koreaanse hackers zouden vorige week 6,3 miljard dollar hebben gestolen uit Binance, de grootste cryptohack ooit.
Hun methoden variëren van ingehuurd worden onder valse identiteiten tot het vergiftigen van codebibliotheken en het compromitteren van de portemonnee-infrastructuur van derden.
AI maakt deze aanvallen overtuigender, waarbij deepfakes al opduiken in nep-interviews.
Hackers uit Noord-Korea zijn notoir effectief in het stelen van cryptovaluta; volgens één schatting werd vorig jaar 60% van alle verliezen toegeschreven aan aan de DVK gelieerde groepen. Deze hackers maken gebruik van verschillende aanvalsvectoren, waardoor het des te moeilijker wordt om ze op heterdaad te ontdekken.
Vorige week duurde het slechts 20 minuten voordat vermeende Noord-Koreaanse hackers 6,3 miljard dollar uit Binance wisten te halen, wat de grootste crypto-hack ooit is. De aanvallers hebben de werkcomputer van een Binance-ingenieur gecompromitteerd via een nep-sollicitatiegesprek, gebruikten een interne AI-tool om controle te krijgen over de computers van andere ingenieurs en gebruikten vervolgens gestolen inloggegevens om een interne dienst voor het ondertekenen van portemonnees te kapen, aldus de beurs.
https://t.co/sU9dUqLQDH
— Binance (@binance) 3 november 2026
In het verleden is het bekend dat Noord-Koreaanse hackers werden ingehuurd bij cryptobedrijven onder valse identiteiten, aanvallen via infrastructuur van derden en veelgebruikte codebibliotheken vergiftigden. Meer recentelijk zijn ze AI gaan gebruiken om het allemaal overtuigender te maken.
Hier zijn enkele voorbeelden van de methoden waarvan bekend is dat Noord-Koreaanse hackers deze gebruiken bij crypto-aanvallen.
Nepmedewerkers Jimmy Su, hoofdveiligheidsfunctionaris van Binance, vertelde Decrypt in augustus 2025 dat de beurs elke dag vermoedelijke Noord-Koreaanse cv's weggooit, en dat bij "bijna alle grote DVK-hacks" destijds een nepmedewerker betrokken was die de aanval hielp faciliteren.
Su zei dat er verklikkers in cv's stonden die erop wezen dat de sollicitant uit Noord-Korea kwam, maar dat de beurs niet bereid was de details van de alarmsignalen bekend te maken. Soms dringen kwaadwillende actoren echter door tot de interviewfase, waar de aanvallers deepfakes gebruiken om hun gezicht en stem te veranderen.
"De enige echte goede detectie is dat ze bijna altijd een trage internetverbinding hebben", vertelde hij aan Decrypt. "Wat er gebeurt, is dat de vertaling en de stemwisselaar werken tijdens het gesprek... daarom zijn ze altijd vertraagd."
Degenen die wel worden aangenomen, zijn doorgaans verdacht goed in hun werk. Su zei dat Noord-Koreaanse werknemers vaak tot de toppresteerders van een bedrijf behoren, waarschijnlijk omdat meerdere mensen in verschillende tijdzones dezelfde rol kunnen vervullen.
De dreiging is niet verdwenen. Binance zei dat zijn beveiligingsteam in 2026 57 vermoedelijke Noord-Koreaanse cyberdreigingsgevallen heeft gedetecteerd en voorkomen, met behulp van technieken variërend van frauduleuze sollicitatiegesprekken tot nep-apps voor videoconferenties.
Valse sollicitatiegesprekkenAanvallers draaien de zwendel ook om en doen zich voor als recruiters om zich te richten op mensen die al bij spraakmakende cryptobedrijven werken. Vaak beweert de aanvaller tijdens het interview dat er een video- of audioprobleem is en stuurt hij het slachtoffer een link om Zoom te updaten, waardoor het apparaat met malware wordt geïnfecteerd.
“De Noord-Koreaanse groep zal [ook] proberen gesprekken te plannen met de externe medewerkers”, vertelde Su aan Decrypt. 'Hetzij als een DeFi-project, hetzij als beleggingsonderneming. Het ergste nog is dat ze hen recruteren voor een baan op hoog niveau, waarbij ze twee tot drie keer zoveel betalen, alleen maar om ze op een sollicitatiegesprek te krijgen.'
Dit is hoe de Binance-aanval begon, volgens de beurs. In september werd een software-ingenieur van Binance benaderd via een legitiem platform voor het zoeken naar een baan door iemand die zich voordeed als projectdirecteur, die twee interviews regelde. In het eerste geval bouwde een vermeende HR-vertegenwoordiger vertrouwen op via een live videogesprek door een socialemedia-account vol persoonlijke foto's en video's te delen, een aanpak die Binance 'geavanceerd en bedrieglijker noemde dan eerder werd gezien'.
In de tweede, die via een chat-app werd gehouden, kreeg de ingenieur te horen dat hij een ‘opdracht’ naar zijn werkcomputer moest downloaden. De coderepository bevatte voorheen onbekende malware die tijdens de installatie werd uitgevoerd, een legitieme ontwikkelaarstool verwisselde voor een kwaadaardige versie en verbinding maakte met een door een aanvaller bestuurde server, waardoor de beveiligingstools van Binance werden omzeild.
Een aan Noord-Korea gelinkte groep infecteerde tussen grofweg december 2025 en juli 2026 minstens 30.000 apparaten in meer dan 100 landen met behulp van vergelijkbare methoden. Er waren fondsen of inloggegevens nodig van meer dan 7.000 crypto-wallets en er werd ongeveer $10,71 miljoen naar Noord-Korea verplaatst.
De groep, bekend als WaterPlum of Contagious Interview, deed zich voor als AI-, crypto- of NFT-bedrijven en gaf kandidaten een technisch interview of codeeropdracht waarbij ze met malware gevulde bestanden moesten downloaden. Sommigen gebruikten AI-face-swapping-software tijdens interviews voordat ze hun video afsneden en de kandidaat vroegen hetzelfde te doen, waarbij ze de schuld gaven aan een slechte verbinding.
Bibliotheekvergiftiging Su van Binance vertelde Decrypt ook dat Noord-Koreaanse hackers openbare codebibliotheken vergiftigen en dit beschouwen als de op een na meest voorkomende aanvalsmethode, na nepwerknemers.
Node Package Manager-pakketten (NPM) zijn verzamelingen herbruikbare, open-sourcecode die ontwikkelaars vaak gebruiken. Aanvallers kunnen deze pakketten klonen en er een kleine regel kwaadaardige code in glippen, terwijl de oorspronkelijke functie behouden blijft. Dat betekent dat een slachtoffer deze vergiftigde codebibliotheek kan gebruiken zonder het te merken, waarbij de kwaadaardige code zich in de loop van de tijd steeds dieper verankert naarmate er meer bovenop wordt gebouwd.
In september 2025 vond softwarebeveiligingsbedrijf ReversingLabs twee NPM-pakketten die slimme contracten van Ethereum gebruikten om malware te downloaden, die het bedrijf naar eigen zeggen nog niet eerder had gezien. De pakketten waren gekoppeld aan een breder netwerk van GitHub-opslagplaatsen, meestal gebrandmerkt als crypto-handelsbots, met duizenden commits en sterren waarvan ReversingLabs denkt dat ze grotendeels nep waren.
Voorspellen·EconomieWelke bedrijven zullen vóór 2027 naar de beurs gaan? Antropisch94%JaNeeFreddie Mac50%JaNeeCelonis50%JaNeeDiscord49%JaNeeOpenAI8%JaNee+24 extra uitkomsten+23 extra uitkomsten$623,25K volume1 januariSluit: 1 januari 2027, 04:59 UTCSluit: 1 januari 2027, 04:59 UTC De tactiek maakte deel uit van een ‘geavanceerde campagne’ van kwaadwillende actoren die probeerden gebruikers te hacken via vergiftigde blockchain-gerelateerde openbare codebibliotheken, een aanvalsvector die Binance eerder heeft toegeschreven aan Noord-Koreaanse hackers.
Om de dreiging tegen te gaan, zegt Su, laat Binance werknemers met een fijne kam door NPM-bibliotheken gaan.
Gemanipuleerde ontwikkelaarstools speelden ook een rol bij de Binance-hack. In juni downloadde een lid van Binance's portemonnee-DevOps-team een gemanipuleerde installatie van Homebrew, een populair software-installatieprogramma, terwijl hij probeerde een AI-coderingstool te installeren die hij via een zoekmachine had gevonden, aldus de beurs. Het beveiligingsteam heeft het probleem ontdekt, het apparaat vervangen en zijn inloggegevens gerouleerd, maar het incident stelde de ingenieur en zijn collega's van het portemonnee-infrastructuurteam bloot aan de aanvallers.
Infrastructuuraanvallen Vóór Binance behoorde het ongewenste record voor de grootste crypto-hack toe aan Bybit, die in februari 2025 1,4 miljard dollar verloor. Cyberbeveiligingsbedrijven onthulden dat Noord-Koreaanse hackers de aanval hadden afgeslagen door kwaadaardige code in de infrastructuur van Safe te plaatsen, een aanbieder van crypto-portemonnees die door de beurs wordt gebruikt.
De beveiligingsbedrijven zeiden dat kwaadaardige JavaScript-code rechtstreeks in de online infrastructuur van Safe werd geïnjecteerd. Het was echter onduidelijk hoe de aanvallers dit voor elkaar kregen.
De infrastructuur van Bybit "werd niet aangetast", vertelde de beurs aan Decrypt, en de hack kwam puur omdat een derde partij werd uitgebuit.
De Binance-aanval was gericht op de eigen systemen van de beurs. Op 29 oktober gebruikte de aanvaller gestolen inloggegevens om een container in te zetten en ongeautoriseerde toegang te krijgen tot een interne dienst voor het ondertekenen van portemonnees, waarmee transacties buiten het normale opnameproces van Binance konden worden geïnitieerd. Op Ethereum gebruikte het de ondertekeningsservice om EIP-7702 te exploiteren, een mechanisme waarmee een account uitvoeringsrechten aan een slim contract kan delegeren, waardoor een door de aanvaller gecontroleerd contract gedeeltelijke controle krijgt over een Binance hot wallet.
Deze on-chain autorisaties bleven werken, zelfs nadat Binance de opnames had opgeschort. Omdat de hot wallet gebruik maakte van berekeningen met meerdere partijen, was er geen enkele privésleutel die Binance kon gebruiken om deze snel in te trekken, aldus de exchange.
Door AI aangedreven oplichtingElk van de hierboven genoemde aanvalsvectoren kan worden voorzien van een turbo met kunstmatige intelligentie-tools.
Begin dit jaar waarschuwde Google voor een door AI aangedreven malwarecampagne gericht op cryptobedrijven uit Noord-Korea. Op dezelfde manier zei Su van Binance ook dat AI-tools kunnen worden gebruikt om de effectiviteit van aanvallen te vergroten.
De zorgen over AI-aangedreven hacks zijn de afgelopen maanden toegenomen, waarbij Ethereum-medeoprichter Vitalik Buterin in oktober zei dat het “plausibel” is dat AI de encryptie binnen de komende twee jaar kan doorbreken. Het kwam te midden van een explosie van AI-gestuurde wiskunde, waarbij OpenAI beweerde een 90 jaar oud wiskundeprobleem binnen enkele dagen te hebben opgelost. Deskundigen drongen er bij de industrie op aan zich voor te bereiden op AI-aangedreven aanvallen op encryptie.
Er zijn geen bevestigde berichten dat Noord-Koreaanse hackers AI gebruiken om de encryptie te kraken. Maar gezien hoe snel ze AI elders hebben ingevoerd, moet de industrie zich daar misschien op voorbereiden.
Dagelijkse debriefing NieuwsbriefBegin elke dag met de belangrijkste nieuwsverhalen van dit moment, plus originele artikelen, een podcast, video's en meer.
E-mailadres Word gratis lid Sluit u aan bij meer dan 72.000 lezers
Maak een account aan om uw artikelen op te slaan. Voeg toe op Google Voeg Decrypt toe als uw favoriete bron om meer van onze verhalen op Google te zien.
Noord-Koreaanse hackers zouden vorige week 6,3 miljard dollar hebben gestolen uit Binance, de grootste cryptohack ooit.
Hun methoden variëren van ingehuurd worden onder valse identiteiten tot het vergiftigen van codebibliotheken en het compromitteren van de portemonnee-infrastructuur van derden.
AI maakt deze aanvallen overtuigender, waarbij deepfakes al opduiken in nep-interviews.
Hackers uit Noord-Korea zijn notoir effectief in het stelen van cryptovaluta; volgens één schatting werd vorig jaar 60% van alle verliezen toegeschreven aan aan de DVK gelieerde groepen. Deze hackers maken gebruik van verschillende aanvalsvectoren, waardoor het des te moeilijker wordt om ze op heterdaad te ontdekken.
Vorige week duurde het slechts 20 minuten voordat vermeende Noord-Koreaanse hackers 6,3 miljard dollar uit Binance wisten te halen, wat de grootste crypto-hack ooit is. De aanvallers hebben de werkcomputer van een Binance-ingenieur gecompromitteerd via een nep-sollicitatiegesprek, gebruikten een interne AI-tool om controle te krijgen over de computers van andere ingenieurs en gebruikten vervolgens gestolen inloggegevens om een interne dienst voor het ondertekenen van portemonnees te kapen, aldus de beurs.
https://t.co/sU9dUqLQDH
— Binance (@binance) 3 november 2026
In het verleden is het bekend dat Noord-Koreaanse hackers werden ingehuurd bij cryptobedrijven onder valse identiteiten, aanvallen via infrastructuur van derden en veelgebruikte codebibliotheken vergiftigden. Meer recentelijk zijn ze AI gaan gebruiken om het allemaal overtuigender te maken.
Hier zijn enkele voorbeelden van de methoden waarvan bekend is dat Noord-Koreaanse hackers deze gebruiken bij crypto-aanvallen.
Nepmedewerkers Jimmy Su, hoofdveiligheidsfunctionaris van Binance, vertelde Decrypt in augustus 2025 dat de beurs elke dag vermoedelijke Noord-Koreaanse cv's weggooit, en dat bij "bijna alle grote DVK-hacks" destijds een nepmedewerker betrokken was die de aanval hielp faciliteren.
Su zei dat er verklikkers in cv's stonden die erop wezen dat de sollicitant uit Noord-Korea kwam, maar dat de beurs niet bereid was de details van de alarmsignalen bekend te maken. Soms dringen kwaadwillende actoren echter door tot de interviewfase, waar de aanvallers deepfakes gebruiken om hun gezicht en stem te veranderen.
"De enige echte goede detectie is dat ze bijna altijd een trage internetverbinding hebben", vertelde hij aan Decrypt. "Wat er gebeurt, is dat de vertaling en de stemwisselaar werken tijdens het gesprek... daarom zijn ze altijd vertraagd."
Degenen die wel worden aangenomen, zijn doorgaans verdacht goed in hun werk. Su zei dat Noord-Koreaanse werknemers vaak tot de toppresteerders van een bedrijf behoren, waarschijnlijk omdat meerdere mensen in verschillende tijdzones dezelfde rol kunnen vervullen.
De dreiging is niet verdwenen. Binance zei dat zijn beveiligingsteam in 2026 57 vermoedelijke Noord-Koreaanse cyberdreigingsgevallen heeft gedetecteerd en voorkomen, met behulp van technieken variërend van frauduleuze sollicitatiegesprekken tot nep-apps voor videoconferenties.
Valse sollicitatiegesprekkenAanvallers draaien de zwendel ook om en doen zich voor als recruiters om zich te richten op mensen die al bij spraakmakende cryptobedrijven werken. Vaak beweert de aanvaller tijdens het interview dat er een video- of audioprobleem is en stuurt hij het slachtoffer een link om Zoom te updaten, waardoor het apparaat met malware wordt geïnfecteerd.
“De Noord-Koreaanse groep zal [ook] proberen gesprekken te plannen met de externe medewerkers”, vertelde Su aan Decrypt. 'Hetzij als een DeFi-project, hetzij als beleggingsonderneming. Het ergste nog is dat ze hen recruteren voor een baan op hoog niveau, waarbij ze twee tot drie keer zoveel betalen, alleen maar om ze op een sollicitatiegesprek te krijgen.'
Dit is hoe de Binance-aanval begon, volgens de beurs. In september werd een software-ingenieur van Binance benaderd via een legitiem platform voor het zoeken naar een baan door iemand die zich voordeed als projectdirecteur, die twee interviews regelde. In het eerste geval bouwde een vermeende HR-vertegenwoordiger vertrouwen op via een live videogesprek door een socialemedia-account vol persoonlijke foto's en video's te delen, een aanpak die Binance 'geavanceerd en bedrieglijker noemde dan eerder werd gezien'.
In de tweede, die via een chat-app werd gehouden, kreeg de ingenieur te horen dat hij een ‘opdracht’ naar zijn werkcomputer moest downloaden. De coderepository bevatte voorheen onbekende malware die tijdens de installatie werd uitgevoerd, een legitieme ontwikkelaarstool verwisselde voor een kwaadaardige versie en verbinding maakte met een door een aanvaller bestuurde server, waardoor de beveiligingstools van Binance werden omzeild.
Een aan Noord-Korea gelinkte groep infecteerde tussen grofweg december 2025 en juli 2026 minstens 30.000 apparaten in meer dan 100 landen met behulp van vergelijkbare methoden. Er waren fondsen of inloggegevens nodig van meer dan 7.000 crypto-wallets en er werd ongeveer $10,71 miljoen naar Noord-Korea verplaatst.
De groep, bekend als WaterPlum of Contagious Interview, deed zich voor als AI-, crypto- of NFT-bedrijven en gaf kandidaten een technisch interview of codeeropdracht waarbij ze met malware gevulde bestanden moesten downloaden. Sommigen gebruikten AI-face-swapping-software tijdens interviews voordat ze hun video afsneden en de kandidaat vroegen hetzelfde te doen, waarbij ze de schuld gaven aan een slechte verbinding.
Bibliotheekvergiftiging Su van Binance vertelde Decrypt ook dat Noord-Koreaanse hackers openbare codebibliotheken vergiftigen en dit beschouwen als de op een na meest voorkomende aanvalsmethode, na nepwerknemers.
Node Package Manager-pakketten (NPM) zijn verzamelingen herbruikbare, open-sourcecode die ontwikkelaars vaak gebruiken. Aanvallers kunnen deze pakketten klonen en er een kleine regel kwaadaardige code in glippen, terwijl de oorspronkelijke functie behouden blijft. Dat betekent dat een slachtoffer deze vergiftigde codebibliotheek kan gebruiken zonder het te merken, waarbij de kwaadaardige code zich in de loop van de tijd steeds dieper verankert naarmate er meer bovenop wordt gebouwd.
In september 2025 vond softwarebeveiligingsbedrijf ReversingLabs twee NPM-pakketten die slimme contracten van Ethereum gebruikten om malware te downloaden, die het bedrijf naar eigen zeggen nog niet eerder had gezien. De pakketten waren gekoppeld aan een breder netwerk van GitHub-opslagplaatsen, meestal gebrandmerkt als crypto-handelsbots, met duizenden commits en sterren waarvan ReversingLabs denkt dat ze grotendeels nep waren.
Voorspellen·EconomieWelke bedrijven zullen vóór 2027 naar de beurs gaan? Antropisch94%JaNeeFreddie Mac50%JaNeeCelonis50%JaNeeDiscord49%JaNeeOpenAI8%JaNee+24 extra uitkomsten+23 extra uitkomsten$623,25K volume1 januariSluit: 1 januari 2027, 04:59 UTCSluit: 1 januari 2027, 04:59 UTC De tactiek maakte deel uit van een ‘geavanceerde campagne’ van kwaadwillende actoren die probeerden gebruikers te hacken via vergiftigde blockchain-gerelateerde openbare codebibliotheken, een aanvalsvector die Binance eerder heeft toegeschreven aan Noord-Koreaanse hackers.
Om de dreiging tegen te gaan, zegt Su, laat Binance werknemers met een fijne kam door NPM-bibliotheken gaan.
Gemanipuleerde ontwikkelaarstools speelden ook een rol bij de Binance-hack. In juni downloadde een lid van Binance's portemonnee-DevOps-team een gemanipuleerde installatie van Homebrew, een populair software-installatieprogramma, terwijl hij probeerde een AI-coderingstool te installeren die hij via een zoekmachine had gevonden, aldus de beurs. Het beveiligingsteam heeft het probleem ontdekt, het apparaat vervangen en zijn inloggegevens gerouleerd, maar het incident stelde de ingenieur en zijn collega's van het portemonnee-infrastructuurteam bloot aan de aanvallers.
Infrastructuuraanvallen Vóór Binance behoorde het ongewenste record voor de grootste crypto-hack toe aan Bybit, die in februari 2025 1,4 miljard dollar verloor. Cyberbeveiligingsbedrijven onthulden dat Noord-Koreaanse hackers de aanval hadden afgeslagen door kwaadaardige code in de infrastructuur van Safe te plaatsen, een aanbieder van crypto-portemonnees die door de beurs wordt gebruikt.
De beveiligingsbedrijven zeiden dat kwaadaardige JavaScript-code rechtstreeks in de online infrastructuur van Safe werd geïnjecteerd. Het was echter onduidelijk hoe de aanvallers dit voor elkaar kregen.
De infrastructuur van Bybit "werd niet aangetast", vertelde de beurs aan Decrypt, en de hack kwam puur omdat een derde partij werd uitgebuit.
De Binance-aanval was gericht op de eigen systemen van de beurs. Op 29 oktober gebruikte de aanvaller gestolen inloggegevens om een container in te zetten en ongeautoriseerde toegang te krijgen tot een interne dienst voor het ondertekenen van portemonnees, waarmee transacties buiten het normale opnameproces van Binance konden worden geïnitieerd. Op Ethereum gebruikte het de ondertekeningsservice om EIP-7702 te exploiteren, een mechanisme waarmee een account uitvoeringsrechten aan een slim contract kan delegeren, waardoor een door de aanvaller gecontroleerd contract gedeeltelijke controle krijgt over een Binance hot wallet.
Deze on-chain autorisaties bleven werken, zelfs nadat Binance de opnames had opgeschort. Omdat de hot wallet gebruik maakte van berekeningen met meerdere partijen, was er geen enkele privésleutel die Binance kon gebruiken om deze snel in te trekken, aldus de exchange.
Door AI aangedreven oplichtingElk van de hierboven genoemde aanvalsvectoren kan worden voorzien van een turbo met kunstmatige intelligentie-tools.
Begin dit jaar waarschuwde Google voor een door AI aangedreven malwarecampagne gericht op cryptobedrijven uit Noord-Korea. Op dezelfde manier zei Su van Binance ook dat AI-tools kunnen worden gebruikt om de effectiviteit van aanvallen te vergroten.
De zorgen over AI-aangedreven hacks zijn de afgelopen maanden toegenomen, waarbij Ethereum-medeoprichter Vitalik Buterin in oktober zei dat het “plausibel” is dat AI de encryptie binnen de komende twee jaar kan doorbreken. Het kwam te midden van een explosie van AI-gestuurde wiskunde, waarbij OpenAI beweerde een 90 jaar oud wiskundeprobleem binnen enkele dagen te hebben opgelost. Deskundigen drongen er bij de industrie op aan zich voor te bereiden op AI-aangedreven aanvallen op encryptie.
Er zijn geen bevestigde berichten dat Noord-Koreaanse hackers AI gebruiken om de encryptie te kraken. Maar gezien hoe snel ze AI elders hebben ingevoerd, moet de industrie zich daar misschien op voorbereiden.
Dagelijkse debriefing NieuwsbriefBegin elke dag met de belangrijkste nieuwsverhalen van dit moment, plus originele artikelen, een podcast, video's en meer.
E-mailadres Word gratis lid Sluit u aan bij meer dan 72.000 lezers
Maak een account aan om uw artikelen op te slaan. Voeg toe op Google Voeg Decrypt toe als uw favoriete bron om meer van onze verhalen op Google te zien.