Grootste crypto-hack mede mogelijk door AI: Binance legt de situatie uit

Hackers gebruikten volgens Binance een interne AI-tool om verder binnen te dringen bij de cryptobeurs. Bij de aanval verdween ongeveer 6,3 miljard dollar aan cryptovaluta. Nepsollicitaties en schadelijke software vormden onderdelen van de operatie.

De FBI schrijft de roof van 29 oktober toe aan Noord-Korea. De Amerikaanse opsporingsdienst noemt de betrokken activiteit TraderTraitor.

Binance beschrijft in zijn voorlopige onderzoeksverslag hoe aanvallers op 20 oktober via een interne AI-tool twee andere werkcomputers overnamen. Zij vonden een token voor het uitrollen van softwarecontainers en gebruikten gestolen toegangsgegevens voor de uiteindelijke roof.

Een toegangstoken is een digitaal toegangsbewijs. Software gebruikt zo’n bewijs om een toegestane handeling uit te voeren, bijvoorbeeld een programma op een server te plaatsen. Een container is een pakket waarin software met de benodigde onderdelen draait.

Al in juni downloadde een medewerker een gemanipuleerde versie van installatieprogramma Homebrew toen hij een AI-programmeertool wilde installeren. Binance verving de computer en toegangsgegevens, maar informatie over betrokken medewerkers was al blootgesteld.

Het rapport noemt geen model of leverancier en verklaart niet hoe de AI-tool is misbruikt. Het bewijst evenmin dat AI zelfstandig de aanval uitvoerde.

Ook bij andere aanvallen dient de belangstelling voor AI als lokaas. Cisco Talos vond eerder schadelijke installatieprogramma’s die zich voordeden als AI-software. AI Wereld beschreef hoe zulke nepwebsites van populaire AI-tools malware verspreiden. Dat onderzoek staat los van de Binance-aanval.

Een andere ingang ontstond via een schijnbaar normale sollicitatie. Zoals Bloomberg beschrijft, benaderde iemand een Binance-engineer via een platform voor werkzoekenden en deed zich voor als projectdirecteur. Een gesprek met de vermeende topman van een fictief bedrijf volgde via een chatapp.

De engineer kreeg vervolgens een opdracht waarvoor hij een verzameling code moest downloaden. Daarin zat malware: software die de aanvaller ongeoorloofde toegang kon geven. Een procedure die bedoeld leek om vaardigheden te beoordelen, bracht zo schadelijke code binnen.

Microsoft onderzocht vergelijkbare nepsollicitaties in zijn rapport over Contagious Interview. Dat onderzoek beschrijft andere aanvallen. Neprecruiters sturen ontwikkelaars programmeeropdrachten via bekende platforms zoals GitHub, GitLab en Bitbucket. Het uitvoeren van een pakket kan op de achtergrond een achterdeur installeren.

Ook de instellingen van een ontwikkelomgeving kunnen meespelen. Microsoft zag gevallen waarin het vertrouwen van een onbekend project in Visual Studio Code automatisch een vooraf ingestelde taak activeerde. Die taak haalde vervolgens schadelijke software binnen.

De schade hoeft zich niet tot die computer te beperken. Microsoft zag dat zulke aanvallen zoeken naar onder meer cloudtoegang, toegangstokens, cryptografische sleutels en wachtwoordbestanden. Een ontwikkelaarscomputer kan daardoor toegang bieden tot systemen van de werkgever. De vraag is dan ook welke bedrijfsrechten een besmet apparaat nog kan gebruiken.

De naam van een bekend codeplatform zegt dus weinig over de veiligheid van een afzonderlijk project. De controle moet gaan over de afzender, de inhoud en wat er bij het openen of uitvoeren gebeurt. Voor een sollicitant zijn dat verschillende vragen: een overtuigend gesprek beantwoordt geen van de technische vragen over de meegestuurde code.

Naast het misbruik van interne hulpmiddelen gebruiken Noord-Koreaanse groepen AI ook om hun eigen werk te versnellen. Dat blijkt uit onderzoek dat Microsoft op 29 oktober publiceerde. Het bedrijf beschrijft hulp bij onderzoek naar doelwitten, geloofwaardige identiteiten, vertalingen, recruiterberichten en kwaadaardige programmeeropdrachten.

Een concreet voorbeeld is Jade Sleet. Deze groep gebruikte in één week drie fictieve bedrijven om potentiële slachtoffers te benaderen. Eén daarvan presenteerde zich als aanbieder van AI voor blockchainanalyse. Microsoft ziet het tempo en de omvang als aanwijzingen dat generatieve AI de voorbereiding en benadering versnelde.

AI kan daarbij helpen om berichten op een functie of sector af te stemmen en een verzonnen identiteit consequent vol te houden. Microsoft benadrukt dat de onderzochte operaties nog steeds door mensen worden aangestuurd. Het rapport koppelt deze voorbeelden niet aan de Binance-roof.

Google rapporteerde eerder over Noord-Koreaanse aanvallers die Gemini misbruikten voor onderzoek en misleidende berichten. AI Wereld schreef toen over de rol van Gemini bij zulke cybercampagnes. Google zag daarnaast deepfakebeelden bij een campagne die slachtoffers naar een schadelijke Zoom-download lokte. Ook dat was een afzonderlijke operatie.

Daarmee verandert wat een sollicitant aan de buitenkant kan beoordelen. Goed geschreven berichten, een professioneel profiel en overtuigend beeldmateriaal zijn aanwijzingen die verdere controle verdienen. Ze vormen op zichzelf geen bewijs dat een werkgever bestaat of dat diens programmeeropdracht veilig is.

Voor organisaties die AI aan hun bedrijfssystemen koppelen, is vooral de omvang van die toegang relevant. De beveiligingsorganisatie OWASP beschrijft het risico van te veel functies, rechten en zelfstandigheid. Dat risico ontstaat bijvoorbeeld wanneer een hulpmiddel dat documenten moet lezen ook bestanden kan wijzigen of verwijderen.

Het verschil zit in de handelingen die de toepassing mag uitvoeren. Een AI-tool die code beoordeelt, hoeft daarmee nog geen nieuwe software op productieservers te kunnen plaatsen. Een toepassing die informatie voor één medewerker opzoekt, heeft evenmin automatisch toegang tot de gegevens van alle collega’s nodig.

OWASP adviseert om zulke grenzen in de achterliggende systemen af te dwingen. Alleen de instructie aan een model om voorzichtig te zijn, vormt geen toegangsbeveiliging. Het systeem dat gegevens bewaart of een actie uitvoert, moet zelf controleren of die specifieke handeling is toegestaan.

Dit zijn algemene beveiligingsprincipes. Zonder verdere technische details staat niet vast welke toegangscontrole bij Binance tekort is geschoten.

Microsoft adviseert ontwikkelaars om sollicitatieopdrachten uit te voeren in een aparte, geïsoleerde omgeving zonder bedrijfsaccounts, interne code of toegang tot productiesystemen. Laat meegestuurde code beoordelen voordat je onderdelen installeert of taken uitvoert. Bij een vermoedelijke besmetting moeten beveiligers het apparaat isoleren en mogelijk blootgestelde toegangsbewijzen vervangen.

Voor AI-agents die daadwerkelijk taken uitvoeren, werkt OWASP dat verder uit in zijn richtlijnen voor veilige AI-integraties. Geef zo’n agent een eigen account met beperkte rechten, zodat zijn toegang afzonderlijk kan worden gecontroleerd en ingetrokken. Gebruik tijdelijke toegangstokens die alleen gelden voor de benodigde taak.

Houd gevoelige toegangscodes buiten de werkomgeving van de agent. Laat een mens ingrijpende handelingen beoordelen, zoals het uitrollen van software, verwijderen van gegevens of veranderen van rechten. Bewaar activiteitenlogboeken buiten de controle van de agent, zodat een onderzoeker later kan nagaan wat er is gebeurd.

Ook de uitvoering verdient een grens: een afgeschermde testomgeving met beperkte toegang tot bestanden en het netwerk. Als een onbekende opdracht daar toch schadelijke code uitvoert, beperkt die inrichting welke bedrijfsmiddelen bereikbaar zijn. De instellingen moeten aansluiten op wat de agent werkelijk nodig heeft.

Binance zegt de getroffen AI-tool en toegangscontrole opnieuw te hebben opgebouwd. Het bedrijf beloofde in een eerdere incidentupdate de financiële verliezen door de gestolen crypto zelf te dragen. Een onafhankelijke beoordeling moet de voorlopige onderzoeksbevindingen nog toetsen.