Als een bank wordt beroofd, kijk ik naar de kluis, niet naar het hele systeem

Als een bank wordt beroofd, kijk ik naar de kluis, de toegangslogs en de credential die het liet afweten. Ik vraag me niet af of het banksysteem zou moeten bestaan. Dat is precies het onderscheid dat ontbreekt in het meeste dat ik deze week over de Binance-hack heb gelezen, en het is de moeite waard dit expliciet te maken voordat het verhaal "crypto is niet veilig" verhardt tot gangbare wijsheid.

Binance verloor op 29 oktober naar schatting 6,3 miljard dollar. TRM Labs traceerde ongeveer 6,36 miljard dollar die in zo'n twintig minuten over tien blockchains werd verplaatst, de grootste cryptodiefstal ooit geregistreerd. Eerste lessen, vanuit mijn positie als security officer en niet als cryptohandelaar: dit was een storing in credential- en toegangsbeheer, en dat verdient exact de aandacht die elke inbreuk bij een bewaarder van tegoeden verdient. Wat het niet verdient, is behandeld te worden als bewijs dat een hele beleggingscategorie structureel ondeugdelijk is.

Mijn stelling: beoordeel Binance zoals je elke bewaarder zou beoordelen die slachtoffer werd van een inbreuk, op basis van welke beheersmaatregel faalde en of die wordt hersteld, niet op basis van de onderliggende ledger-technologie.

Wat er daadwerkelijk misging

Binance's eigen weergave wijst naar een gecompromitteerde laptop van een DevOps-engineer die toegang gaf tot een servicecontainer, die vervolgens ongeautoriseerde opnametransacties indiende. Kok Tin Gan, CEO van cybersecuritybedrijf NyxLab, omschreef het als één handtekening die de aanvaller een nooit verlopend, volledig toegangstoken tot een hot wallet gaf. Binance liet later weten dat het eigen onderzoek nog andere inbraakpunten had blootgelegd naast de laptop. TRM Labs en Chainalysis schrijven de aanval onafhankelijk van elkaar, met hoge zekerheid, toe aan TraderTraitor, de Noord-Koreaanse eenheid die de FBI al had aangewezen voor de Bybit-hack van 1,5 miljard dollar in februari 2025.

Niets daarvan is een eigenschap van blockchains. Een permanente credential zonder vervaldatum, bereikbaar via één gecompromitteerd eindpunt, is hetzelfde faalpatroon dat kluizen heeft leeggehaald lang voordat iemand ooit van een hot wallet had gehoord.

De sterkste versie van "maar crypto is anders"

Ik wil dit argument zijn volle gewicht geven voordat ik erop antwoord, want de zwakke versie ervan is makkelijk weg te wuiven, de sterke versie niet. Cryptobeurzen bewaren klanttegoeden zoals een bank dat doet, maar zonder depositoverzekering, zonder lender of last resort, en met een afwikkeling die definitief is zodra ze op een blok is bevestigd. Een bankoverschrijving kan soms worden teruggedraaid. Een blockchaintransactie niet. Toen de hot wallet van Binance die opnames ondertekende, was het geld verdwenen in de tijd die het kost om koffie te zetten, zonder centrale bank die de schade dekt en zonder depositoverzekering voor de klanten. Binance heeft toegezegd dit uit eigen middelen te vergoeden, wat een belofte is, geen garantiestructuur.

Dat is een reëel structureel verschil en ik ga niet doen alsof dat niet zo is.

Waarom dit nog altijd geen veroordeling van de beleggingscategorie is

Dit is wat het frame "crypto is niet veilig" mist: de aanvaller is niet nieuw in dit vak, en de methode evenmin. Blockchain-inlichtingenbureaus schrijven zowel deze hack als de Bybit-hack van 2025 toe aan dezelfde Noord-Koreaanse eenheid die de Amerikaanse overheid al verantwoordelijk hield voor de Bangladesh Bank-heist van 2016, waarbij frauduleuze SWIFT-berichten 81 miljoen dollar wegsluisden van een correspondentrekening bij de Federal Reserve van New York. Die heist werd destijds onderschept, dankzij een haperende printer en een medewerker van een doorgeefbank die een verkeerd gespelde begunstigde opmerkte, niet dankzij enige structurele beveiliging ingebouwd in het SWIFT-systeem of de bankrelatie waarlangs het liep. Dezelfde tegenstander heeft nu exact hetzelfde draaiboek uitgevoerd, credential-compromittering, geprivilegieerde toegang, het geld wegsluizen voordat iemand het merkt, tegen een correspondentrekening in 2016 en een hot wallet in 2026. De beleggingscategorie veranderde. De methode niet.

Wat evenmin past bij het verhaal van "wetteloos en onomkeerbaar": Tether en Circle bevroren samen ongeveer 2,38 miljard dollar aan gestolen stablecoins binnen enkele uren na de hack, als onderdeel van de ongeveer 3 miljard dollar die Binance zegt in totaal te hebben bevroren. Dat is een gecentraliseerde stroomonderbreker die werkt binnen een systeem dat daar juist immuun voor zou moeten zijn. De finaliteit van afwikkeling in crypto is reëel, maar het ecosysteem eromheen heeft omwegen gebouwd die een overschrijving via een keten van correspondentbanken vaak niet heeft.

Wat een security officer hier daadwerkelijk uit haalt

Ik beweer niet dat de beheersmaatregelen van Binance toereikend waren. Een credential die nooit verloopt en een serviceaccount met permanente schrijftoegang tot een hot wallet zijn bevindingen die ik in elke audit zou signaleren, crypto of niet. Maar "het in de audit signaleren" is op zich al de zwakkere versie van de les, want een bevinding uit een kwartaalreview had je dit maanden later verteld, nadat een aanvaller het al had gevonden. Het eigenlijke toegangsbeheerprobleem is niet dat de credential bestond. Het is dat niets in de architectuur een plafond zette op wat één gecompromitteerde credential kon doen, en dat niets in de monitoring het resultaat in realtime opmerkte.

Drie vragen die ik aan elke bewaarder zou stellen bij dit soort audit, cryptobeurs of niet:

• Heeft enige afzonderlijke credential permanente, ongecontroleerde bevoegdheid over de gevoelige actie? Een hot wallet die met één handtekening volledig leeggehaald kan worden, is door ontwerp een single point of failure. Multisignature-ondertekening, goedkeuring door meerdere partijen, of een tweede systeem dat onafhankelijk moet bevestigen voordat een opname wordt uitgevoerd, had een diefstal van twintig minuten omgezet in een geblokkeerde transactie.
• Verlopen geprivilegieerde tokens, en is "verloopt nooit" ooit een aanvaardbaar antwoord? Een langlevend token met volledige toegang is een risico vanaf het moment waarop het wordt uitgegeven, niet pas op het moment waarop het wordt gestolen. Kortlevende, just-in-time credentials, opnieuw uitgegeven voor elke gevoelige actie in plaats van onbeperkt vastgehouden, beperken de impact van precies dit soort laptopcompromittering.
• Wordt het opnamegedrag zelf gevolgd, los van de vraag of de gebruikte credential geldig lijkt? Zes miljard dollar die in twintig minuten over tien blockchains wordt verplaatst, is op zichzelf al een anomalie in volume en snelheid, ongeacht welke handtekening het autoriseerde. Een systeem dat zo'n patroon in realtime kan signaleren en pauzeren, hoeft nog niet te weten dat de credential gestolen was.

Niets hiervan is een blockchain-specifieke beheersmaatregel. Een volwassen securityprogramma stelt dezelfde drie vragen over de treasury-activiteiten van een bank, een cloud-beheerconsole, of een SaaS-leverancier met permanente API-sleutels in uw omgeving: wie is eigenaar van deze beheersmaatregel, wordt ze continu gevolgd in plaats van gecontroleerd bij de volgende auditcyclus, en bereikt een anomalie iemand die er binnen enkele minuten naar kan handelen in plaats van pas op de volgende governancevergadering. Een programma dat alleen bevindingen oplevert, documenteert risico, het beheert het niet.

Vaststellen dat 6 miljard dollar in twintig minuten is verplaatst, is een achterblijvend signaal. Nuttig voor de postmortem, niet om de diefstal te stoppen. De lastigere vraag is of het risico had kunnen worden ingeschat voordat die credential ooit werd gebruikt: een token zonder vervaldatum, met volledige toegang en zonder tweede goedkeuring, is een voorspelbaar risico vanaf de dag waarop het wordt uitgegeven, niet pas op de dag waarop het wordt gestolen. Dat is de verschuiving waarop insAIght is gebouwd voor AI-systemen en leveranciersrechten: het risico van een systeem of een toegangsrecht continu beoordelen tegen de kaders die erop van toepassing zijn, zodat een niet-herziene, te ruim bevoegde credential als openstaande bevinding zichtbaar wordt voordat een aanvaller hem vindt, niet pas in de postmortem erna. De andere helft van die verschuiving is handhaving binnen de werkstroom zelf in plaats van op een dashboard dat iemand moet onthouden te raadplegen: een beheersmaatregel die een tweede goedkeurder kan vereisen, een toegangsrecht in tijd kan beperken, of een actie kan blokkeren zodra een risicodrempel wordt overschreden, in plaats van er een die alleen een melding geeft die een mens moet beoordelen nadat het geld al weg is.

De les gaat over waar je de aandacht op richt: op de specifieke beheersmaatregel die faalde en of de oplossing standhoudt, niet op een veroordeling van een hele categorie financiële infrastructuur omdat het beheer van geprivilegieerde toegang bij één aanbieder een gat vertoonde.

Beoordeel de kluis. Herstel het slot. Veroordeel de bank niet omdat er een raam openstond.

Meer lezen

• insAIght: continue monitoring van de leveranciers, systemen en toegangsrechten in uw risicoregister, in plaats van een momentopname.
• Your Chatbot Is Not a Feature. It Is a Legal Exposure.: dezelfde redenering, beoordeel de specifieke beheersmaatregel, toegepast op AI-leveranciersrisico.
• ExplAIn: het gedrag van de AI- en geautomatiseerde systemen waarop uw organisatie steunt uitlegbaar maken aan auditors en toezichthouders, hetzelfde instinct een laag boven toegangsbeheer toegepast.

Wilt u een tweede mening over hoe uw eigen toegangsbeheersing standhoudt onder dit soort toetsing? Plan een demo.