Binance onderzocht donderdag 29 oktober een mogelijke beveiligingsinbreuk, nadat blockchain-analysebedrijf Arkham Intelligence tientallen wallets ontdekte met gezamenlijk tot 5,8 miljard dollar aan tegoeden. Crypto-onderzoeker StarPlatinum zag dat de Binance-wallet “Binance 14” ongeveer 2,53 miljard dollar in 64 tokens wegstuurde, gevolgd door een tweede overboeking van 174,4 miljoen dollar nog maar 24 seconden later. Binance liet op dat moment alleen weten een onderzoek te zijn gestart en dat klantgelden “volledig veilig” waren.
Een dag later, op vrijdag 30 oktober, bevestigde Binance aan BleepingComputer dat het om een diefstal van ongeveer 6,3 miljard dollar ging. Blockchain-analysebureau TRM Labs komt op een vergelijkbaar bedrag: zo’n 6,36 miljard dollar, weggesluisd uit Binance-wallets op tien verschillende blockchains, met het grootste deel binnen twintig minuten vanaf 20:05 UTC. Daarmee is dit de grootste cryptodiefstal tot nu toe, ruim vier keer zo groot als de 1,5 miljard dollar die in februari 2025 bij Bybit werd gestolen. Chainalysis bevestigt de analyse van TRM “met een hoge graad van zekerheid”; het exacte bedrag verschilt per analysebureau, van 5,9 tot 6,4 miljard dollar afhankelijk van de rekenmethode, maar ligt in elk geval ruim boven het vorige record.
Volgens TRM Labs bereidde de aanvaller de diefstal minstens 36 uur van tevoren voor: een eigen wallet werd gefinancierd met kleine opnames via Tornado Cash en de aanvalscode eerst getest op drie wallets. Om 20:20 UTC diende de aanvaller één transactie in met vijftig vooraf ondertekende autorisaties, gericht op een zelfgemaakt “sweeper”-contract dat alleen instructies van de aanvaller zelf accepteerde. Omdat de nonce-volgorde van de wallet maar op één manier kon kloppen, was daarvoor een enkele geldige handtekening genoeg. Ruim drie minuten later was de hot wallet leeg: 167.464 ETH, 63 andere tokens en 1,615 miljard dollar aan USDT waren verdwenen.
Binance zegt dat de aanvaller toegang kreeg via de gecompromitteerde laptop van een DevOps-engineer, waarmee hij bij een servicecontainer kwam en van daaruit ongeautoriseerde opnametransacties indiende. Er is geen bewijs dat een private wallet-sleutel is gelekt. Binance-CEO Richard Teng benadrukte dat de aanvaller niet alleen de rechten van die ene engineer gebruikte; het onderzoek wijst niemand persoonlijk aan, en Binance zegt inmiddels ook “additionele inbraakpunten” te hebben gevonden.
Tether, Circle, Ripple en World Liberty Financial bevroren samen ongeveer 2,67 miljard dollar aan stablecoins, en de Security Council van Arbitrum legde nog eens 8.426 ETH en 74,6 miljoen ARB-tokens vast. Een flink deel van de buit, volgens Elliptic circa 3,33 miljard dollar verspreid over 43 wallets, blijft buiten bereik van uitgevers omdat het in bitcoin, ether, XRP en TRX staat, munten die niet centraal bevroren kunnen worden. TRM Labs en Chainalysis schrijven de aanval met hoge zekerheid toe aan TraderTraitor, de Noord-Koreaanse staatshackersgroep die ook bekendstaat als Lazarus Group of APT38 en eerder al de Bybit-hack op haar naam had. Chainalysis wijst er bovendien op dat geld uit de eerdere Bitget-hack (ongeveer 387 miljoen dollar) naar hetzelfde Ethereum-adres is gestuurd als de Binance-buit.
Binance heeft stortingen en opnames tijdelijk opgeschort, de autorisaties voor het getroffen adres ingetrokken en dekt de schade voor gebruikers via het eigen SAFU-noodfonds; een bijgewerkte Proof of Reserves volgt zodra de sanering klaar is. Voor Nederlandse particulieren die op Binance of een andere exchange handelen, verandert er voorlopig niets aan de dekking van hun tegoeden, maar is dit een aanleiding om na te denken over hoeveel vermogen in een exchange-wallet nodig is tegenover een eigen cold-storage-oplossing. Wees daarnaast alert op phishingmails die inspelen op het incident en zich voordoen als Binance-support.
Update 1 november: De FBI heeft de diefstal inmiddels formeel toegeschreven aan TraderTraitor, de Noord-Koreaanse staatshackersgroep die ook bekendstaat als Lazarus Group, Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces en UNC4899. De bevestiging kwam zaterdag 31 oktober van de FBI, de U.S. Secret Service en IRS Criminal Investigation, de eerste officiële overheidsattributie naast de eerdere analyses van TRM Labs en Chainalysis.
Het definitieve bedrag komt volgens de autoriteiten uit op 6,43 miljard dollar, verspreid over elf blockchains, waarvan 82 procent in ether en bitcoin stond. Blockchainbedrijf Elliptic noemt dit bijna een verdubbeling van het totaal dat aan Noord-Korea gelieerde hackers ooit aan crypto is ontvreemd, dat daarmee boven de 6,5 miljard dollar komt. Van de Binance-buit is inmiddels 2,85 miljard dollar on-chain bevroren, door Tether, Circle, Ripple, Arbitrum en Optimism.
Volgens de FBI zette de dader het gestolen geld vooral om naar ether, met het oog op verdere witwassing via DeFi-protocollen en instant-swapdiensten. De autoriteiten publiceerden een lijst van 628 walletadressen, 608 op Ethereum, 19 op Bitcoin en 1 op Solana, en roepen cryptobeurzen en andere aanbieders van virtuele activa op transacties naar die adressen te blokkeren. Over aanklachten of nieuwe sancties tegen individuen is nog niets bekendgemaakt.
Binance is op 1 november gefaseerd begonnen met het hervatten van opnames, vanaf 06:00 UTC, en is inmiddels weer open voor alle vijftien netwerken. Tussen 06:00 en 15:30 UTC verwerkte de beurs 4,65 miljard dollar aan opnames tegenover 1,01 miljard dollar aan stortingen, een netto-uitstroom van ongeveer 3,64 miljard dollar. Saldo’s in onder meer BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD en ZEC zijn volgens Binance volledig gedekt; stortingen zijn op geen moment geraakt.
Bron: BleepingComputer, The Hacker News
Wat betekent dit voor jouw bedrijf?
Dit raakt vooral wie zelf crypto op een exchange aanhoudt: ga na hoeveel vermogen daar echt moet staan tegenover eigen cold storage. Bedrijven met een DevOps-omgeving kunnen zich afvragen of bij hen één gecompromitteerde werkplek net zoveel schade kan aanrichten, en of kritieke acties zoals opnames altijd meervoudige, onafhankelijke goedkeuring vereisen.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.