Een wallet met geld dat is gestolen tijdens de recordbrekende Binance-hack heeft 120 miljoen TRX verplaatst naar een onbekend adres, volgens on-chain tracker Whale Alert. De transactie markeert een nieuwe stap in de poging van de aanvallers om de opbrengsten uit de inbraak van 29 oktober te witwassen — en laat zien waarom de native token van Tron veel moeilijker terug te vorderen is dan de stablecoins die bij dezelfde aanval zijn buitgemaakt.

Wat er is verplaatst en waar het vandaan kwam

Op 30 oktober hadden blockchain-forensische bedrijven specifieke Tron-adressen gemarkeerd die door de aanvallers worden beheerd, met elk exact 120 miljoen TRX. Naar verluidt hield een andere wallet in hetzelfde cluster ongeveer 158,2 miljoen TRX.

Sinds de aanval blijven kleinere transacties uit andere aan de groep gelinkte adressen wegdruppelen. onderzoekers omschrijven die bewegingen als typerend voor peel-chain-transacties — een veelgebruikte witwasstructuur waarbij gestolen geld in steeds kleinere porties via een reeks adressen wordt doorgegeven. Elk deel is op zichzelf klein genoeg om onopvallend te lijken, maar samen maken de delen de oorspronkelijke som moeilijker te volgen en makkelijker om stukje bij beetje te verzilveren.

De inbraak achter het geld

De aanval trof Binance op 29 oktober 2026 en haalde in ongeveer 20 minuten zo'n 6,3 miljard dollar aan digitale activa uit de hot wallets van de beurs — de met internet verbonden wallets die beursen gefinancierd houden om klantopnames te verwerken — op ongeveer tien blockchains. De hele operatie duurde ongeveer 20 minuten, en de inbraak wordt omschreven als een recordgeval voor de sector, zowel in omvang als in snelheid.

Tron was een van de zwaarst getroffen netwerken. De aanvallers haalden 612,7 miljoen USDT en 46,4 miljoen TRX uit de hot wallets van Binance op die keten. Vervolgens gebruikten ze SunSwap, een gedecentraliseerde beurs op Tron, om circa 234 miljoen USDT te ruilen voor naar schatting 638 miljoen TRX.

Die ruil is belangrijker dan deze op het eerste gezicht lijkt. USDT is een stablecoin uitgegeven door Tether, en Tether kan tokens op specifieke adressen bevriezen. TRX daarentegen heeft geen centrale uitgever met een bevriesfunctie. De onderzoeksbevindingen wijzen erop dat niet-bevriesbare activa zoals TRX een blijvende uitdaging vormen voor herstelpogingen.

Tether en Circle bevroren na de aanval ongeveer 2,7 tot 3 miljard dollar aan stablecoins, mogelijk gemaakt door die controle op uitgeversniveau — hetzelfde instrument waarmee beide uitgevers eerder al geld rond eerdere exploits hebben geblokkeerd.

Wie erachter zit en hoe Binance reageerde

Het incident wordt met grote zekerheid toegeschreven aan TraderTraitor, een Noord-Koreaanse hackersgroep die aan eerdere grootschalige exploits is gelinkt. Onderzoekers van de Verenigde Naties hebben geschat dat Noord-Koreaanse cyberoperaties de afgelopen jaren miljarden dollars aan cryptocurrency hebben gestolen, geld dat volgens hun inschatting bijdraagt aan de financiering van het wapenprogramma van het land. Binance onderzoekt een gecompromitteerde DevOps-laptop als mogelijke oorspronkelijke aanvalsvector.

De beurs zei alle verliezen voor getroffen klanten te dekken. Ze schortte tijdelijk opnames van de getroffen wallets op — een standaard inperkingsmaatregel tijdens een onderzoek — en reserveerde meer dan 6,34 miljard dollar aan bedrijfsfondsen om de schade op te vangen.

Aanzienlijke delen van de gestolen activa — met name de TRX — zijn nog steeds in handen van de hackers. De onderzoeksbevindingen omschrijven de aanvallers als actief bezig met het witwassen van het geld.

Wat dit betekent

Het grotere verhaal is het onderscheid tussen wat wél en niet kan worden teruggevorderd. Stablecoins bleken deels terugvorderbaar omdat hun uitgevers ze kunnen bevriezen, en miljarden dollars waren binnen enkele dagen geblokkeerd. Native tokens zoals TRX spelen volgens andere regels: zodra ze de controle van een beurs ontgaan, hangt herstel af van het volgen van transacties, samenwerking met andere platformen en het onderscheppen van het geld op het moment dat het probeert te vertrekken. In de praktijk betekent dit dat wordt gekeken waar de TRX vervolgens opduikt — als deze terechtkomt op stortadressen van beurzen, kunnen platformen met compliance-controles stortingen die aan een exploit zijn gekoppeld markeren en blokkeren.

De onderzoeksbevindingen wijzen op meer aandacht voor de beveiliging van gecentraliseerde beurzen en de mogelijkheid van strengere protocollen in de hele sector. De bevindingen suggereren ook dat sommige handelaren na deze inbraak een overstap naar gedecentraliseerde beurzen zullen overwegen. Opvallend genoeg gebruikten de aanvallers zelf een gedecentraliseerde beurs — SunSwap — om hun geld om te zetten in een moeilijker te bevriezen vorm.

Dit artikel is gebaseerd op berichtgeving van CryptoBriefing, waar het werd geredigeerd door John Chen. Origineel: 120 million TRX from the Binance hack moves to an unknown wallet