Binance heeft een grote beveiligingsinbreuk bevestigd die ongeveer $6,3 miljard aan digitale activa treft, waarbij bijna $3 miljard is bevroren terwijl het crypto(beurs)bedrijf samenwerkt met blockchainnetwerken, uitgevers van stablecoins en wetshandhavers om te voorkomen dat dit de grootste cryptodiefstal ooit wordt.

De openbaarmaking van 30 oktober volgde op verdachte opnames met een aanvankelijke totale waarde van $2,77 miljard over vijf blockchains de avond ervoor. Het voorlopige onderzoek van Binance geeft aan dat aanvallers mogelijk de laptop van een DevOps-engineer hebben gecompromitteerd, toegang hebben gekregen tot een interne servicecontainer en ongeautoriseerde opnametransacties hebben uitgevoerd.

De beurs heeft stortingen en opnames tijdelijk opgeschort — een standaard maatregel tijdens een lopend beveiligingsonderzoek — de autorisatie van het getroffen adres ingetrokken en beloofd alle verliezen te dekken via het Secure Asset Fund for Users (SAFU), een noodreserve die in 2018 werd opgericht en wordt gefinancierd uit een deel van de handelskosten, en via bedrijfsfondsen. Binance zei dat de saldi van klanten beschermd blijven, hoewel het onderzoek nog niet het uiteindelijk terugvorderbare bedrag of de volledige omvang van de inbreuk heeft vastgesteld.

Gecompromitteerde laptop engineer gelinkt aan Binance-inbreuk

Het incident begon aandacht te trekken op 29 oktober, toen blockchainonderzoekers ongewoon grote overboekingen opmerkten van portemonbeurzen gelinkt aan Binance naar adressen buiten de publiek bekende custody-infrastructuur van de beurs. Eerste berichten meldden uitstromen van ongeveer $2,77 miljard (Crypto Adventure).

Later spoorwerk bracht een aanzienlijk groter incident aan het licht. De beveiligingsopenbaarmaking van 30 oktober van Binance stelde de geschatte impact op $6,3 miljard, een aanzienlijke escalatie ten opzichte van de eerste cijfers.

Het vermoedelijke toegangspunt was een gecompromitteerde laptop van een DevOps-engineer. Onderzoekers denken dat de aanvaller die toegang gebruikte om een servicecontainer te bereiken die ongeautoriseerde opname-instructies kon uitvoeren. Binance heeft geen bewijs gevonden dat privésleutels van portemonbeurzen direct zijn blootgesteld, wat suggereert dat de aanval mogelijk interne operationele machtigingen heeft misbruikt in plaats van een conventionele diefstal van privésleutels. Dat onderscheid is belangrijk omdat het de beveiligingsvraag verschuift van sleutelbeheer naar de interne autorisatiesystemen waarop beurzen vertrouwen om klantengelden te verplaatsen — precies de systemen die het onderzoek nog moet volledig verklaren.

Ongeveer $6,36 miljard werd tijdens het incident verplaatst over 10 blockchains, volgens on-chain analyse door TRM Labs. Het grootste deel van de activiteit vond plaats binnen een periode van ongeveer 20 minuten beginnend om 20:05 UTC op 29 oktober.

De transacties betroffen Ethereum, Bitcoin, Tron, XRP Ledger en Solana, naast kleinere bewegingen over verschillende andere netwerken. Op Ethereum identificeerden onderzoekers het gebruik van EIP-7702 accountdelegatie, waarmee naar verluidt een door de aanvaller gecontroleerd contract fondsen kon omleiden van een hot wallet van Binance, het type internetverbonden portemonnee dat beurzen gebruiken om reguliere opnames te verwerken. EIP-7702 is een Ethereum-mechanisme dat bepaalde accountdelegatiefuncties mogelijk maakt.

Andere getroffen netwerken vertoonden conventionele ondertekende transacties, wat vragen oproept over hoe de interne opname-autorisatiesystemen van Binance zijn benaderd. De exacte relatie tussen deze on-chain technieken en het gecompromitteerde apparaat van de medewerker wordt nog onderzocht.

Tether, Circle en blockchainpartners bevriezen $3 miljard

Verschillende grote uitgevers van cryptoactiva hebben maatregelen genomen om activa te beperken die aan de vermoedelijke aanvaller zijn gelinkt. Tether bevroor meer dan 1,567 miljard USDT in verband met het incident, terwijl Circle meer dan 800 miljoen USDC blokkeerde in afstemming met onderzoekers.

Ripple beperkte naar verluidt ook ongeveer $200 miljoan aan getroffen activa, en World Liberty Financial bevroor ongeveer $27 miljoen aan USD1-tokens. Aanvullende actie kwam van aanbieders van blockchaininfrastructuur, waaronder de Security Council van Arbitrum, die aan de exploit gelinkte activa beperkte.

Samen hebben deze maatregelen bijgedragen aan ongeveer $3 miljard aan bevroren activa, volgens de recentste bevestigde cijfers van Binance. Het bevriezen van activa voorkomt dat ze worden overgemaakt via de getroffen tokencontracten of netwerken — een mogelijkheid die grote stablecoin-uitgevers zoals Tether en Circle op contractniveau hebben — maar betekent niet noodzakelijk dat de fondsen aan Binance zijn teruggegeven.

De resterende blootstelling is aanzienlijk. Op basis van de voorlopige schatting van $6,3 miljard van de beurs valt ongeveer $3,3 miljard buiten het gerapporteerde bevroren bedrag. Dat cijfer is echter niet noodzakelijk gelijk aan het uiteindelijke onherstelbare verlies, omdat spoor- en herstelinspanningen nog lopen.

Binance heeft wetshandhavers, token-uitgevers en blockchain-intelligencebedrijven ingeschakeld om extra fondsen op te sporen en verdere verplaatsing te voorkomen. De beurs heeft ook beloofd alle verliezen aan te vullen via de SAFU-noodreserve en bedrijfsfondsen, en heeft een bijgewerkt Proof of Reserves aangekondigd zodra het herstel is afgerond.

Noord-Koreaanse hackergroep gelinkt aan aanval

Het onderzoek heeft zorgen doen ontstaan over mogelijke betrokkenheid van Noord-Koreaanse cybercriminelen. TRM Labs schreef de aanval toe aan TraderTraitor, een aan Noord-Korea gelinkte hackoperatie die wordt geassocieerd met geavanceerde cryptodiefstallen. Het bedrijf uitte hoge zekerheid over zijn beoordeling op basis van blockchainactiviteit en andere inlichtingen.

De vermoedelijke connectie is significant gezien de geschiedenis van Noord-Korea in het targeten van cryptoplatforms. In februari 2025 stalend hackers die aan het land gelinkt worden ongeveer $1,5 miljard van Bybit in een aanval die zwakke punten in de beveiliging van institutionele portemonbeurzen blootlegde — een diefstal die vóór dit incident de grootste cryptohack ooit was. Het nieuwste incident volgt ook op de Bitget-portemonbeurzinbreuk van september met $387,5 miljoen, waarbij gecompromitteerde interne toegangsgegevens ongeautoriseerde opname-opdrachten mogelijk maakten zonder privésleutels direct bloot te stellen — een patroon dat sterk lijkt op de vermoedelijke werkwijze van de Binance-inbreuk.

Voor Binance blijven de directe prioriteiten het beschermen van klantsaldi, het beveiligen van operationele infrastructuur en het terugvorderen van de getroffen activa. Medeoprichter Changpeng Zhao, die in 2023 aftrad als CEO, erkende dat het incident leek op een hack en toonde zich ervan overtuigd dat klanten volledig gedekt zouden worden in een bericht op X.

Het incident had ook invloed op de cryptomarkten, waarbij Bitcoin onder $79.000 zakte tijdens de eerste reactie en BNB een scherpere daling registreerde nu handelaren de mogelijke operationele en financiële gevolgen voor de beurs afwoegen. Binance heeft geen bevestigd tijdschema aangekondigd voor het herstellen van stortingen en opnames.

Een volledig technisch post-mortem wordt verwacht zodra het onderzoek is afgerond. Deze moet verder duidelijkheid bieden over het toegangspunt van de aanval, de getroffen systemen en de fouten in de opname-autorisatie.

Hoeveel van de resterende ongeveer $3,3 miljard uiteindelijk wordt teruggevorderd, wanneer stortingen en opnames hervatten en wat de post-mortem onthult, zal bepalen hoe de uiteindelijke omvang van het incident wordt ingeschat. Nu miljarden dollars nog onderwerp zijn van spoor- en herstelinspanningen blijft de uiteindelijke financiële impact onzeker. De inbreuk behoort al tot de meest ingrijpende beveiligingsincidenten van cryptobeurzen, en de omvang zou elke eerder geregistreerde cryptodiefstal kunnen overtreffen als de voorlopige cijfers worden bevestigd.