Het meest alarmerende aspect van wat wordt omschreven als de grootste diefstal uit de menselijke geschiedenis is dat de cryptografie precies werkte zoals ontworpen. Niemand kraakte een hoofdsleutel op de avond van 29 oktober 2026. In plaats daarvan bereikte een aanvaller naar verluidt een interne servicecontainer via de gecompromitteerde laptop van een DevOps-ingenieur en gaf hij de ondertekeningsinfrastructuur van Binance de opdracht zichzelf leeg te laten lopen.

Binnen ongeveer 20 minuten verdwenen $6,3 miljard over 10 blockchains, waaronder Bitcoin, Ethereum, Solana en XRP. Daarmee werd de sombere mijlpaal van februari 2025 ruim overschreden, toen de Noord-Koreaanse Lazarus Group ongeveer $1,5 miljard van Bybit leegtrok. Over het incident bij Binance werd hier verslag gedaan: https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

Terwijl on-chain alarmmeldingen zich over X verspreidden, kwam Binance-medeoprichter Changpeng Zhao (CZ) met de eerste openbare erkenning in een opvallend ingetogen bericht: "User funds are safe! It does look like a hack on Binance. Appreciate the quick freeze from Tether ($971m) and Circle ($823m)." Het bericht is hier te vinden: https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU\u0026s=19.

Enkele minuten later voegde Zhao toe: "I don't manage Binance (.com) anymore, but as a shareholder, I expect all user funds will be fully covered."

Tegen vrijdag 30 oktober was ongeveer $3 miljard aan gestolen stablecoins en tokens on-chain bevroren – minder dan de helft van het totale gestolen bedrag. De FBI en TRM Labs hadden de diefstal met hoge zekerheid gekoppeld aan de TraderTraitor-eenheid van Noord-Korea.

De aanval vond plaats terwijl de markt $1,49 miljard aan geliquideerde geleverde posities moest verwerken en Bitcoin onder $78.000 zakte. Binance-CEO Richard Teng reageerde in een videotoespraak en beloofde een corporatieve garantstelling van $6,34 miljard.

"We are committed to covering all hacked losses through our company funds. Your assets are safe," zei Teng, waarbij hij erop aandrong dat de geldstroom alleen corporate hot wallets had getroffen. "We never use any customer funds, so they are not impacted."

Wie het Binance-incident echter als een geïsoleerd crypto-misser luk beschouwt, mist het bredere patroon. De geldstroom van 29 oktober was de slotakte van een wereldwijde cyberbeveiligingsinzinking van 31 dagen. Gedurende wat bekend kwam te staan als Black October vielen de verdedigingsperimeters rond webservers, banken en digitale-activa-infrastructuur tegelijkertijd uit.

De fundamentsscheur van PHP2Shell

Zeven dagen voordat Binance's wallets werden leeggetrokken, plaatste Zhao een waarschuwing op X die achteraf profetisch leek. "Call me paranoid, but be extra careful visiting ANY website in the next few days, as some web admins are not always up-to-date with security patches," schreef hij op 21 oktober, verwijzend naar twee pas openbaar gemaakte kwetsbaarheden in PHP. Het gerelateerde bericht is hier te vinden: https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/.

Een dag later volgde hij op met een technische waarheid: "No crypto wallet is 100% safe. No software is bug-free. No tech is 100% secure." Zijn tweede bericht is hier te vinden: https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8\u0026s=19.

De kwetsbaarheden achter Zhao's waarschuwing stonden bekend als PHP2Shell en waren geregistreerd als CVE-2026-109618 en CVE-2026-109619. De twee use-after-free-geheugenbugs hadden een kritieke CVSS v4.0-zwaartescore van 9.2 en troffen elke standaardinstallatie van de kern-PHP-runtime vanaf versie 5.4 tot en met 8.5.11.

PHP drijft naar schatting ongeveer 70% van de serverinfrastructuur van het internet. De kwetsbaarheden stelden niet-geauthenticeerde aanvallers in staat om code op afstand uit te voeren en servergeheugen bloot te geven – waaronder sessietokens, TLS-privésleutels en database-wachtwoorden – nog voordat de applicatiecode van een website draaide.

Misbruik begon naar verluidt rond 17 oktober, vier dagen voordat de PHP Group op 21 oktober noodpatches uitbracht. De gepatchte versies waren 8.5.12, 8.4.27, 8.3.36 en 8.2.35 – de releases die beheerders van getroffen servers moesten installeren om de kwetsbaarheid te dichten. Cloudflare-CTO Dane Knecht meldde direct "early attacks emerging" en waarschuwde dat web application firewalls slechts een tijdelijke oplossing boden.

"This is a goldmine for hackers," zei Shahak Shalev, Global Head of Scam and AI Research bij Malwarebytes. "They can hijack real websites to take advantage of the site's reputation to do things like phishing people and serve malicious software from the trusted channel. The opportunities are endless."

Crypto-beurzen en moderne fintechbedrijven bouwen hun kernsystemen vaak in Go, Rust of TypeScript. Onderzoeks security-onderzoekers bij Halborn echter dat PHP nog steeds veel wordt gebruikt voor de marketingsites, supportportals en backoffice-beheerpanelen rond die systemen. Veel van die diensten bevatten actieve API-sleutels en webhook-geheimen.

Terwijl deze onderliggende webinfrastructuur onder druk kwam te staan, useerden dreigingsactoren de maand oktober om inloggegevens te verzamelen en instellingen op elk continent binnen te dringen.

In Zuid-Afrika werd het pathologiebedrijf Ampath Laboratories aangevallen door het ransomwaregroep ByteToBreach. Dezelfde dreigingsactor had eerder dat jaar al Nigeriaanse instellingen aangevallen, waaronder Sterling Bank en de Corporate Affairs Commission (CAC). ByteToBreach claimde 80 miljoen patiëntendossiers te hebben buitgemaakt.

Aanvallers richtten zich ook op traditionele financiële en retailbedrijven. In Zuid-Korea gebruikten hackers een Chinees AI-hulpmiddel om halverwege de maand 16 financiële bedrijven binnen te dringen en 68.000 dossiers te stelen. Vervolgens richtten ze zich op Daishin Securities, waar 38.490 dossiers werden gelekt, evenals op Mirae Asset en de interne groupware van crypto-beurs Bithumb op 28 oktober.

In Italië gebruikten fraudeurs een drie minuten durende AI-gegenereerde kloon van de stem van een advocaat om bestuurders bij Fideuram, de private banking-tak van Intesa Sanpaolo, te overhalen $108 miljoen naar buitenlandse rekeningen over te maken. In Japan kreeg IT-bedrijf GMO Internet te maken met een losgeld-eis van $50 miljoen nadat de forex- en cloudservers waren binnengedrongen. Retailer MUJI gaf 27,26 miljoen klantrecords bloot, terwijl Cathay Pacific 53.000 boekingsrecords verloor door een inbraak bij een leverancier.

De digital-activa-sector kreeg met extra incidenten te maken voordat Binance werd aangevallen. Fabrikant van hardware wallets Ledger meldde op 12 oktober dat malafide LTE eSIM-implantaten, verstopt in apparaten die via externe reseller CryptoBilis waren verkocht, $86 miljoen aan klantfondsen hadden afgetapt.

Op 20 oktober moest concurrent Keystone 18.835 onverkochte apparaten vernietigen nadat een inbraak bij een externe trackingleverancier 25.964 koperrecords en een productieverificatiesleutel had blootgegeven. Op 28–29 oktober bevestigde Coinbase dat klantgegevens waren blootgesteld via analytics-leverancier Amplitude. Voorspellingsmarkt Polymarket stopte de internationale handel nadat een gekaapt script van de Britse monitoringleverancier DebugBear $2,65 miljoen van meer dan 700 accounts had afgetapt.

Drie structurele verschuivingen

Drie structurele veranderingen verklaren mede waarom beveiligingsstoringen zich in oktober 2026 tegelijkertijd over het wereldwijde systeem verspreidden.

Ten eerste heeft ondermijning van workflows de directe sleuteldiefstal steeds verder vervangen. Zoals Zhao op 21 oktober schreef: "AI doesn't need to break Bitcoin's cryptography to cause damage; leaked data already enables more phishing, social engineering, etc."

Bij Binance stalen de aanvallers naar verluidt geen privésleutels. Ze compromitteerden het werkstation van een ingenieur, bereikten een servicecontainer die opnames verzoekt en misbruikten het impliciete vertrouwen van de ondertekeningslaag in die container. Na toegang te hebben verkregen, misbruikten ze Ethereum's EIP-7702-functie – een protocolmogelijkheid waarmee gewone blockchain-accounts smart-contract-achtige programmeerbaarheid kunnen aannemen – om de cross-chain geldstroom binnen enkele minuten te automatiseren.

Ten tweede werd offensieve AI autonoom. Tijdens oktober zetten cybercrimesyndicaten agentische AI-platforms in, gebouwd op commerciële grote taalmodellen – autonome systemen die meerstaps-taken met minimale menselijke controle kunnen uitvoeren – om ongepatchte PHP2Shell-servers te scannen, Active Directory-overnames via ConnectWise-backups te automatiseren en meer dan 400 financiële instellingen in Latijns-Amerika en Azië sneller aan te vallen dan menselijke teams konden patchen.

Ten derde stortte de perimeter rond externe leveranciers in. Polymarket's DebugBear-script en Coinbase's Amplitude-tracker behoorden tot de externe tools die werden gebruikt om getroffen bedrijven te bereiken. Cloudcredential-lekken bij Railway en LiteLLM lieten dezelfde zwakte zien: organisaties werden herhaaldelijk gecompromitteerd via tools die aan hun technologiestacks waren toegevoegd.

Black October toonde aan dat een reservefonds van miljarden dollars en militaire-grade koude opslag een ecosysteem niet kunnen beschermen wanneer een enkele ongepatchte PHP-server, een vergiftigd leveranciersscript of een gecompromitteerde laptop van een ingenieur de kluis kan opdragen zichzelf leeg te laten lopen.