Hackers stalen donderdag ongeveer $6,3 miljard van Binance in wat nu de grootste cryptodiefstal ooit geregistreerd is, ruim voorbijgaand aan de $1,5 miljard die in februari 2025 bij Bybit werd gestolen. Branchepartners hebben ongeveer $3 miljard aan getroffen activa bevroren, terwijl klanten van het beursplatform wachten op de heropening van opnames.

Het blockchainanalysebedrijf TRM Labs spoorde de eerste ongeautoriseerde overboekingen aan tot rond 20:05 UTC op donderdag, toen Binance-wallets op meerdere blockchains werden leeggehaald. De aanvallers richtten zich op hot wallets, die beurzen met het internet verbonden houden om opnames te verwerken. Omdat ze online moeten blijven, worden hot wallets doorgaans beschouwd als het meest kwetsbare deel van de infrastructuur van een beurs, en grote inbreuken bij beurzen hebben zich herhaaldelijk op hen gericht.

TRM Labs schreef de aanval toe aan de TraderTraitor-groep van Noord-Korea, dezelfde actor die de Amerikaanse Federal Bureau of Investigation verantwoordelijk hield voor de diefstal bij Bybit. Binance heeft de identiteit van de aanvallers publiekelijk niet bevestigd. Als de toerekening klopt, zouden de twee grootste cryptodiefstallen ooit geregistreerd teruggingen op één groep.

De onderstaande cijfers en tijdlijn zijn gebaseerd op de live berichtgeving van Cointelegraph over het incident en de daaropvolgende verklaringen van het beursplatform. Het onderzoek is nog gaande, en zowel de verliestotalen als het herstelschema kunnen nog wijzigen.

Binance reserveert $6,34 miljard om verliezen te dekken

Binance zei meer dan $6,34 miljard aan bedrijfsfondsen te hebben gereserveerd om de verliezen te dekken, waaronder $5 miljard die al in de getroffen tokens wordt aangehouden. Die toewijzing omvat de bevroren activa niet, en het beursplatform zei de resterende tokens via beurzen en over-the-counter-transacties in te kopen. Samen weerspiegelen de bevriezingen door partners en de door het bedrijf gefinancierde reserve de twee belangrijkste herstelinstrumenten bij een diefstal van deze omvang: het onderscheppen van gestolen geld terwijl het door het ecosysteem beweegt, en het aanvullen van klantsaldi uit de eigen balans van de beurs.

Een woordvoerder vertelde Cointelegraph dat de $5 miljard in het beheer van Binance is, maar weigerde de walletadressen bekend te maken vanwege veiligheidsoverwegingen. Het beveiligingsbedrijf CertiK zei meer informatie nodig te hebben om de bezittingen onafhankelijk te verifiëren.

EIP-7702's rol onder de loep

Ethereums EIP-7702-upgrade kwam onder de loep te liggen nadat aanvallers deze hadden gebruikt om een Binance-wallet leeg te halen. EIP-7702 is een functie waarmee een wallet software kan autoriseren om namens haar op te treden. Blockaid-CEO Ido Ben-Natan vertelde Cointelegraph dat gecompromitteerde ondertekeningssystemen de diefstal waarschijnlijk mogelijk maakten.

Volgens Ben-Natan hadden de aanvallers de fondsen ook zonder EIP-7702 kunnen stelen, maar de functie kan hen hebben geholpen beveiligingsmaatregelen te omzeilen en de activa in één keer leeg te halen.

Binance-co-CEO Richard Teng zei dat de aanvaller een EIP-7702-delegatie gebruikte om uitvoeringsbevoegdheid over een hot wallet te verkrijgen zonder de normale goedkeuringscontroles van de beurs te doorlopen. Een "zelfvernietigingsmechanisme" vernietigde de tools en sporen, wat het onderzoek bemoeilijkte, zei hij.

Binance zei dat onderzoekers naast de aanvankelijk vermoede gecompromitteerde laptop ook aanvullende inbreuken hadden ontdekt. Het beursplatform meldde echter geen bewijs dat de privésleutels van wallets waren gelekt en verwachtte binnen ongeveer 48 uur verdere technische bevindingen te delen.

"Om duidelijk te zijn: de aanvaller heeft niet simpelweg de rechten van één ingenieur gebruikt, en dit was geen enkele 'één-klik'-actie", zei Teng. "Ons onderzoek heeft niemand verantwoordelijk gehouden."

Chainalysis observeerde duizenden transacties in snel opeenvolging die konden wijzen op geautomatiseerde witwaspraktijken, waarbij geld tussen adressen circuleerde en soms terugkeerde naar eerder gebruikte wallets.

Gebruikers wachten op heropening van opnames

De diefstal schudde de cryptoprijzen wakker en leidde ertoe dat het gedecentraliseerde leningsplatform Aave een voorzorgsfreeze instelde op nieuwe stortingen en leningen. Aave meldde op X dat zijn markten vrijdagmiddag heropend werden, terwijl de opnames van Binance geschorst bleven.

In een vrijdag-update op X zei Binance te zijn begonnen met het gefaseerd heropenen van opnames op zondag 1 november, onder voorbehoud van het afronden van beveiligingscontroles. Stortingen en andere niet getroffen diensten bleven operationeel.

In een officiële aankondiging zei het beursplatform ook binnen 12 uur na de aankondiging een eerste proof-of-reserves-snapshot te willen nemen, met resultaten gereed tegen maandag. Het rapport is bedoeld om te laten zien welke activa Binance aanhoudt en hoe de klantsaldi gedekt zijn.

In een zaterdag-update zei Binance 90% van de gestolen activa te hebben aangevuld en op schema te liggen om opnames tegen zondag te heropenen. Samen vormen de gefaseerde heropening die zondag begint, de beloofde technische bevindingen binnen ongeveer 48 uur en de proof-of-reserves-resultaten die maandag verwacht worden de tijdlijn waarlangs het herstel van het beursplatform kan worden gemeten.