Binance mede-CEO Richard Teng zei dat de aanvallers achter de hack van ongeveer $6,3 miljard die op 30 oktober werd bekendgemaakt, zelfvernietigingsmechanismen in hun werkwijze hadden ingebouwd, waarbij hun tools en sporen tijdens de aanval werden uitgewist — een maatregel die, aldus Teng, het incident aanzienlijk moeilijker te traceren heeft gemaakt.

De update van 30 oktober schetste ook hoe de aanvallers de controle over een hot wallet verkregen, waarom het onderzoek verder reikte dan de aanvankelijke spoor, en wat Binance doet om diensten te herstellen, systemen te auditen en reserves aan te tonen.

Teng bevestigde dat meerdere mensen aan de aanval deelnamen. Onderzoekers vermoedden aanvankelijk dat een gecompromitteerde laptop het toegangspunt was, maar het team identificeerde later andere toegangspunten tot de systemen van Binance. Als gevolg daarvan is de omvang van het onderzoek gegroeid, en de mede-CEO zei dat het verbrede onderzoek complexer is geworden.

Zelfvernietigingstools en uitgewiste koppelingsgegevens

Volgens de update wisten de zelfvernietigingsmechanismen tools en sporen uit terwijl de aanval aan de gang was. De aanvallers verwijderden ook koppelingsgegevens tijdens de uitvoering, wat beperkt hoe makkelijk onderzoekers de kwaadaardige activiteit kunnen verbinden. Het team werkt ondertussen verder met de resterende gegevens. Die verwijdering is van belang omdat blockchain-tracering doorgaans precies op dit soort koppelingsgegevens leunt om adressen te clusteren en gestolen fondsen te volgen — wat betekent dat de externe intelligencebedrijven die Binance nu bijstaan, werken met een opzettelijk uitgedund spoor.

Hoe de aanvallers de controle namen

Teng zei dat de aanvallers EIP-7702 gebruikten, een Ethereum-standaard die gewone wallet-adressen in staat stelt smart-contractfunctionaliteit aan te nemen, om on-chain uitvoeringsautoriteit over een hot wallet te verkrijgen. Die stap omzeilde de normale goedkeuringscontroles van de beurs, wat betekent dat de hot wallet fondsen verplaatste zonder de gebruikelijke interne goedkeuring.

Hot wallets zijn verbonden met het internet zodat beursen dagelijkse opnames kunnen verwerken, wat ze tot een logisch brandpunt maakt in de beveiliging van beursen. EIP-7702 is zelf recent: het ging live met Ethereum's Pectra-upgrade in mei 2025 als onderdeel van de inspanning van het netwerk om smart-accountmogelijkheden naar standaard wallets te brengen.

Het incident resulteerde in een verlies van ongeveer $6,3 miljard, en de verhullingsmaatregelen hebben de pogingen om het pad van de aanvallers door de systemen van Binance te reconstrueren bemoeilijkt, aldus de update.

Opnames gepauzeerd tijdens herbouw van systemen

Binance heeft opnames gepauzeerd tijdens het herbouwen en testen van de systemen, zei Teng. De dienst blijft offline totdat deze security- en functionele tests doorstaat, wat betekent dat gebruikers in de tussentijd geen fondsen van de beurs kunnen opnemen.

De beurs richt zich op herstel binnen 40 uur, een termijn die vóór de in de update genoemde zondagdeadline valt.

Als onderdeel van de bredere herstelinspanning heeft Binance ook een volledige beveiligingsaudit gestart. De beoordeling omvat alle endpoints, cloudinfrastructuur, key management-protocollen en cryptografische ondertekeningsprocedures — de controles die bepalen hoe transactieautoriteit wordt verleend en uitgevoerd.

Proof of reserves-rapport verwacht uiterlijk maandag

Proof of reserves is een andere prioriteit. Binance rondt de aankoop van de resterende activa af, waarna het een eerste overzicht van de reserves wil publiceren. Een volledig rapport wordt uiterlijk maandag verwacht en moet de dekking van activa en liquiditeit aantonen.

Dit soort rapporten werd na de ineenstorting van FTX in 2022 een wijdverbreide industriepraktijk, toen beursen onder druk stonden om gebruikers te laten zien dat klantactiva daadwerkelijk gedekt waren.

Samenwerking met autoriteiten en industriepartners

Teng voegde toe dat Binance met externe partners samenwerkt om de gestolen fondsen te traceren en terug te vorderen. Dit zijn onder meer justitieinstanties, blockchain-intelligencebedrijven, token-uitgevers en andere beursen. De beurs is ook van plan juridische verantwoordelijkheid van de aanvallers te eisen en zal met deze groepen blijven afstemmen zolang het onderzoek loopt.

Bron: Blockonomi