Acht weken stille toegang gingen.record-diefstal van $6,3 miljard uit Binance vooraf

De hackers die op 29 oktober ongeveer $6,3 miljard uit Binance haalden, hadden naar verluidt acht weken toegang tot het beursplatform voordat ze toesloegen. De diefstal zelf verliep snel; de voorbereiding niet, en juist dat gat is het ongemakkelijkste onderdeel van het verhaal. De overval richtte zich op de hot wallets van Binance — de met internet verbonden wallets die beurzen online houden voor de dagelijkse verwerking van stortingen en opnames van klanten — en geldt als de grootste diefstal van digitale activa tot op heden.

Twintig minuten actie, weken geduld

De aanval begon rond 20:05 UTC op 29 oktober 2026, met het grootste deel van de operatie dat zich binnen ongeveer 20 minuten afspeelde. In dat venster verplaatsten de aanvallers fondsen over meer dan tien blockchains, waaronder Ethereum, Bitcoin en Solana. Het coördineerd leeghalen van zoveel netwerken vraagt om planning, niet om improvisatie. De verspreiding beperkt bovendien de herstelmogelijkheden: de tools voor het traceren en bevriezen van gestolen fondsen verschillen per chain, en niet elk activum in beweging kan worden onderschept.

De voorbereiding zou nog veel verder terugreiken. Onderzoek naar het incident wijst op een voorbereidingsperiode die uiterlijk in juni 2026 begon. De tijdlijn omvat ook specifieke stappen op 20 oktober, en het testen van interne toegang zou ongeveer 36 uur voor de aanval hebben plaatsgevonden.

Hoe ze binnenkwamen

Het onderzoek van Binance wees uit dat de inbraak voortkwam uit een meerlaagse campagne gebaseerd op social engineering, oftewel de manipulatie van mensen en vertrouwde workflows in plaats van een directe cryptografische kraak. De tactieken omvatten een nep-sollicitatiegesprek en gemanipuleerde softwareontwikkelaarstools, die de aanvallers toegang gaven tot de interne systemen van Binance. Van daaruit konden ze ongeautoriseerde transacties doordrukken.

Opmerkelijk genoeg hoefden de aanvallers de private keys niet te compromitteren. Private keys zijn de cryptografische wachtwoorden die crypto-wallets beheren, en ze worden doorgaans beschouwd als de kroonjuwelen van de beveiliging van een beurs.

De inbraak wordt toegeschreven aan TraderTraitor, een Noord-Koreaanse staatsgefinancierde hackergroep. Dezelfde groep wordt in verband gebracht met eerdere aanvallen, waaronder de diefstal van $1,5 miljard bij Bybit in februari 2025, die destijds als een mijlpaalverlies voor een gecentraliseerde beurs gold. Het bedrag bij Binance is meer dan vier keer groter.

De schadebeperking van Binance

Binance stopte direct na de diefstal de opnames en hervatte ze later in fasen. De beurs reserveerde ongeveer $6,34 miljard uit bedrijfsmiddelen om de verliezen te dekken, en tegen 31 oktober meldde het dat ongeveer 98% van de gestolen activa was aangevuld.

Ook partners en uitgevers van stablecoins sprongen bij. Ongeveer $2,85 miljard tot $3 miljard van de gestolen fondsen werd bevroren of onderschept. Uitgevers van stablecoins kunnen tokens op contractniveau blokkeren, waardoor een deel van de buit voor de dieven feitelijk wordt geneutraliseerd. Die controle bestaat alleen voor tokens waarvan de contracten door de uitgevers worden beheerd, en daarom kan een buit die over zoveel chains is verspreid niet volledig op deze manier worden onschadelijk gemaakt.

Binance heeft tevens een onafhankelijke beveiligingsbeoordeling in opdracht gegeven. Het verklaarde doel is om de inbraak te analyseren en de veerkracht van de beurs voortaan te versterken.

Een bekend scenario op grotere schaal

Met Noord-Korea gelinkte hackers hebben jarenlang een specifieke aanpak voor crypto-doelen verfijnd, en de Binance-case past in het patroon: geduldige infiltratie, menselijke manipulatie en vervolgens een snel vertrek.

Nep-sollicitatiegesprekken zijn een bijzonder effectief lokaas. Een ontwikkelaar die denkt een technische assessment te maken, kan code uitvoeren of tools installeren zonder de controle die hij op een onbekend bestand zou toepassen. Gemanipuleerde ontwikkelaarstools verlengen hetzelfde idee: ingenieurs vertrouwen hun toolchains, en dat vertrouwen wordt het toegangspunt.

Wat dit betekent

Voor beurzen is de duidelijkste les dat de beveiliging van hot wallets slechts zo sterk is als de interne systemen die transacties vanaf deze wallets kunnen autoriseren. Het beschermen van private keys is noodzakelijk maar duidelijk niet voldoende wanneer een indringer binnen het goedkeuringsproces kan opereren.

De gemelde toegangsperiode van acht weken zal waarschijnlijk de meeste aandacht trekken. Detectie, en niet alleen preventie, is waar de onafhankelijke beoordeling antwoorden moet bieden.

De gedeeltelijke bevriezing van ongeveer $2,85 miljard tot $3 miljard belicht nog een dynamiek: uitgevers van stablecoins en partnerbedrijven fungeren nu als een de facto noodrem bij grote diefstallen, wat het pleit versterkt voor gecentraliseerde interventietools waar sommigen in de cryptowereld nog steeds tegenstander van zijn.

Voor gebruikers gaat de praktische les minder over Binance specifiek en meer over hoe bewaring werkt. Fondsen op elke gecentraliseerde beurs zijn afhankelijk van de interne controles van die beurs, de reserves en het vermogen om een klap op te vangen wanneer die controles falen. Binance had deze keer de reserves. De open vraag voor de sector is hoeveel andere platforms hetzelfde kunnen zeggen als een groep met weken stille toegang hen volgende keer kiest.