Binance bevestigde vrijdag dat aanvallers ongeveer $6,3 miljard hebben gestolen over meerdere blockchains, in wat het beurs omschreef als de grootste diefstal uit de cryptogeschiedenis. Het bedrijf heeft beloofd alle verliezen te dekken.

Alleen al op Ethereum werd ongeveer $2,5 miljard binnen minder dan vier minuten weggehaald uit een Binance-portemonnee via de EIP-7702-functie van het netwerk, en ongeveer $3 miljard van de getroffen activa is inmiddels bevroren.

Het beurs zei dat het eerste onderzoek suggereerde dat het beveiligingsincident mogelijk een gecompromitteerde laptop betrof, maar dat een vervolgonderzoek extra inbreukpunten aan het licht bracht.

Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. This was a complex attack, and we are doing all we can in coordination… pic.twitter.com/FQQ3vKT6GU

— Binance (@binance) October 30, 2026

Een aflaat van vier minuten op Ethereum

De aanvaller gebruikte EIP-7702, een functie die in mei 2025 live ging als onderdeel van Ethereum's Pectra-upgrade, om ongeveer $2,5 miljard aan ether en tokens binnen minder dan vier minuten te verplaatsen uit een Binance-portemonnee op donderdag.

De meeste Ethereum-portemonnees worden beheerd door één privésleutel en kunnen geen regels afdwingen zoals uitgavenlimieten. Met EIP-7702 kan een gewone portemonnee code lenen van een slim contract door een kort bericht te ondertekenen, een zogenaamde autorisatie. De functie is ontworpen om portemonnees te helpen betalingen te bundelen en derden transactiekosten te laten betalen.

Binnen enkele weken na de lancering van de upgrade ontdekte het handelsbedrijf Wintermute dat de meeste vroege delegaties wezen naar "sweeper"-scripts — programma's die de gelden van een portemonnee doorsturen naar een dief — een vroeg teken dat de functie werd misbruikt voor diefstal.

How the Binance hack worked: The attacker exploited EIP-7702 – an Ethereum Pectra upgrade That lets a regular wallet temporarily act as a smart contract with a valid private key signature. Hacker pre-collected 50 EIP-7702 authorizations with sequential nonces Not knowing the… pic.twitter.com/Cq5lv8Qwc7

— philarekt (@philarekt) October 29, 2026

Hoe de aanval verliep

De aanvaller begon woensdag zijn hoof portemonnee te financieren via Tornado Cash, een cryptomixer. Ze testten het plan op hun eigen portemonnees en zetten donderdag rond 16:00 UTC een sweeper-contract in, geconfigureerd zodat alleen de portemonnee van de aanvaller het kon bedienen.

Om 20:20 UTC stuurde de aanvaller één transactie met 50 autorisaties. Elk was ondertekend door een portemonnee met op Etherscan het label "Binance 14" en bevatte een andere transactietellerwaarde, of nonce, zodat er één zou overeenkomen terwijl de portemonnee opnames bleef versturen. Ethereum accepteerde de autorisatie met nummer 18.914.809 en negeerde de andere 49.

Om 20:24 UTC verplaatste de aanvaller ongeveer 167.464 ETH en 63 tokens, waaronder ruim 1,6 miljard USDT. Meer klantstortingen werden om 21:04 en 21:44 UTC uit de portemonnee weggehaald. Volgens TRM Labs gebruikte de aanvaller de portemonnee ook om een afzonderlijke Binance-portemonnee opdracht te geven 823 miljoen USDC te versturen. De machtiging werd pas om 00:10 UTC op vrijdag ingetrokken — bijna vier uur na de eerste transactie.

De diefstal ging verder dan Ethereum

De operatie was niet beperkt tot Ethereum. De aanvaller verplaatste ook 18.270 bitcoin, honderden miljoenen XRP en gelden op Solana en Tron. Die netwerken gebruiken geen EIP-7702, en de gelden verlieten de portemonnees via normale ondertekende transacties, aldus TRM Labs.

Onderzoek wijst op een gecompromitteerde laptop

Binance-co-CEO Richard Teng zei dat eerste bevindingen wezen op een gecompromitteerde laptop van een DevOps-engineer. Hij zei dat de aanval geen enkele "one-click"-actie was en dat er geen aanwijzingen zijn dat privésleutels waren gelekt.

Binance meldde later dat onderzoekers extra inbreukpunten vonden, maar het bedrijf heeft deze niet genoemd of uitgelegd hoe de aanvaller aan de handtekeningen kwam.

Beveiligingsbedrijven reageren

Beveiligingsbedrijven zeiden dat de upgrade de hack niet heeft veroorzaakt, maar mogelijk heeft geholpen controles te omzeilen. Ido Ben-Natan, CEO van beveiligingsbedrijf Blockaid, zei dat aanvallers de gelden ook zonder EIP-7702 hadden kunnen stelen, maar dat de functie hen in staat stelde het in één keer te doen en mogelijk sommige controles hielp omzeilen. Ivo Georgiev, CEO van portemonnee-aanbieder Ambire, gaf een tegengestelde beoordeling en zei dat de functie weinig verschil maakte omdat de hackers al transacties konden autoriseren.

Omdat de operatie ook normale ondertekende transacties op netwerken omvatte die geen EIP-7702 gebruiken, laat het incident niet zien dat de Ethereum-functie alleen verantwoordelijk was voor de volledige diefstal. De extra inbreukpunten en het nog niet openbaar gemaakte aanvalspad laten de reikwijdte van eventuele beveiligingsmaatregelen onopgelost.

Binance belooft verliezen te dekken

Binance zei dat ongeveer $3 miljard van de getroffen activa is bevroren. Het beurs is van plan het SAFU-noodfonds en eigen middelen te gebruiken om de verliezen te dekken. Het volledige aanvalspad is nog niet openbaar gemaakt. Meer duidelijkheid hangt af van het onderzoek van Binance, waaronder een toelichting op de extra inbreukpunten en hoe de handtekeningen zijn verkregen.