Portemonnees die gelinkt worden aan de vermoedelijke Binance-hack hebben tienduizenden ETH ontvangen van Uniswap-contracten en 19.762 ETH geleend op Aave tegen ongeveer $60 miljoen aan USDT. Er is geen aanwijzing dat een van beide applicaties is misbruikt.

Per 22:07 UTC bevond zich ongeveer 253.000 ETH—ter waarde van ruwweg $570 miljoen—in twee portemonnees zonder uitgaande transacties. In tegenstelling tot gecentraliseerde stablecoins heeft ETH geen issuer die het asset kan bevriezen.

De activiteit vond plaats toen de aanvaller achter de portemonnees die Binance leeghaalden, gedecentraliseerde beurzen en leningprotocollen gebruikte als afvoerroutes. Etherscan-gegevens van 10 portemonnees, waarvan er acht zijn gelabeld als exploiters, tonen dat de vermoedelijke aanvaller stablecoins die issuers kunnen bevriezen omwisselde in ETH, dat door geen enkele issuer kan worden bevroren.

Portemonnees gelinkt aan de grootste cryptobeurs ter wereld werden eerder op donderdag leeggehaald van ten minste $5,5 miljard, met een totaal dat nog steeds groeit. Binance zei een beveiligingsincident te onderzoeken, maar bevestigde niet of gebruikersfondsen zijn getroffen. Beveiligingsdeskundigen zijn er breed van overtuigd dat de beurs daadwerkelijk is gehackt. Bij bevestiging zou het incident de grootste hack uit de 18-jarige geschiedenis van de cryptosector zijn.

Stablecoin-issuers Tether en Circle hebben snel adressen geassocieerd met de vermoedelijke aanvaller op de zwarte lijst geplaatst, waarbij een deel van de fondsen werd bevroren en ontoegankelijk werd gemaakt. Als gecentraliseerde issuers kunnen beide bedrijven adressen op de zwarte lijst plaatsen zodat hun tokens niet kunnen worden verplaatst. Tot nu toe is meer dan $2 miljard aan USDT en USDC bevroren door verschillende stablecoin-aanbieders. ETH heeft geen issuer, wat betekent dat fondsen die vóór een bevriezing in ETH zijn omgezet niet meer op dezelfde manier kunnen worden geblokkeerd.

De swaps verliepen via Uniswap, een gedecentraliseerde beurs waar transacties automatisch worden afgewikkeld zonder dat een bedrijf als tussenpersoon optreedt. Eén relay-portemonnee ontving 20.940 ETH, ter waarde van $45,58 miljoen, van Uniswaps UniswapX-contract om 20:34 UTC. Een andere ontving 3.552 ETH, ter waarde van meer dan $8 miljoen, om 20:47 UTC.

Twee daaropvolgende portemonnees ontvingen ongeveer 18.085 ETH, ter waarde van rond de $41 miljoen, van Uniswap-contracten in batches van 7.444 ETH en 10.642 ETH. Ze ontvingen ook ongeveer 16.498 ETH, ter waarde van $37,5 miljoen, in batches van 6.946 ETH en 9.552 ETH.

Aave, een leningapplicatie waarmee gebruikers crypto als onderpand kunnen storten en andere assets kunnen lenen, bood een tweede afvoerroute. Tussen 20:57 en 21:01 UTC stortte één portemonnee $10 miljoen en vervolgens $50 miljoen aan USDT. Tegen die stortingen leende het 3.271 ETH, ter waarde van $7,43 miljoen, en vervolgens 16.491 ETH, ter waarde van $37,47 miljoen. De leenroute leidt naar dezelfde bestemming als de swaps: de gestorte stablecoins blijven achter als onderpand, terwijl de geleende ETH geen issuer heeft met de bevoegdheid om deze te bevriezen.

De transacties brachten Odysseas Lamtzidi, oprichter van cybersecuritybedrijf Phylax Systems, ertoe te waarschuwen voor "contagion in full effect."

Update: They just approved AAVE. Contagion in full effect — Odysseus | phylax.systems (@odysseas_eth) October 29, 2026

Aave heeft inmiddels zijn V3-markten op Ethereum mainnet bevroren, waardoor nieuwe stortingen en leningen worden geblokkeerd. De stap onderstreept een structureel verschil in hoe de sector kan reageren: stablecoin-issers zetten individuele adressen op de zwarte lijst, terwijl gedecentraliseerde protocollen volledige markten pauzeren.

Kamino, een decentralized finance-protocol gebouwd op Solana, heeft ook zijn Solana- en Bitcoin-markten als voorzorgsmaatregel gepauzeerd. Kamino zei niet getroffen te zijn door de Binance-situatie en dat het leningen in de SOL/BTC-markt tijdelijk had stopgezet terwijl het de ontwikkelingen in de gaten houdt en met partners communiceert.

Kamino can confirm that it is currently unaffected by the ongoing Binance situation Out of an abundance of caution, we have temporarily paused borrowing in the SOL/BTC Market We are actively monitoring the situation and are in communication with various partners. Any further… — Kamino (@kamino) October 29, 2026

De ETH heeft zich opgehoopt in de vermoedelijke exploiter-portemonnees in plaats van verder te bewegen. Een portemonnee gelabeld als Exploiter 8 hield om 22:03 UTC 195.460 ETH vast, ter waarde van $444,2 miljoen. Nog eens 57.891,77 ETH, ter waarde van $131,6 miljoen, was terechtgekomen in een portemonnee gelabeld als Exploiter 11. Samen bedroegen de bezittingen ongeveer 253.000 ETH, of rond de $570 miljoen.

De tweede groep fondsen arriveerde na vier overboedingen binnen 28 minuten: van Exploiter 4 naar Exploiter 5, van 5 naar 6, van 6 naar 7 en van 7 naar 11.

De aanvaller wisselde ook 36 miljoen RLUSD, Ripples door de dollar gedekte stablecoin, om in 15.439 ETH. Nog eens 52,54 miljoen RLUSD bleef onbevroren in de bewaarportemonnee, volgens een on-chain update die circuleert op X. Etherscan toonde om 20:41 UTC ongeveer $88,5 miljoen aan RLUSD in de belangrijkste ontvangende portemonnee, wat overeenkomt met de gecombineerde waarde van die twee bedragen. Of de resterende RLUSD volledig wordt bevroren, of de verzamelde ETH in beweging komt, of Aave en Kamino hungepauzeerde markten heropenen, en of Binance de impact op gebruikersfondsen toelicht, zijn de directe ontwikkelingen om in de gaten te houden.

Binance co-CEO Yi He zei dat Ripple inmiddels ongeveer $200 miljoen aan RLUSD heeft bevroren, naast meer dan $2 miljard aan USDT en USDC die door stablecoin-aanbieders is bevroren.

"Thanks to the Ripple team for promptly freezing approximately 200 million. User Funds are SAFU," schreef Yi He op X, verwijzend naar het noodreservefonds van de beurs.

"Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers' RLUSD holdings and we are actively freezing affected funds," zei Jack McDonald, senior vice president stablecoins bij Ripple, in een verklaring. "We're coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users protected."

Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers' RLUSD holdings and we are actively freezing affected funds. We're coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users… — Jack McDonald (@JackMcDonald) October 29, 2026

Tornado Cash, een mixer die het spoor van crypto-betalingen vertroebelt, tot nu toe lijkt alleen op te treden als financieringsbron voor het adres dat de aanval opzette.

Voor een beeld van hoe incidenten van deze omvang eerder zijn verlopen, is de Bybit-hack het meest recente precedent: na die aanval zette Noord-Korea's Lazarus Group 84,45% van de gestolen ETH om in Bitcoin via Thorchain, een cross-chain swap-netwerk, volgens de CEO van Bybit. Monero, een privacycoin die de identiteiten van transactiedeelnemers verbergt, steeg donderdag ongeveer 6%, wat duidt op een mogelijke rotatie naar de privacycoin.

Bron: https://decrypt.co/382194/binance-hack-exit-ramps-defi-exchange-ethereum