Drie blockchain-analysebedrijven hebben de hack van deze week op Binance toegeschreven aan Noord-Korea, waarbij de twee grootste—TRM Labs en Chainalysis—TraderTraitor, een Noord-Koreaanse hackergroep, aanwijzen als verantwoordelijk voor wat beide de grootste cryptodiefstal ooit noemen.

TRM Labs zei de toereiging te hebben gedaan "met hoge zekerheid", gebaseerd op "robuuste on-chain en off-chain inlichtingen." Het bedrijf schatte de diefstal op ongeveer 6,36 miljard dollar, die werd verplaatst uit Binance-portemonnees over 10 blockchains, waarvan het grootste deel binnen ongeveer 20 minuten vanaf 16:05 uur ET op donderdag werd weggesluisd. Dat is ongeveer vier keer de Bybit-hack van 1,5 miljard dollar in februari 2025, die de FBI aan dezelfde groep toeschreef, merkte TRM op.

Chainalysis, dat het totaal op ongeveer 6,4 miljard dollar schatte, zei dat het sterkste bewijs kwam toen zijn onderzoekers zagen dat gestolen Binance-geld in realtime werd vermengd met opbrengsten van de Bitget-exploit van vorige maand, die was toegeschreven aan Noord-Koreaanse actoren. Een woordvoerder van Chainalysis zei tegen CNN dat het bedrijf "hoge zekerheid" had dat Noord-Korea achter de hack zat.

Het in Singapore gevestigde Pangolin Intelligence vertelde CNN eveneens te menen dat een Noord-Koreaanse hackerseenheid verantwoordelijk was, gebaseerd op "het analyseren van de on-chain activiteit gerelateerd aan deze hack en het correleren met informatie uit eerdere bekende incidenten." Noord-Korea heeft hackingbeschuldigingen eerder ontkend.

Hoe de aanpak werkte

TRM en Chainalysis zeiden beide dat de operationele portemonnee van de aanvaller werd gefinancierd via Tornado Cash, een cryptomixer. TRM zei dat dit, samen met andere kenmerken—waaronder voorbereiding die ruim vóór de diefstal begon—overeenkwam met eerdere aan Noord-Korea gelinkte aanvallen zoals de Bybit-hack en de KelpDAO-exploit in april.

Op Ethereum gebruikte de aanvaller een EIP-7702-delegatie—een functie geïntroduceerd in Ethereum's Pectra-upgrade waarmee een gewone portemonnee smartcontractcode kan uitvoeren—om een hot wallet van Binance (een met internet verbonden portemonnee) om te bouwen tot een door hem beheerste 'sweeper', met 50 vooraf voorbereide, ondertekende autorisaties, volgens TRM. Een sweeper brengt automatisch alle middelen die naar een adres worden gestuurd over. Binance-portemonnees op de andere negen ketens stuurden fondsen via gewone ondertekende transacties naar de aanvaller. Volgens de beoordeling van TRM wijst dit op een compromittering van de ondertekeningsinfrastructuur van de hot wallets van Binance.

Binance heeft gezegd dat het onderzoek begon met een gecompromitteerde laptop van een ingenieur, maar sindsdien "aanvullende inbreukpunten" heeft ontdekt. Ook de Bybit-aanval begon met één gecompromitteerde machine: Noord-Koreaanse hackers plaatsten kwaadaardige code in de infrastructuur van walletaanbieder Safe nadat ze de computer van een Safe-ontwikkelaar hadden gecompromitteerd, meldde Decrypt destijds.

Snelle witwaspraktijken, groeiende bevriezingen

De aanvaller is snel gaan handelen om te witwassen wat hij niet kon houden. Chainalysis zei "nog nooit geziene witwaspatronen" waar te nemen, met duizenden transacties in korte tijd, wat wijst op het gebruik van automatisering om fondsen herhaaldelijk tussen adressen te laten circuleren.

De aanvaller verkocht ook USDT aan market makers en leende ETH tegen USDT op het leenprotocol Aave om de bevriezingen van emittenten voor te zijn, volgens TRM, en houdt nu meer dan 420.000 ETH en 18.270 BTC—circa 2,4 miljard dollar buiten het bereik van enige emittent, aangezien noch ETH noch BTC een emitterend bedrijf heeft dat ze kan bevriezen.

Tether, Circle, Ripple en World Liberty Financial hebben ongeveer 2,67 miljard dollar aan stablecoins bevroren, en de Security Council van Arbitrum bevroor 8.426 ETH en 74,6 miljoen ARB, zei TRM. Binance houdt het totaal bevroren bedrag op ongeveer 3 miljard dollar.

Binance verplicht zich tot dekking van gebruikersverliezen

Binance is begonnen met het terugvorderen van getroffen activa voor gebruikers en blijft samenwerken met opsporingsautoriteiten, emittenten, blockchain-inlichtingenbedrijven en industriepartners om aanvullende fondsen op te sporen, te bevriezen en terug te vorderen.

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

In een update op vrijdag zei het beurs dat het meer dan 6,34 miljard dollar aan bedrijfsfondsen heeft gereserveerd om het incident te dekken, waarvan 5 miljard dollar al in exact de gestolen tokens wordt aangehouden. De rest wordt gekocht via markt- en over-the-counter-kanalen, wat "langer kan duren omdat sommige tokens een lage liquiditeit kunnen hebben", aldus Binance. Deze bedragen omvatten geen bevroren activa. Hoe snel deze aankopen kunnen worden afgerond, de volledige omvang van de inbreuk en of meer van de gestolen fondsen kunnen worden bevroren of teruggevorderd, blijven open vragen nu het onderzoek voortduurt.

"We komen deze storm door", zei Binance.

Een langdurige tegenstander

Noord-Koreaanse hackers vallen het beurs al lang aan. In augustus 2025 vertelde Binance Chief Security Officer Jimmy Su aan Decrypt dat Noord-Koreaanse aanvallers elke dag proberen bij Binance te worden aangenomen, en noemde hij hen de grootste bedreiging voor cryptobedrijven.

Op woensdag—de dag voordat de diefstal begon—legde het Amerikaanse ministerie van Financiën sancties op aan 10 personen en één entiteit wegens Noord-Koreaanse IT-werkersschema's waarbij miljoenen dollars aan crypto werden verplaatst.