De hack van $6,3 miljard bij Binance heeft een contradictie blootgelegd in het hart van cryptocurrency: juist de centralisatie die de diefstal mogelijk maakte, voorkwam ook dat miljarden dollars verdwenen.

De aanval op de grootste cryptobeurs ter wereld heeft een langlopend debat nieuw leven ingeblazen over de vraag of decentralisatie de grootste beveiligingsvoordeel van de digitale-activamarkt is, of juist de grootste zwakte — één die onomkeerbare transacties mogelijk maakt en gebruikers gevaarlijk kwetsbaar laat.

Volgens het voorlopige onderzoek van Binance was een gecompromitteerde laptop van een ingenieur een belangrijke factor die aanvallenden mogelijk toegang heeft gegeven tot de opname-infrastructuur van het bedrijf, zodat ze ongeautoriseerde transacties konden starten. De beurs zei geen bewijs te hebben gevonden dat privésleutels zijn gecompromitteerd.

Het incident illustreert niettemin hoe gecentraliseerde beurzen single points of failure kunnen worden. Het is een bekend argument dat teruggaat tot de ineenstorting van Mt. Gox in 2014, wat de spreuk "not your keys, not your coins" populair maakte. De val van FTX in 2022 versterkte de aantrekkingskracht van zelfbeheer, al kwam die mislukking voort uit misbruik van klantengelden in plaats van een security-inbreuk.

Toch levert deze kwestie ook een tegenargument op. Ongeveer $3 miljard van de getroffen $6,3 miljard is onchain bevroren, aldus Binance. De stablecoin-uitgevers Tether en Circle gebruikten administratieve controles om te voorkomen dat USDT en USDC werden overgemaakt. Die interventies waren juist mogelijk omdat de tokens niet volledig gedecentraliseerd zijn: hun uitgevers behouden de bevoegdheid om adressen op een zwarte lijst te plaatsen en activa te immobiliseren.

Meer details over het incident zijn te vinden in CoinDesks berichtgeving over de Binance-hack.

De snelheid en schaal van de interventie tart een van de kernveronderstellingen van crypto: dat transacties op een blockchain buiten het bereik van welke centrale autoriteit dan ook vallen. Voor activa met beperkingen onder uitgeverscontrole is de afwikkeling misschien definitief op de blockchain, maar het vermogen om die activa over te dragen blijft afhankelijk van administratieve beslissingen.

Dat roept een bredere vraag op over de architectuur van de sector. Als gecentraliseerde interventie steeds meer wordt gezien als een essentieel beveiligingskenmerk in plaats van een afbreuk aan cryptoprincipes, wat betekent dat dan voor decentralisatie als kernobjectief van de sector?

Het onderscheid is vooral opvallend in vergelijking met native bitcoin en ether. Zowel Bitcoin als Ethereum kent geen vergelijkbaar bevriesmechanisme onder uitgeverscontrole, waardoor gestolen activa buiten directe administratieve interventie vallen, zelfs als hun bewegingen traceerbaar zijn.

Het bevriezen van tokens betekent echter niet automatisch dat ze naar de slachtoffers terugkeren, en de effectiviteit van dergelijke maatregelen hangt af van hoe snel uitgevers handelen. Eerdere gevallen suggereren dat terugvordering zelden snel gaat: de faillissementsnalatenschap van Mt. Gox begon crediteuren pas zo'n tien jaar na de ineenstorting van de beurs in 2014 terug te betalen. De open vragen zijn of het voorlopige onderzoek van Binance meer inzicht oplevert in hoe de laptop van de ingenieur is gecompromitteerd, en of de bevroren $3 miljard uiteindelijk kan worden teruggegeven aan getroffen gebruikers — een uitkomst die afhangt van beslissingen van de beurs en de betrokken uitgevers, en niet van een kenmerk van de blockchains zelf.