Het onderzoek van Binance naar de recente inbreuk op de beveiliging is verder gegaan dan de aanvankelijke theorie dat één gecompromitteerde laptop het incident veroorzaakte. Co-CEO Richard Teng zei dat onderzoekers extra toegangspunten hebben geïdentificeerd en hebben achterhaald hoe de aanvaller on-chain goedkeuring verkreeg over een van de hot wallets van de beurs. Hij voegde eraan toe dat er geen bewijs is van een privésleutellek. Binance heeft toegezegd alle verliezen te dekken met bedrijfsfondsen en het Secure Asset Fund for Users (SAFU), het noodfonds dat de beurs in 2018 heeft opgericht om verliezen in extreme gevallen te dekken.

De aanval was complexer dan een inbreuk met één klik

In een X-post zei co-CEO Richard Teng dat Binance aanvankelijk vermoedde dat de hack begon met een gecompromitteerde laptop. Latere bevindingen brachten meer toegangspunten aan het licht, waardoor de aanval aanzienlijk complexer was dan een inbreuk met één klik.

Volgens Teng kreeg de aanvaller toegang tot een service container en diende vervolgens ongeautoriseerde opnamefacturen in. Hij benadrukte dat het incident geen geval was van één werknemer die machtigingen misbruikte, en Binance heeft geen enkele individuele verantwoordelijkheid toegewezen.

Onderzoekers zeiden dat de aanvaller een zelfvernietigingsmechanisme gebruikte om tools en sporen te wissen, wat de voortgang van het beveiligingsteam bij het reconstrueren van het aanvalspad vertraagde. Dergelijke wistechnieken, die in de beveiligingssector doorgaans worden aangeduid als anti-forensische technieken, zijn bedoeld om reconstructie na het incident te bemoeilijken.

Teng zei ook dat de aanvaller EIP-7702, een autorisatiefunctie van Ethereum, gebruikte om on-chain uitvoeringsgoedkeuring te verkrijgen over een hot wallet van Binance. Dit stelde de aanvaller in staat om de gebruikelijke goedkeuringscontroles van Binance te omzeilen. EIP-7702 werd in mei 2025 geïntroduceerd als onderdeel van Ethereum's Pectra-upgrade en stelt standaard gebruikersaccounts in staat tijdelijk smart-contractfunctionaliteit te gebruiken, zoals het bundelen van meerdere bewerkingen onder één autorisatie.

De beurs heeft geen enkel gebrek in EIP-7702 zelf gemeld en verklaarde in plaats daarvan dat de aanvaller de functie gebruikte om de interne controles te omzeilen. Binance zei geen bewijs te hebben gevonden dat privésleutels van wallets zijn blootgesteld. Het onderzoek loopt nog, en de beurs is van plan een technische post-mortem te publiceren zodra de bevindingen zijn geverifieerd.

Binance reserveert $6,34 miljard om verliezen te dekken

Teng zei dat de fondsen van klanten niet zijn aangetast en dat Binance gebruikers schadeloos zal stellen. De beurs heeft meer dan $6,34 miljard aan bedrijfsfondsen gereserveerd om de gestolen activa te dekken, aldus een eerdere update van Teng.

Volgens Teng wordt ongeveer $5 miljard al aangehouden in dezelfde activa die bij het incident betrokken zijn, waaronder BTC, ETH, BNB, USDT en USDC. Binance werkt aan het verwerven van het resterende bedrag via marktaankopen en over-the-counter-transacties.

De beurs schatte de totale impact van de inbreuk op ongeveer $6,3 miljard en zei dat circa $3 miljard on-chain is bevroren met hulp van blockchainpartners. Teng merkte op dat de meeste klantactiva worden bewaard in cold wallets en pas naar hot wallets worden verplaatst wanneer gebruikers opnames aanvragen. Cold wallets bewaren privésleutels offline, terwijl hot wallets verbonden blijven met het internet om opnames van gebruikers te verwerken — de laag die nu centraal staat in het onderzoek en de herstelinspanningen.