De diefstal van 6,3 miljard dollar bij Binance op 29 oktober is de grootste crypto-overval uit de geschiedenis. In de dagen erna hebben beveiligingsgroepen, on-chain onderzoekers en verzekeraars elk nieuwe details vrijgegeven die, samengenomen, laten zien hoe de aanval verliep en wat er met het geld is gebeurd.

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

Neprecruiters en een venster van acht weken

Security Alliance, een non-profitbeveiligingsgroep bekend als SEAL, meldde dat hackers met banden met Noord-Korea in september het apparaat van een software-engineer bij Binance compromitteerden. Volgens de groep drongen de indringers binnen via een nepwervingscampagne, en zij schat de inbraakperiode op ongeveer acht weken vóór de aanval.

Hoe de aanval verliep

Binance hanteert een langere tijdlijn. Een woordvoerder meldde dat de eerste gecompromitteerde apparaten in juni en september plaatsvonden, al verkregen de aanvallers pas op 20 oktober de toegang die nodig was om bij walletoperaties te komen. SEAL wees erop dat de achtwekenperiode alleen de periode september tot oktober bestrijkt en niet het begin van de bredere campagne die de beurs beschreef.

De inbraak in juni begon toen een andere medewerker een gemanipuleerde Homebrew-installatie downloadde terwijl deze een AI-codingtool probeerde te installeren. Binance ontdekte het incident, verving het apparaat en vernieuwde de bijbehorende inloggegevens, maar tegen die tijd hadden de aanvallers al informatie verzameld over medewerkers die aan walletinfrastructuur werkten.

Op 20 oktober gebruikten de aanvallers de gecompromitteerde computer van de engineer en een intern AI-tool om de apparaten van twee walletinfrastructuur-engineers over te nemen. Vervolgens lokaliseerden zij een deployment-token dat werd gebruikt bij de aanval op 29 oktober.

SEAL identificeerde ten minste vier dekkingsbedrijven die verbonden waren aan de nepwervingscampagnes in 2026: citalab.net, citalab.com, bitfit.io en oddium.io. De groep meldde dat vergelijkbare meerfasenpatronen bij andere diefstallen verschenen. Naar schatting hadden de aanvallers ongeveer zes weken toegang vóór de kraak van Bitget ter waarde van 388 miljoen dollar, circa zes weken toegang tot LayerZero vóór het lek achter de Kelp DAO-exploit van 293 miljoen dollar, en ongeveer drie weken vóór de AFX-exploit van 24 miljoen dollar.

De FBI schreef de aanval toe aan de TraderTraitor-groep van Noord-Korea. Kim Yo Jong, de zus van de Noord-Koreaanse leider Kim Jong Un, verwierp de beschuldiging.

Bevroren fondsen en mark reactie

Sentora, een DeFi-analysebedrijf, omschreef de reactie als de grootste gecoördineerde on-chain assetfreeze in de geschiedenis van DeFi. Circle blokkeerde 823 miljoen USDC in één wallet voordat de aanvaller deze kon verplaatsen. Ripple bevruor ongeveer 40 miljoen dollar aan RLUSD, en World Liberty Financial bevroor 27 miljoen dollar aan USD1 samen met 48 miljoen WLFI-tokens. Alleen al deze stablecoin-freezes bedragen circa 890 miljoen dollar. Bitcoin en Ether hebben geen issuer die fondsen op deze manier kan blokkeren; Sentora vond na de insluiting 18.270 BTC en meer dan 420.000 ETH in de bezittingen van de aanvaller.

DeFi-leenmarkten zagen op één dag een netto-uitstroom van 1,59 miljard dollar, ongeveer 3% van de totale waarde in bezit (TVL). Ongeveer 60% van dat geld keerde binnen drie dagen terug, en Sentora vond geen slechte schulden in de beoordeelde markten. Ter vergelijking: de Kelp DAO-exploit in april leidde tot opnames van 10,9 miljard dollar in vijf dagen, ongeveer 21% van de geleende waarde, waarvan niets in die periode terugkeerde. Sentora schreef het verschil toe aan waar de getroffen activa zich bevonden: het verlies van Binance bleef bij de beurs, terwijl het asset van Kelp als onderpond diende in meerdere leenmarkten.

Elliptic meldde dat per 6 november circa 1.650 BTC, ter waarde van 124 miljoen dollar, was omgezet vanuit andere gestolen activa, bijna het dubbele van het cijfer van de dag ervoor. Het grootste deel van de groei kwam van XRP dat via THORChain werd geruild. De oorspronkelijke 18.270 BTC bleven onaangetast over 19 adressen. Het analysebedrijf telde meer dan 20.000 wallets en 65.000 transacties over 16 blockchains, met circa 3,11 miljard dollar die nog steeds op met de diefstal verbonden adressen staat.

Binance vervangt het grootste deel van de getroffen activa

Binance meldde op 4 november dat het ongeveer 98% van de getroffen activa had vervangen met eigen middelen. De resterende 2% betreft minder liquide tokens, die het via markt- en OTC-kanalen opkoopt. Op 5 november verzocht het de DAO van Arbitrum om goedkeuring voor het terugstorten van 8.425,997 ETH en 74.559.805,2 ARB, een proces dat naar verwachting ongeveer 49 dagen zal duren. Deze twee punten — de terugkoop en de DAO-goedkeuring — zijn de laatste openstaande onderdelen van het vervangingsproces.

Verzekeraars kijken kritischer

Reuters meldde vrijdag dat verzekeraars crypto-klanten kritischer bevragen. Jacqueline Quintal van Marsh verwacht geen wezenlijke veranderingen in premies, dekking of capaciteit, al kunnen verzekeraars klanten vragen kwetsbaarheden te verhelpen, en veel polissen sluiten staatssteunaanvallen uit — een relevante uitsluiting gezien de toeschrijving door de FBI van deze diefstal aan de TraderTraitor-groep van Noord-Korea.

Dit artikel verscheen oorspronkelijk op CoinCentral.