Ongeveer de helft van de $6,43 miljard die vorige maand van Binance werd gestolen, is nog niet witgewassen, aldus blockchainanalysebedrijf Elliptic in een vrijdag bijgewerkt rapport. Met $6,43 miljard is de buit meer dan vier keer zo groot als de hack van Bybit ter waarde van $1,5 miljard in februari 2025.

Ongeveer $3,11 miljard staat nog op adressen die aan de diefstal zijn gelinkt, voornamelijk in ETH en Bitcoin, en die tegoeden worden volgens Elliptic "zeer waarschijnlijk" nog door Noord-Korea beheerd. Nog eens $2,85 miljard, oftewel 44% van de buit, is bevroren of in beslag genomen — voornamelijk stablecoins die door uitgevers als Tether en Circle binnen een uur na de diefstal werden bevroren. Dat staat tegenover ongeveer 3% die werd bevroren na de Bybit-hack van $1,5 miljard in februari 2025, aldus Elliptic.

Tot nu toe zou slechts een verwaarloosbaar deel van de gestolen tegoeden zijn uitbetaald. Elliptic verwacht dat de aanvaller de tegoeden omzet in Bitcoin en die gedurende enkele maanden via over-the-counter-makelaars laat uitcashen, in navolging van het patroon na de Bybit-hack van 2025.

In een vrijdag op X geplaatste update zei Elliptic dat de gestolen XRP in beweging was gekomen:

Binance hack update: the XRP has started moving. About $50 million has been swapped, mostly through THORChain into BTC, with about $226 million still to move. Bitcoin converted from other stolen assets is now about 1,650 BTC ($124 million), almost twice the figure a day earlier.…

— Elliptic (@elliptic) November 6, 2026

De FBI heeft de diefstal van 29 oktober toegeschreven aan Noord-Koreaanse hackers die de instantie TraderTraitor noemt. Noord-Korea heeft betrokkenheid ontkend.

Elliptic omschreef de witwasoperatie tot nu toe als "uiterst complex en duidelijk geautomatiseerd". De operatie omvatte meer dan 20.000 wallets op 16 blockchains, minstens 36 diensten en minstens 65.000 transacties — ongeveer één nieuwe wallet die elke 30 seconden werd aangemaakt.

De 18.270 BTC die van Binance werden gestolen en op het moment van de diefstal ongeveer $1,5 miljard waard waren, werden op de dag van de hack verdeeld over 19 adressen en zijn sindsdien niet verplaatst. De negen grootste Ethereum-adressen, die 89% van de ETH van de aanvaller bevatten, zijn sinds 30 oktober eveneens inactief.

Hoe de tegoeden zich verplaatsen

Het grootste deel van de witwasoperatie tot nu toe — ongeveer $220 miljoen in TRX — verliep via Tron. Eén distributiewallet stuurde gedurende 51 uur 684,6 miljoen TRX naar honderden nieuw aangemaakte adressen, ook gedurende de nacht in Pyongyang. Bijna al die TRX werd vervolgens naar Ethereumn gebridged
Alle gestolen Solana, tegen de huidige prijzen ongeveer $87 miljoen waard, is geswapt, gebridged of gemixt. De aanvaller is ook begonnen met het witwassen van de gestolen XRP; tot nu toe is ongeveer $50 miljoen omgezet en moet nog ongeveer $226 miljoen worden verplaatst. In totaal is ongeveer $124 miljoen omgezet in Bitcoin, grotendeels via de cross-chain-dienst THORChain.

Een kleiner deel van de tegoeden is gemixt. Ongeveer 33 BTC, ter waarde van circa $2,5 miljoen, is door Wasabi-achtige coinjoins gegaan, terwijl ongeveer $1,1 miljoen in ETH en SOL is gestort in de Privacy Cash-pool, die de stortingen ongeveer een dag opschortte.

De snelheid van de operatie heeft geleid tot speculatie dat AI-agents de tegoeden verplaatsen, maar volgens Elliptic wijst het bewijs op conventionele automatisering. "De witwasoperatie is duidelijk geautomatiseerd, maar niets wat we hebben gezien wijst erop dat een AI-agent beslissingen neemt", aldus het bedrijf.

Elliptic verwacht dat de aanvaller de ETH omzet in Bitcoin en die vervolgens gedurende enkele maanden via OTC-makelaars en exchanges laat uitcashen. Na de Bybit-hack waste Noord-Korea alle 499.000 gestolen ETH binnen 10 dagen wit, maar duurde het maanden voordat de uitcash plaatsvond, aldus het bedrijf. Tot die uitcash zich voltrekt, zijn de inactieve Bitcoin- en Ethereum-adressen die het grootste deel van de niet-witgewassen tegoeden bevatten, samen met het tempo van de resterende XRP-conversies, de belangrijkste indicatoren om in de gaten te houden naarmate de operatie vordert.

Binance blijft diensten herstellen

Binance is na de diefstal doorgegaan met het herstellen van diensten. De exchange zei vrijdag dat gebruikers nu kunnen verifiëren dat hun tegoeden voor minstens 1:1 gedekt zijn met behulp van de zero-knowledge proof voor de nieuwste proof-of-reserves-snapshot. De exchange voegde eraan toe dat het ernaar streeft opnames voor alle tokens op herstelde netwerken tegen het einde van volgende week te hervatten. Of dat doel wordt gehaald, vormt de volgende zichtbare graadmeter voor het herstel van Binance.