Blockchainanalysebedrijven Chainalysis en TRM Labs hebben de hack van $6,3 miljard op Binance toegeschreven aan TraderTraitor, een eenheid die gelinkt wordt aan Noord-Korea en waarvan de naam eerder verscheen in eerdere adviezen van de Amerikaanse overheid over cryptodiefstal. Als dit op deze schaal wordt bevestigd, zou het de grootste cryptohack ooit zijn, groter dan de inbreuk op Bybit van $1,5 miljard in 2025, die eveneens werd toegeschreven aan Noord-Koreaanse hackers.

Chainalysis, dat zijn bevindingen uiteenzette in een blogpost, schatte het totaalbedrag op $6,4 miljard in een eigen assessment. Volgens het bedrijf begonnen de fondsen rond 16:20 uur Eastern Time op 29 oktober de hot wallets van Binance te verlaten, over meerdere blockchains heen.

Het bedrijf zei dat de aanvaller een operationeel wallet gebruikte, gefinancierd via Tornado Cash, een mixingdienst die wordt gebruikt om de herkomst van fondsen te verhullen, om ondertekende autorisaties in te dienen die een hot wallet van Binance toestonden code van de aanvaller uit te voeren, en sleepte vervolgens de activa naar adressen onder zijn controle. Binance zei dat het initiële onderzoek wijst naar een gecompromitteerde laptop van een ingenieur, die de aanvaller toegang gaf tot een servicecontainer en ongeautoriseerde opnames mogelijk maakte. De beurs voegde eraan toe dat er geen bewijs is gevonden van een gelekte private key van een wallet. Deze reeks laat zien hoe één gecompromitteerd eindpunt kan escaleren naar toegang tot hot wallets, het soort operationeel risico dat beveiligingsteams van beurzen proberen in te dammen.

In een poging de bevriezingen voor te blijven, wisselde de aanvaller stablecoins om in ether en andere activa die emittenten niet kunnen bevriezen. Die omwisseling weerspiegelde een structurele eigenschap van de markt: tokens zoals USDT en USDC kunnen door hun emittenten worden bevroren, terwijl ether niet op protocolniveau kan worden bevroren. Chainalysis zei dat $325 miljoen aan stablecoins in ongeveer 20 minuten werd omgewisseld in $285 miljoen aan ETH, en dat de resterende $175 miljoen naar tussentijdse wallets werd gestuurd. De bevriezingen begonnen uiterlijk om 17:14 uur Eastern Time, volgens het bedrijf.

Markreactie op de hack

Bitcoin zakte vrijdagochtend richting $76.000 voordat het rond $77.400 handelde, en andere cryptocurrencies boekten eigen verliezen. De totale liquidaties op de markt bereikten $1,5 miljard, waarvan $468 miljoan voor rekening van bitcoin en $358 miljoen van ether. Longposities, die inzetten op stijgende koersen, droegen het grootste deel van de verliezen. Liquidaties treden op wanneer geleende posities gedwongen worden gesloten nadat koersbewegingen hun onderpand hebben uitgehold.

De verkoop viel samen met een apart incident bij het gedecentraliseerde wedplatform Polymarket, dat de internationale handeling opschortte nadat hackers meer dan $2,6 miljoen van gebruikersaccounts hadden afgetapt.

Binance zei donderdag in een post op X dat het security-incident ongeveer $6,3 miljard aan activa trof. Voormalig CEO Changpeng Zhao schreef op X: "It does look like a hack." Zhao leidt de beurs niet langer, maar blijft een belangrijke aandeelhouder.

Stablecoin-emittenten bevriezen gestolen fondsen

Tether-CEO Paolo Ardoino zei dat het bedrijf meer dan $1,567 miljard aan USDT heeft bevroren en dat het beschermen van de sector en zijn partners de hoofdprioriteit is. Circle-medeoprichter en CEO Jeremy Allaire zei dat Circle in samenwerking met de politie meer dan $800 miljoen aan USDC heeft bevroren. First Digital-CEO Vincent Chok zei dat de in de aanval gestolen FDUSD is bevroren. In totaal zegt Binance dat ongeveer $3 miljard onchain is bevroren.

Binance zegt voldoende middelen te hebben om het incident te dekken

Binance zegt meer dan $6,34 miljard aan bedrijfsfondsen te hebben gereserveerd om het incident te dekken. Ongeveer $5 miljard van die reserve wordt aangehouden in dezelfde tokenactiva die zijn getroffen, en het bedrijf koopt het restant aan via markt- en OTC-kanalen. De beurs zei dat bevroren en beschermde activa nog aan verificatie onderhevig zijn en dat het een bijgewerkte Proof of Reserves wil publiceren, een attestatie die bedoeld is om aan te tonen dat een beurs voldoende reserves aanhoudt om klantensaldi te dekken.

Reuters meldde, citing een persoon die vertrouwd is met de zaak, dat Binance samenwerkt met de FBI en de U.S. Secret Service.

Bitcoin kan verder dalen

Geoffrey Kendrick, wereldwijd hoofd digital assets research bij Standard Chartered, schreef in een e-mail aan CoinDesk dat de negatieve koersbeweging nog wel eens enige tijd kan aanhouden. Hij zei dat een nieuw bodemniveau zal ontstaan nadat de activa zijn ontdooid en er meer details over de hack naar buiten komen, en betoogde dat het incident een verschuiving richting gedecentraliseerde beurzen kan versnellen, waar gebruikers het eigen beheer over hun activa houden in plaats van op een tussenpersoon te vertrouwen.

Ondertussen waarschuwde Chainalysis dat oplichters zich voordoen als het bedrijf, waaronder sommigen die fondsenherstel- en wervingsdiensten aanbieden. Slachtoffers dienen ongevraagde herstelaanbiedingen met voorzichtigheid te behandelen en zich te houden aan officiële kanalen voor updates.

Op het moment van schrijven handelt bitcoin rond $76.700.

Dit artikel is gebaseerd op berichtgeving van Micah Zimmerman voor Bitcoin Magazine.