Update (30 okt. om 2:44 uur UTC): Dit artikel is bijgewerkt met Binance' voorlopige onderzoek naar de inbreuk op de beveiliging.

Binance' eerste onderzoek naar de miljardeninbreuk in de cryptowereld wijst op een gecompromitteerde laptop van een DevOps-engineer. Het bedrijf zei vrijdag dat de compromittering een aanvaller mogelijk toegang heeft gegeven tot een servicecontainer en het indienen van ongeautoriseerde opnametransacties. Het voegde eraan toe dat er geen bewijs is gevonden voor een lek van privésleutels van wallets, maar benadrukte dat het onderzoek nog voortduurt.

De voorlopige beoordeling van Blockaid wijst in dezelfde richting. Tegenover Cointelegraph zei Blockaid-CEO Ido Ben-Natan donderdag dat het incident leek te gaan om "sleutelmisbruik", waarbij aanvallers een ondertekeningssysteem misleidden of compromitteerden zodat het schadelijke transacties autoriseerde, zonder dat de onderliggende privésleutel werd buitgemaakt.

"Het lijkt te gaan om … een compromittering van de ondertekeningsinfrastructuur. Wij denken niet dat er een sleutel is gelekt," aldus Ben-Natan. Zijn beoordeling was gebaseerd op Blockaids ervaring met vergelijkbare aanvallen en diens observaties van de onchain-activiteit.

Binance schat impact op $6,3 miljard, bevriest circa $3 miljard

Binance maakte zijn voorlopige bevindingen bekend in een verklaring op X, waarin het de geschatte totale impact van het incident op ongeveer $6,3 miljard stelde en aangaf samen met blockchainpartners circa $3 miljard aan gestolen activa onchain te hebben bevroren. Als de schatting klopt, zou die de diefstal bij Bybit in februari 2025 overtreffen, tot nu toe de grootste gerapporteerde hack uit de cryptogeschiedenis.

Het bedrijf zei alle verliezen te dekken met zijn Secure Asset Fund for Users (SAFU) en eigen middelen, en voegde eraan toe dat de fondsen van gebruikers veilig zijn. SAFU is een noodfonds dat Binance in 2018 oprichtte, dat wordt gefinancierd met een deel van de handelskosten en is bedoeld om verliezen van gebruikers in extreme gevallen te dekken. Het beloofde ook een bijgewerkt Proof of Reserves te publiceren, de cryptografische methode waarmee beurzen aantonen dat zij de activa aanhouden die de saldi van klanten dekken.

Stortingen en opnames waren tijdelijk opgeschort tijdens beveiligingscontroles, en Binance zei de autorisatie van het getroffen adres te hebben ingetrokken. Het bedrijf werkt met justitie en blockchain-intelligencepartners om de fondsen op te sporen en terug te vorderen, en zal een gedetailleerde technische post-mortem publiceren zodra het onderzoek is afgerond en de feiten volledig zijn geverifieerd.

Blockaid identificeert kwaadaardige wallet-delegatie

In een onchain-analyse gepubliceerd op X zei Blockaid dat de aanvaller 50 EIP-7702-autorisaties bundelde in één transactie gericht op Binance 14. Eén autorisatie kwam volgens berichten overeen met de vereiste nonce van het account, waardoor deze werd geaccepteerd.

EIP-7702, dat in mei 2025 live ging met Ethereum's Pectra-upgrade, maakt het mogelijk de uitvoering van een account te delegeren aan smartcontractcode. Blockaid lichte verder toe dat het getroffen account was gedelegeerd aan een ongeverifieerd sweeper-contract, waarmee een aangewezen operator tokens en Ether kon leeghalen.

Gerelateerd: Binance-hack schudt cryptomarkten wakker terwijl BNB 7% zakt, Bitcoin daalt

Ben-Natan vertelde Cointelegraph dat de operatie mogelijk meerdere gecompromitteerde apparaten en bewegingen door het interne netwerk van de beurs omvatte.

Vóór Binance' laatste update vertelde Arkham-CEO Miguel Morel aan Cointelegraph dat er onvoldoende informatie was om te bepalen of de aanvallers gestolen sleutels gebruikten of gecompromitteerde infrastructuur. "Voor zover we kunnen zien, lijkt de hack nog steeds gaande," zei hij destijds.

Vergelijking met Noord-Korea en Bybit

Toen hem werd gevraagd of de vermoede manipulatie van ondertekeningen leek op de aanval op Bybit in februari 2025, omschreef Ben-Natan de incidenten als "heel, heel vergelijkbaar." In dat geval zeiden forensische updates van Bybit gepubliceerde forensische update dat aanvallers de referenties van een Safe-ontwikkelaar compromitteerden, toegang kregen tot de infrastructuur van de walletprovider en ondertekenaars misleidden om een kwaadaardige transactie goed te keuren. De FBI schreef die diefstal, geschat op circa $1,5 miljard, toe aan hackers met banden met Noord-Korea.

Ben-Natan zei ook dat de activiteit leek op operaties die aan Noord-Korea zijn gelinkt, verwijzend naar Blockaids bekendheid met die aanvallen. Hij wees op geavanceerde onchain-voorbereidingen, maar benadrukte dat de toeschrijving onbevestigd blijft.

Binance heeft de aanvallers niet geïdentificeerd en zegt met justitie samen te werken om hun identiteit vast te stellen.

Magazine: Tampered Ledger gemeld in Singapore een maand voordat het nieuws uitkwam: Asia Express