Aanvallers leegden grofweg 6,3 miljard dollar uit de hot wallets van Binance in circa 20 minuten, en de volledige volgorde van de overval is nu beschikbaar als tijdlijn. Volgens blockchain-analysebedrijf TRM Labs lieten de dieven het eigen signeersysteem van de beurs de transacties voor hen ondertekenen.

Een crypto-beurs bewaart de gelden van klanten deels in hot wallets die online blijven om opnames te verwerken, terwijl de rest offline staat in cold storage. Elke opname gaat eerst door een signeerinfrastructuur die verzoeken toetst aan interne beleidsregels; pas daarna ondertekent het systeem ze met de hot wallet-sleutels. Wie deze laag beheerst, heeft dus helemaal geen privésleutel nodig. Binance meldde de diefstal op 29 oktober 2026 en noemde een dag later verdere toegangspunten.

Het patroon lijkt sterk op de Bybit-hack van februari 2025, waarbij eveneens de goedkeuringslaag faalde en geen contractbug een rol speelde. TRM schrijft de aanval met hoge zekerheid toe aan Noord-Korea. In de reconstructie van de aanval zet het bedrijf het verlies op 6,36 miljard dollar verspreid over tien chains. Elliptic komt daarentegen uit op 6,43 miljard dollar over elf chains, waarbij elk asset wordt gewaardeerd op het moment van overdracht. Een door de beurs beloofd root cause-rapport moet de exacte oorzaak verhelderen.

36 uur voorbereiding via Tornado Cash

De voorbereiding begon minstens 36 uur vóór de diefstal. Vanaf 28 oktober 2026 ontving een nieuw aangemaakte operatorwallet kleine bedragen via de mixer Tornado Cash — drie opnames van elk 0,1 ETH, volgens Elliptic. Rond 16:00 UTC op 29 oktober 2026 zetten de aanvallers het sweeper-contract op de blockchain. Het programma leegt saldi in bulk en aanvaardt alleen opdrachten van de operatorwallet. Volgens beveiligingsbedrijf Immunefi bestaat het uit slechts zo'n 130 regels code.

Eerder diezelfde dag hadden de aanvallers een eerste versie van de code op twee wallets getest. Ongeveer vier uur vóór de aanval repeteerden ze de definitieve versie op een derde wallet, waarna de testgelden terugvloeiden naar de operator. De aanvallers controleerden de code dus twee keer en oefenden hem een keer in. TRM ziet hetzelfde patroon als bij de Bybit-hack en de aanval op KelpDAO in april 2026.

Hoe de Binance-hack minuut voor minuut verliep

In een eerste verklaring noemde Binance een mogelijk gecompromitteerde laptop van een DevOps-engineer als toegangspunt. Via deze machine zouden de aanvallers een servicecontainer hebben bereikt en ongeautoriseerde opnames hebben ingediend; volgens dit verhaal waren er aanvankelijk geen aanwijzingen voor gelekte privésleutels. Op 30 oktober 2026 meldde de beurs echter verdere toegangspunten en beschreef een complexe aanval die door geen enkele persoon alleen was uitgevoerd. Binance heeft nog niet bekendgemaakt om welke punten het gaat, dus de laptop blijft een ongeverifieerde eerste claim.

De uitstromen begonnen op 29 oktober 2026 om 20:05 UTC op de XRP Ledger. Rond 20:09 hadden vijf Binance-wallets daar 233,46 miljoen XRP — ter waarde van circa 296 miljoen dollar — naar één adres gestuurd, waarbij elke wallet stopte op zijn minimumsaldo. Kort na 20:10 volgde Solana met 970.500 SOL, samen met Optimism. Om 20:20 verstuurde de Bitcoin-hot wallet 18.270 BTC ter waarde van circa 1,47 miljard dollar; een zogenaamde peel chain splitste het bedrag binnen hetzelfde blok in delen van 1.000 en 100 BTC. Tegelijkertijd verloor de Tron-hot wallet 612,7 miljoen USDT en 46,4 miljoen TRX binnen twee minuten. Met de Ethereum-sweep om 20:24 duurde de hoofdfase circa 20 minuten. Ten slotte trof een tweede golf rond 23:05 Avalanche en Polygon.

TRM trekt uit deze reeks zijn centrale conclusie. Op zichzelf zou de Ethereum-delegatie op phishing kunnen lijken. Toch leegden de aanvallers negen andere chains met gewone ondertekende transacties, zonder enige delegatie. TRM concludeert daarom dat het signeersysteem van de hot wallet zelf voor de aanvaller heeft ondertekend. Data van Elliptic ondersteunt deze lezing: een tweede Ethereum-hot wallet genaamd "Binance 16" heeft een eigen sleutel en stuurde 28.006 ETH en andere tokens rechtstreeks naar de aanvaller, samen ter waarde van 174 miljoen dollar op het moment van de diefstal.

Hoe 50 autorisaties de sweeper ontgrendelden

Op Ethereum gebruikten de aanvallers een functie die met de Pectra-upgrade van mei 2025 kwam. Onder EIP-7702 ondertekent een gewone wallet een autorisatie die naar een slim contract wijst en vervolgens zijn code uitvoert. De handtekening dekt alleen de chain ID, het doeladres en de nonce — niet de individuele transactie. De nonce is de teller van het account. Noch de ontvanger, noch het bedrag maakt deel uit van de handtekening, en iedereen mag zo'n autorisatie indienen. De specificatie zelf waarschuwt dat delegatie de code onbeperkte toegang tot het account geeft.

Om 20:20:59 UTC dienden de aanvallers een transactie in met 50 autorisaties. Elk droeg een handtekening van de wallet-sleutel "Binance 14" en wees naar de sweeper. Dat er zoveel nodig waren, kwam doordat de nonce exact moet kloppen terwijl het hoge opnametempo de teller bleef verhogen. De reeks omvatte de nonces 18.914.775 tot en met 18.914.824; uiteindelijk trof alleen nonce 18.914.809 doel en verwierp het netwerk de andere 49. TRM leest de reeks als een teken van tijdelijke toegang of van een route via een verzoeksysteem.

Om 20:24:23 UTC riep de aanvaller vervolgens de sweeper aan via Binance 14. Eén enkele transactie leegde 167.464 ETH en 63 tokens — waaronder circa 1,6 miljard USDT — samen ter waarde van ongeveer 2,5 miljard dollar.

De delegatie bleef daarna actief, omdat EIP-7702 deze in stand houdt tot de volgende autorisatie. De specificatie rechtvaardigt dit met gemak: gebruikers hoeven niet voortdurend nieuwe contracten in te stellen. Hier stond diezelfde eigenschap echter verdere sweeps van nieuwe stortingen zonder nieuwe handtekening toe. Deze volgden onder andere om 20:41, 21:04, 22:39 en 23:56 UTC. Binance 14 trok de delegatie pas om 00:10 UTC op 30 oktober 2026 in — bijna vier uur later.

Via de gecompromitteerde wallet gaven de aanvallers ook instructies aan een andere Binance-wallet en leegden daaruit 823 miljoen USDC. Volgens TRM is deze tweede wallet een afzonderlijk smart account. In totaal verloor Binance op Ethereum 3,79 miljard dollar, volgens de telling van TRM.

De race tegen de stablecoin-bevriezingen

Stablecoins zoals USDT, USDC en RLUSD hebben een centrale uitgever die individuele adressen kan bevriezen. Bitcoin en Ether kennen zo'n instantie niet, dus alleen een beurs die inkomende gelden bevriest of autoriteiten met toegang tot de sleutels kunnen ze stoppen. Toch bevrozen Tether en Circle de eerste adressen pas ongeveer een uur nadat de uitstromen waren begonnen.

Volgens Elliptic wisselden de aanvallers 434 miljoen USDT om in 160.451 ETH via Uniswap, 1inch en market makers, waarbij ze een korting van 12 tot 26% onder de marktprijs accepteerden — wat Elliptic leest als snelheid die voorrang krijgt op waarde. Tegen de eerste bevriezingen waren al circa 786 miljoen dollar aan stablecoins omgezet in ETH en TRX.

Een tweede aanvalswallet wendde zich ook tot het leenprotocol Aave. Het stortte 59,9 miljoen USDT als onderpand en leende 19.762 ETH ter waarde van circa 44 miljoen dollar. Hierdoor zit de bevriesbare USDT nu in de Aave-pool, terwijl de ETH bij de aanvaller bleef. Aave bevroor de betrokken markten als voorzorgsmaatregel en heeft ze inmiddels heropend; de posities zijn volledig gedekt.

Op Tron wisselden de aanvallers 234 miljoen USDT op SunSwap om in 638 miljoen TRX. Volgens Elliptic voerde de hoofd-witwaswallet daar 546 TRX-transacties uit met een mediaal interval van 96 seconden. In eigen analyse classificeert Chainalysis het transactiepatroon op Tron als geautomatiseerd: veel adressen ontvangen eerst precies 1 TRX en daarna het bedrag dat ze vervolgens doorsturen. Of AI-agenten een rol spelen, kan Elliptic niet beoordelen.

TRM zet het niet-bevriesbare restant op circa 2,4 miljard dollar in Bitcoin en Ether. Meegerekend XRP en TRX tegen huidige prijzen komt Elliptic uit op 3,21 miljard dollar. De bitcoin ligt verspreid over 19 adressen via een peel chain en heeft nog geen enkele dienst bereikt. Analisten verwachten daarom bruggen, wisseldiensten en OTC-desks als volgende fase.

De controles die beurzen moeten toevoegen

De aanbevelingen van TRM richten zich precies op deze zwakke punten. Beurzen moeten EIP-7702-autorisaties afwijzen tenzij ze ze verwachten, en verzoeken om veel autorisaties over een nonce-bereik moeten als teken van compromittering worden behandeld. Daarnaast raadt TRM aan de signeerinfrastructuur en goedkeuringspaden te scheiden per chain en wallet-niveau. Bij treasury-wallets is elke delegatie een direct alarm, omdat een adres dat geen code zou mogen bevatten er plotseling wel een heeft.

Bij Binance ging de delegatie volgens de beurs niet door de normale goedkeuringen, en de intrekking kwam pas na bijna vier uur. Voor precies dit scenario adviseert TRM een getest, vooraf goedgekeurd intrekkingsproces. Immunefi-vicepresident Simone Imbrescia ziet de zwakte eveneens in de operationele laag, aangezien de aanval weinig on-chain code vereiste.

Binance heeft het oorspronkelijke toegangspunt nog niet bekendgemaakt. De beurs houdt de opnames gepauzeerd, plant een geleidelijke heropening en gaat haar opnamesysteem optuigen. Naast het root cause-rapport streeft ze ook naar een proof-of-reserves-rapport op 2 november 2026.

Gebaseerd op berichtgeving van Crypto Valley Journal.