Hackers zaten weken in de interne systemen van Binance voordat zij de exploit uitvoerden achter wat wordt beschreven als de grootste cryptodiefstal uit de geschiedenis, volgens een rapport gepubliceerd door SEAL (Security Alliance), een door de industrie gedreven crypto-securityorganisatie.

Binance, 's werelds grootste cryptocurrencybeurs, onderzoekt een inbreuk op de beveiliging nadat on-chain data liet zien dat miljarden dollars aan digitale assets van wallets gelinkt aan het platform naar nieuw aangemaakte externe adressen werden verplaatst. Rapporten brengen het totaal op meer dan $6 miljard, wat het de grootste cryptoaanval ooit zou maken, ruim boven de diefstal bij Bitget die tot dan toe het grootste incident van 2026 was.

Volgens blockchain-inlichtingenbedrijf Arkham hadden de hackers meer dan $5,7 miljard aan assets gestolen van Binance, waaronder:

• $1,5 miljard in Bitcoin (BTC)
• $900 miljoen in Ether (ETH)
• ongeveer $1,5 miljard in Tether (USDT)
• meer dan $800 miljoen in USD Coin (USDC)

MILESTONE | Binance Gets Hacked in the Largest Crypto Exploit in History #Binance, the world's largest cryptocurrency exchange, is investigating a security breach after on-chain data showed billions of dollars in digital assets moving from wallets linked to the platform to newly created external addresses. Reports put the figure at over $6 billion making it the largest ever crypto attack in history. According to blockchain intelligence firm, #Arkham, the hackers held over $5.7 billion stolen from Binance including: $1.5 billion in $BTC $900 million in $ETH ~$1.5 billion in $USDT Over $800 million in $USDC Details: #BinanceHack #CryptoHack #CryptoHacks2026 #CryptoMilestone — BitKE (@BitcoinKE) October 30, 2026

In het rapport zegt SEAL dat de inbraak bij Binance waarschijnlijk begon met malware die werd afgeleverd via een frauduleus sollicitatiegesprek gericht op het apparaat van een ontwikkelaar. De organisatie waarschuwt ook om TraderTraitor niet te verwarren met een andere Noord-Koreaanse hackergroep, Contagious Interview, die vergelijkbare rekruteringslokmiddelen gebruikt maar andere tactieken hanteert. Dit onderscheid is praktisch relevant: omdat beide campagnes medewerkers bereiken via nep-vacatureaanbiedingen, is het kritisch onderzoeken van interviewers en de bedrijven erachter de meest directe controle tegen deze vorm van inbraak.

De groep is ook in verband gebracht met aanvallen bij LayerZero, Bitget en AFX. SEAL documenteerde ongeveer zes weken toegang bij LayerZero, drie weken bij AFX en ten minste 24 dagen toegang tot de infrastructuur van Bitget voorafgaand aan een diefstal op 24 september. Destijds werd gemeld dat Bitget meer dan $350 miljoen verloor bij dat incident, de grootste crypto-hack van 2026 tot op heden.

Het rapport identificeerde verschillende vermoedelijke nep-rekruteringsbedrijven die in de campagnes werden gebruikt, waaronder CitaLab, BitFit en Oddium, een detail dat onderstreept hoe deze campagnes mensen en wervingsprocessen richtten in plaats van direct de cryptografie te breken.

SEAL zei dat de operaties van TraderTraitor gekenmerkt werden door langdurige verkenning, laterale beweging door bedrijfssystemen en misbruik van legitieme ondertekeningsinfrastructuur, in plaats van de directe diefstal van privésleutels. Dat onderscheid is belangrijk voor verdedigers: inbraken die fondsen verplaatsen via legitieme ondertekenings- en goedkeuringskanalen kunnen lijken op normale bedrijfsvoering, een reden waarom SEAL waarschuwt dat een gecompromitteerd medewerkersapparaat weken onopgemerkt kan blijven.

De organisatie riep cryptobedrijven op de monitoring van ontwikkelaarsapparaten, cloudreferenties, opnamesystemen en securityproducten van derden te versterken, met de waarschuwing dat de compromittering van het apparaat van een medewerker weken onopgemerkt kan blijven.

Bij de onderzochte incidenten stelde SEAL vast dat de groep vertrouwde op rekruteringsgerichte social engineering als methode voor initiële toegang, waarbij de inbraken weken aanhielden voordat fondsen werden verplaatst. Nu het onderzoek van Binance nog loopt, zijn ontwikkelingen om in de gaten te houden: de bevindingen van de beurs over hoe de toegang in stand werd gehouden, verdere on-chain verplaatsing van de gestolen assets — die bedrijven zoals Arkham tot nu toe via blockchaindata hebben gevolgd — en in hoeverre beursen SEALs aanbevolen monitoring van ontwikkelaarsapparaten, cloudreferenties en opnamesystemen overnemen.