De hacker achter de hack bij Binance van circa 6,3 miljard dollar heeft maandag alle 233,46 miljoen gestolen XRP overgebracht naar zes nieuwe wallets. De herverdeling onderstreept een belangrijk verschil tussen de activa die bij de inbraak zijn buitgemaakt: in tegenstelling tot de ook gestolen stablecoins heeft native XRP geen uitgever met de bevoegdheid om het te bevriezen.

Volgens de XRP Ledger-records deed het tussenadres vanaf 03:47 UTC zes testbetalingen van 1.000 XRP elk. De testtransacties gingen de eerste grote betaling ongeveer vijf minuten vooraf; dergelijke kleine voorafbetalingen worden vaak gebruikt om te controleren of een bestemmingsadres fondsen kan ontvangen. Tussen 03:52 en 04:00 UTC volgden negen grote betalingen. Uiteindelijk ontvingen vijf wallets elk ongeveer 40 miljoen XRP, waarvan drie in twee tranches van 30 miljoen en 10 miljoen, terwijl de zesde 33,46 miljoen nam. Het oorspronkelijke adres hield 23,7 XRP aan.

Tegen de koers van maandag van ongeveer 1,26 dollar per XRP waren de munten circa 294 miljoen dollar waard. Whale Alert werd een enkele overboeking van 40 miljoen XRP, ter waarde van ongeveer 50,4 miljoen dollar, van een adres dat het labelt als "Binance Hack 2026."

De aanvaller stuurde om 02:12 UTC ook 1.000 XRP naar een zevende, apart adres. De munten hadden circa 80 uur relatief onaangeroerd op het tussenadres gelegen voordat de grote betalingen begonnen. Vijf Binance-wallets hadden de volledige 233,46 miljoen XRP op 29 oktober in ongeveer vier minuten naar dat adres gestuurd. Ledger-gegevens van dinsdag om 07:27 UTC toonden aan dat geen van de zes nieuwe wallets iets had verplaatst. Omdat het ledger openbaar is, zal elke verdere beweging vanaf die adressen realtime zichtbaar zijn.

Waarom de gestolen XRP niet kan worden bevroren

Volgens de documentatie van het XRP Ledger kan native XRP niet op het ledger worden bevroren. Ripple bevroor gestolen RLUSD die met de inbraak verband hield, maar die uitgeverscontroles reiken slechts tot aan de eigen stablecoin: bevriesbevoegdheden hangen aan tokens die een uitgever creëert, en het native activum van het ledger heeft geen uitgever die ze kan uitoefenen. De opdracht is nu om de zes wallets te traceren en dat beurzen stortingen weigeren om de XRP terug te krijgen. De splitsing lijkt een witwasstap: zes saldi betekenen meer sporen om te volgen en kleinere hoeveelheden om te cashen.

On-chain tracker Lookonchain meldde dat circa 250.000 dollar van de buit over 12 uur in stortingen naar de beurs Gate werd verplaatst.

Widere gevolgen van de inbraak

Bij de aanval werden circa 628 miljoen dollar aan activa op Tron gestolen. Tether bevroor ongeveer 378,7 miljoen USDT — dezelfde uitgeversbevoegdheid die Ripple gebruikte op RLUSD, en die native XRP mist — maar analist SomaXBT schat dat circa 242 miljoen dollar in twee dagen via Tron-gerelateerde routes weglekte. Ongeveer 140 miljoen dollar daarvan ging via diensten als Relay en THORChain, waarvan de node-operatoren door de FBI werden verzocht de fondsen te blokkeren. Schattingen stellen het volume van Relay op bijna 48 miljoen dollar en dat van THORChain op 44 miljoen dollar.

Cryptopolitan meldde dat de industrie circa 3 miljard dollar van de gestolen activa heeft bevroren. De FBI wijst TraderTraitor aan, de naam die het geeft aan een met een staat gelinkte Noord-Koreaanse hackoperatie, en zegt dat de aanvallers de gestolen crypto omzetten in Ether. Noord-Korea's Kim Yo Jong ontkende echter de beschuldiging van de FBI en noemde die in een officiële verklaring van 2 november "een absurde retoriek en niets nieuws."

Binance meldde dat bedrijfsfondsen circa 95% van het getroffen bedrag hebben gecompenseerd, en de beurs voegde daaraan toe dat de XRP-saldi volledig gedekt zijn.