Hackers achter de diefstal van $6,43 miljard bij Binance hebben ongeveer $124 miljoen aan de gestolen altcoins omgezet in Bitcoin, volgens een rapport van 6 november van blockchain-analysebedrijf Elliptic. De witwasactiviteit vindt plaats op hetzelfde moment dat het beursplatform de opname­diensten voor zijn klanten herstelt.

Altcoins omzetten, niet cashen

De swaps leverden ongeveer 1.650 BTC op, los van de $1,48 miljard die direct werd buitgemaakt bij de aanval op 29 oktober. Tot nu toe is circa $50 miljoen aan XRP verplaatst, terwijl $226 miljoen nog steeds staat in wallets onder controle van de hackers. Vrijwel alle gestolen Solana — ter waarde van ongeveer $87 miljoen — is omgewisseld naar andere cryptocurrencies, verplaatst over blockchains of gerouteerd via transacties die zijn ontworpen om de oorsprong te verhullen.

De nieuwste cijfers geven geen volledig beeld van de gestolen fondsen. Elliptic schat dat $2,85 miljard, of 44,3% van het totaal, is bevroren, terwijl nog eens $3,11 miljard, of 48,4%, in verbonden wallets staat. Samen dekken die categorieën $5,96 miljard van de $6,43 miljard aan buit, waardoor ongeveer $470 miljoen, of 7,3%, niet in de gerapporteerde totalen is te verantwoorden. Verschillen in waarderingen van assets en rapportagetijden kunnen de inconsistenties verklaren.

De $124 miljoen die in Bitcoin is omgezet, moet niet als een extra bedrag worden beschouwd, aangezien de hackers simpelweg de ene crypto-vorm voor de andere hebben geruild in plaats van uit te cashen. Volgens Elliptic is tot nu toe slechts een klein deel van het gestolen geld opgenomen. Hoeveel van dat saldo in verbonden wallets uiteindelijk wordt bevroren, verplaatst of opgenomen, is het cijfer dat in de komende updates waarschijnlijk het meest zal veranderen.

Hoe de witwaspraktijk in beweging blijft

De gestolen assets zijn verspreid over een groot aantal transacties. Elliptic's analyse heeft meer dan 20.000 crypto-wallets getraceerd, naast 16 verschillende blockchains en 65.000 transacties. De activiteit lijkt geautomatiseerd, al is er geen bewijs dat AI-agenten deze aansturen.

TRM Labs ontdekte dat de hackers tokens en liquiditeitspools op Tron hebben gecreëerd om overboekingen te verhullen. Ze verplaatsten geld ook via lending-receipt-tokens en onderling verbonden blockchain-bridges, waarbij ze wallets omzeilden waar assets bevroren konden worden.

Eerder traceerde Chainalysis hoe $325 miljoen aan stablecoins binnen 20 minuten werd omgezet in $285 miljoen aan Ether, kennelijk om bevriezing te voorkomen. Sommige XRP-conversies verliepen via THORChain. Zoals Cryptopolitan meldde, blokkeerde de website van THORChain gemarkeerde adressen na een verzoek van de FBI, maar onafhankelijke nodes bleven de transacties verwerken.

Heropening van opnames en de liquiditeitstest

Binance herstelt de opnames terwijl de gestolen fondsen nog in omloop zijn. In een update van 6 november, ook gedeeld op X, zei het beursplatform te streven naar het heropenen van opnames voor HYPE, INJ, APT, PLASMA, NEAR en LTC tegen het einde van de volgende week. Binance meldde ook dat het op 31 oktober 98% van de getroffen token-assets had aangevuld, en beloofde de verliezen van klanten te dekken — hoewel het vervangen van gestolen assets niet hetzelfde is als ze terug te vorderen. Het doel van zes tokens vormt het volgende concrete ijkpunt in het hersteltijdlijn van het platform.

De heropening heeft Binance's liquiditeit onder druk gezet. Talos registreerde $6,1 miljard aan nettostromen weg van het platform. De diepte van het Bitcoin-orderboek binnen 1% daalde op de eerste dag na de aanval met 28% en bereikte rond 1 november een dieptepunt van ongeveer 44% onder het pre-hack-niveau voordat het herstelde. Bitcoin zelf daalde na de hack ongeveer 5%. Desondanks vond Talos beperkte aanwijzingen van bredere marktbesmetting in vergelijking met de ineenstorting van FTX.

Wat het betekent voor beurzen en compliance

De FBI schreef de diefstal op 31 oktober toe aan de Noord-Koreaanse groep TraderTraitor. Het agentschap publiceerde adressen die met de hackers in verband worden gebracht en riep THORNode-operators, DeFi-diensten en directe wisselplatformen op om gerelateerde transacties te blokkeren.

Ondanks de geavanceerde witwaspraktijk begon de aanval met bekende zwakke plekken in de beveiliging. Binance' onderzoek beschrijft een nep-sollicitatiegesprek, malware geïnstalleerd op de computer van een ingenieur en misbruik van een interne AI-tool. De aanvallers kregen uiteindelijk toegang tot systemen die betrokken zijn bij het ondertekenen van wallet-transacties.

De inbreuk benadrukt twee uitdagingen voor beurzen: het beschermen van medewerkers en gevoelige systemen tegen inbraak, en het voorkomen dat gestolen fondsen zich over gedecentraliseerde netwerken verplaatsen.