Na de hack die verliezen van ongeveer 6,3 miljard dollar veroorzaakte, kunnen Binance-klanten hun fondsen weer opnemen, met de beurs die de beperkingen geleidelijk in fasen opheft. Binance zelf zet de netto-uitstromen op 3,64 miljard dollar, gelijk aan 2,1 procent van de activa die de beurs in bewaring heeft.

Binance opereert zowel als handelsplatform als als bewaarder, wat betekent dat klanten hun fondsen direct op het platform laten staan. Die structuur maakt uitstromen een directe graadmeter voor het vertrouwen van klanten. De beurs telt 335 miljoen geregistreerde gebruikers, en het meest recente bewijs van reserves — een zelf gepubliceerde momentopname die aantonen moet dat klanttegoeden daadwerkelijk gedekt zijn — toonde activa van 171 miljard dollar. Eind oktober verliet het grootste deel van de gestolen fondsen binnen ongeveer 20 minuten, waardoor Binance stortingen en opnames tijdelijk opschortte. De FBI schrijft de aanval toe aan de Noord-Koreaanse eenheid TraderTraitor, terwijl Binance het de grootste cryptodiefstal aller tijden noemt. Tussen 06:00 en 15:30 UTC op de dag dat de opnames werden hervat, stonden uitstromen van 4,65 miljard dollar tegenover stortingen van 1,01 miljard dollar.

Binance hervat opnames in fasen

Sinds begin november laat Binance de opnames in verschillende fasen vrij. De beurs opende eerst tokens zoals Bitcoin, Ether en Dogecoin, samen met delen van de stablecoins USDC en USDT. Op X schreef het bedrijf: "We are taking a phased approach by prioritizing tokens based on the past week data of user demand." Tokens met lagere vraag volgen in latere fasen.

Na aftrek van de stortingen blijft in de meetperiode een netto-uitstroom van 3,64 miljard dollar over. Gemeten naar de 171 miljard dollar in het bewijs van reserves gedateerd 28 oktober 2026, is dat 2,1 procent, waarbij het grootste deel van het geld in de eerste uren vertrok. Volgens de beurs bleven de stortingen "substantial" terwijl de opnames later stabiliseerden. Omdat tokens met lagere vraag nog op latere fasen wachtten, was het beeld van de geldstromen na de heropening nog niet volledig.

Binance-oprichter Changpeng Zhao schreef op X: "98% choose to stay!" Wiskundig komt dat overeen met het aandeel dat overblijft na een netto-uitstroom van 2,1 procent. Het is echter onduidelijk of Zhao doelde op gebruikers of op tegoeden, en het cijfer komt van het bedrijf zelf zonder onafhankelijke verificatie.

DefiLlama telt hogere uitstromen dan Binance

Analyticsaanbieder DefiLlama, die beursportemonnees op de blockchain volgt, meldt hogere cijfers. Het dashboard toont inmiddels uitstromen van 5,81 miljard dollar, tegen eerder 4,36 miljard dollar — een verschil van ruim 2,2 miljard dollar met het cijfer van de beurs.

Een Binance-woordvoerder noemde het cijfer van DefiLlama onnauwkeurig en zei dat de nieuwste post van de beurs op X het dichtst bij de waarheid komt. Volgens de woordvoerder negeert de analyse stortingen naar een nieuwe hot wallet — een met internet verbonden portemonnee die beurzen gebruiken voor dagelijkse transacties — die de beurs zelf heeft opgezet. Wanneer een on-chain-analyse er niet in slaagt een nieuw aangemaakte beursportemonnee als zodanig te labelen, verschijnen transfers naar die portemonnee als uitstromen, ook al verlaten de fondsen de beurs nooit. Buitenstaanders kunnen echter niet verifiëren of dat in dit geval geldt. Bovendien rusten de twee cijfers op verschillende bases en afkapdata, wat elke directe vergelijking beperkt.

December 2022 biedt een ijkpunt. Destijds haalden klanten binnen 24 uur meer dan 3 miljard dollar van Binance, en binnen een week liep het totaal op tot circa 3,7 miljard dollar. De huidige netto-uitstroom is van vergelijkbare omvang, al telde het cijfer van 2022 bruto-opnames over een volledige dag, terwijl het nieuwe cijfer een nettowaarde is over ruim negen en een half uur. In procenten zijn de twee niet vergelijkbaar, omdat de beurs destijds een andere activabasis beheerde.

Binance dekt zelf 95 procent van de gestolen activa

Binance zegt al 95 procent van de gestolen activa te hebben vervangen, tegen een percentage van 90 dat het eerder meldde. Daartoe kocht het bedrijf tokens ter waarde van ongeveer 6 miljard dollar. De resterende 5 procent betreft minder liquide tokens, waarvan de vervanging langer duurt; het openstaande gat komt daarmee op circa 300 miljoen dollar. Bij minder dan 0,2 procent van de 171 miljard dollar aan activa is dat tekort relatief klein.

Volgens Binance worden de verliezen niet doorberekend aan gebruikers; het bedrijf put daarvoor uit zijn SAFU-beschermingsfonds — een noodfonds dat de beurs in 2018 oprichtte om gebruikersverliezen in extreme situaties te dekken — en uit eigen middelen. Stablecoinuitgever Circle heeft ook een deel van de buit geblokkeerd en meldt meer dan 1,1 miljard dollar aan USDC verbonden aan het incident te hebben bevroren. Het exacte verloop van de aanval is nog onduidelijk, en Binance wil een gedetailleerd rapport publiceren zodra het onderzoek is afgerond.

Voor klanten telt uiteindelijk de toezegging dat de beurs het volledige verlies draagt. Jay Koh, vicevoorzitter van de Asia Web3 AI Association, bewaarde het grootste deel van zijn fondsen in een cold wallet — offline opslag zonder internetverbinding — die door de hack niet werd geraakt, en nam niets op. Hij zei dat hij "not necessarily withdraw everything from Binance", terwijl hij het tegelijk "prudent to review exposure, diversify custody arrangements and avoid keeping more assets on any single platform than necessary" vond.

ETF-uitstromen en liquidaties volgen op de hack

Ari Redbord van TRM Labs reageerde op het incident: "I get why, for conservative institutional investors, this is unsettling." Bij een financiële instelling betekent een hack volgens hem gestolen gebruikersnamen en wachtwoorden. Een hack bij een cryptobeurs is daarentegen "bank robbery at the speed of the internet, which creates an unstable risk profile for anyone responsible for other people's capital."

Op de vrijdag na de hack noteerden spot-Bitcoin-ETF's uitstromen van 643 miljoen dollar — de grootste daguitstroom van oktober. Redbord schatte de liquidaties van geleinde posities op meer dan 1,3 miljard dollar. Beide cijfers betreffen de totale markt, niet alleen Binance.

De twee meetwaarden meten bovendien verschillende dingen. ETF-uitstromen ontstaan wanneer beleggers aandelen in exchange-traded funds inleveren, terwijl liquidaties de gedwongen sluiting van met schuld gefinancierde posities betreffen en geen kapitaaluitstloop inhouden. De cijfers zijn daardoor niet direct vergelijkbaar met de opnames bij Binance. Bovenal bevestigen de gegevens alleen hun tijdelijke nabijheid tot de hack; de cijfers alleen leggen geen oorzakelijk verband vast.

FBI schrijft de aanval toe aan TraderTraitor

In het weekend wees de FBI de door de Noord-Koreaanse staat gesteunde eenheid TraderTraitor aan als dader van de aanval; op vrijdag had het bureau nog alleen gezegd samen te werken met publieke en private partners. Onderzoekers zagen de groep de buit vooral omzetten in Ether en verwachten meer witwasactiviteit. TRM Labs had de aanval eerder "with high confidence" aan de groep toegeschreven, en de patronen lijken op eerdere aanvallen die analisten aan Noord-Korea wijten. Rafe Pilling van beveiligingsbedrijf Sophos ziet eveneens "all the hallmarks" van TraderTraitor.

Politiek is de toeschrijving minder duidelijk. De Amerikaanse president Donald Trump zei zaterdag: "We don't know if it's North Korea, but if it is, we'll talk to North Korea about it." Pyongyang ontkent staatsgerichte cyberoperaties al jaren, en de Noord-Koreaanse missie in Genève en de ambassade in China reageerden niet op mediaverzoeken.

Met 6,3 miljard dollar overtreft deze zaak alle eerdere cryptodiefstallen. De FBI schreef ook de Bybit-hack van februari 2025, ter waarde van circa 1,5 miljard dollar, toe aan TraderTraitor, waarmee het huidige verlies ongeveer 4,2 keer zo groot is. Het overtreft ook meer dan het dubbele van het totaal van alle cryptodiefstallen in 2025, waarvan de schattingen variëren van 2,7 miljard tot 2,9 miljard dollar. Daarnaast schatten Amerikaanse inlichtingendiensten dat Noord-Korea jaarlijks ten minste 1 miljard dollar verdient aan cryptohacks en andere financiele misdrijven. Vanaf hier zijn de meetpunten concreet: het door Binance aangekondigde incidentrapport en de circa 300 miljoen dollar aan minder liquide tokens die nog op vervanging wachten.

Bron: Crypto Valley Journal — Binance gradually reopens withdrawals after the hack