Binance zegt 90% van de ongeveer 6,3 miljard dollar die werd buitgemaakt bij de hack op donderdag te hebben vervangen, een stijging ten opzichte van 80% in de vorige update. Als het cijfer wordt bevestigd, overtreft het de grootste cryptodiefstal ooit geregistreerd — de ongeveer 1,5 miljard dollar die in februari 2025 bij Bybit werd buitgemaakt, een aanval die onderzoekers eveneens aan Noord-Korea koppelden. De beurs wil de opnames op 1 november hervatten en meldt dat het proces in fasen zal verlopen.

"We hebben nu 90% van de gestolen assets aangevuld, en we zijn vastbesloten de resterende 10% te dekken. Onze gebruikers zullen de financiële gevolgen van dit incident niet dragen," aldus co-CEO Richard Teng zaterdag op X (bericht).

In zijn derde en meest recente update meldde Binance dat de 10 grootste getroffen tokens "voor 100% volledig gedekt" zijn. Het gaat om BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD en ZEC. De resterende 10% bestaat uit minder liquide tokens buiten die groep en kan langer duren om te verkrijgen.

Bronnen van de vervangingsmiddelen

Binance meldde drie bronnen te hebben gebruikt om de gestolen assets te vervangen: een gedeeltelijke inzet van het Secure Asset Fund for Users (SAFU), een deel van het Futures-verzekeringsfonds en de eigen kas van het bedrijf.

Het bedrijf bevestigde later in een X-bericht dat de SAFU-overdracht was voltooid, wijzend op een overdracht van 7.499 BTC die zichtbaar is op de blockchain. De overdracht is te bekijken via een door Binance geïdentificeerd Bitcoin-adres (blockchain explorer).

SAFU is een noodreserve die in juli 2018 werd opgericht voor incidenten waaronder beveiligingsinbreuken. Deze wordt beheerd door Nest Clearing and Custody Limited, een in Abu Dhabi gereguleerde clearinghouse. Binance meldde het fonds aan te vullen tot ongeveer 1 miljard dollar.

Het Futures-verzekeringsfonds beschermt handelaren tegen tekortverliezen op failliete posities en beperkt gedwongen liquidaties, ook wel auto-deleveraging genoemd. Binance meldde alleen het bedrag boven de vereiste omvang van het fonds te hebben vrijgegeven, terwijl het resterende saldo een regelgevende vereiste is. De beurs meldde dat het fonds boven het vereiste dekkingsniveau blijft, al kan geen enkele beurs auto-deleveraging volledig voorkomen.

Opnames en proof of reserves

Binance schortte de opnames op na de aanval, die volgens het bedrijf begon toen haar hot wallets rond 20:05 UTC op donderdag werden gecompromitteerd. Hot wallets blijven verbonden met het internet om dagelijkse transacties te verwerken, waardoor ze meer blootgesteld zijn dan de offline cold storage die beurzen doorgaans gebruiken voor het merendeel van de klantmiddelen. Stortingen en andere niet getroffen diensten zijn operationeel gebleven.

De beurs had eerder gemeld dat de opnames binnen 48 uur zouden hervatten. Nu meldt het bedrijf dat de opnames op 1 november in fasen heropenen.

Binance heeft ook een nieuwe Proof of Reserves-snapshot gepubliceerd, genomen om middernacht UTC op zaterdag. Proof-of-reserves-openbaarmakingen werden wijdverbreid bij grote beurzen na de ineenstorting van FTX in 2022. De volledige zero-knowledgeproof naar verwachting 40 tot 50 uur in beslag neemt om te genereren. Het bedrijf meldde dat houders van de 10 gedekte tokens vervolgens minstens een 1:1 dekking kunnen verifiëren, wat naar schatting dinsdag beschikbaar zal zijn. In een eerdere update had Binance gemeld dat de resultaten maandag klaar zouden zijn.

Onderzoek loopt nog

Binance' eerste beoordeling wees naar de gecompromitteerde laptop van een ingenieur. De tweede update meldde dat het onderzoek "aanvullende inbreukpunten had blootgelegd." Teng omschreef een "complexe aanval" met een gecompromitteerde laptop en kwaadaardige software die was ontworpen om bewijs te verwijderen. Binance meldt geen bewijs te hebben gevonden dat privésleutels van wallets waren gelekt. Dergelijke sleutels zouden, indien gecompromitteerd, een aanvaller directe controle geven over de middelen die ze beschermen.

Volgens Binance is ongeveer 3 miljard dollar van de gestolen assets on-chain bevroren. On-chain bevriezingen zijn afhankelijk van de uitgevers van tokens die adres-blacklisting ondersteunen — een mogelijkheid die gebruikelijk is bij stablecoin-uitgevers — terwijl assets zonder uitgever, zoals bitcoin, niet op deze manier kunnen worden geblokkeerd. Dat cijfer staat los van het vervangingscijfer van 90%, dat reflectsert dat assets worden vervangen in plaats van teruggevorderd.

Binance' updates hebben de verantwoordelijken niet geïdentificeerd. TRM Labs en Chainalysis koppelden de aanval aan Noord-Korea, volgens een eerder rapport van TechNext24 (rapport). Binance meldt binnen ongeveer 48 uur na zijn tweede update aanvullende technische bevindingen te zullen delen en een volledig post-mortem te publiceren.