Binance heeft de circa 6,34 miljard dollar aan cryptocurrency die werd gestolen tijdens het beveiligingsincident van 29 oktober volledig aangevuld, terwijl de Amerikaanse autoriteiten gerechtelijke toestemming hebben verkregen om meer dan 1,2 miljard dollar van de gestolen activa in beslag te nemen of te bevriezen, die in verband worden gebracht met Noord-Koreaanse hackers.

Het beursplatform voltooide op 12 november de vervanging van de getroffen klantactiva en putte daarvoor uit bedrijfsfondsen, noodreserves en verzekeringsmiddelen om de verliezen te dekken. Er is ook een nieuwe Proof of Reserves-snapshot gepubliceerd die 198 cryptocurrencies omvat, hoewel de volledige cryptografische verificatie ervan nog in behandeling is.

De aanvulling volgt twee weken nadat aanvallers ongeveer 6,3 miljard dollar uit de hot wallets van Binance hebben getrokken, wat leidde tot noodbeperkingen op opnames en een van de grootste gecoördineerde activa-bevriezingsoperaties in de geschiedenis van cryptocurrency. De reactie verliep op twee fronten—klantcompensatie gefinancierd uit de bedrijfskas en bevriezing van activa door meerdere instanties—een combinatie die inmiddels gebruikelijk is geworden in de manier waarop de sector en de handhaving de grootste diefstallen in de branche aanpakken.

Binance rondt aanvulling van activa af, opnames blijven beperkt

Binance financierde de vervanging van de gestolen activa via het Secure Asset Fund for Users (SAFU)—het noodverzekeringsfonds dat het bedrijf in 2018 instelde—samen met overschotkapitaal uit het futures-verzekeringsfonds en de bedrijfskas. Ongeveer 98% van de getroffen activa was eerder die maand al hersteld; het restant bestond voornamelijk uit minder liquide cryptocurrencies die aanvullende aankopen via spotmarkten en over-the-counter-transacties vereisten.

Proof-of-reserves-openbaarmakingen werden na de ineenstorting van FTX eind 2022 een wijdverbreide praktijk in de sector, toen grote beurzen begonnen met het publiceren van cryptografische attestaties zodat klanten hun saldi konden verifiëren. De reserveresultaten van 12 november omvatten 198 tokens en zijn ontworpen zodat klanten kunnen controleren dat hun bezittingen ten minste 1:1 gedekt zijn. De volledige zero-knowledge proof was echter nog niet beschikbaar toen Binance de aanvulling aankondigde. De generatie ervan werd nog 40 tot 50 uur verwacht, waardoor de onafhankelijke verificatie van de nieuwste snapshot nog openstond.

Binance heeft zich ook toegelegd SAFU na aanspreking van het noodfonds weer aan te vullen tot circa 1 miljard dollar. Opnames worden geleidelijk in fasen heropend, in plaats van dat de volledige beschikbaarheid op alle ondersteunde netwerken terugkeert. Resterende mijlpalen in het herstel omvatten de publicatie van de voltooide zero-knowledge proof en de terugkeer naar volledige beschikbaarheid van opnames op alle ondersteunde netwerken.

Het beursplatform benadrukte dat de vervanging van klantactiva losstaat van het terugvorderen van de gestolen cryptocurrency, dat onderworpen blijft aan lopende blockchain-tracering en justitiële actie.

VS bevriezen 2,7 miljard dollar gelinkt aan Noord-Koreaanse hackers

Het Amerikaanse ministerie van Justitie verkreeg op 12 november gerechtelijke toestemming om meer dan 1,2 miljard dollar aan gestolen Binance-activa in beslag te nemen of te bevriezen. Dat bedrag maakt deel uit van meer dan 2,7 miljard dollar die is bevroren via gecoördineerde inspanningen van federale onderzoekers, cryptocurrencybeurzen en andere private partners. De gerechtelijke bevelen Establisheren niet dat de middelen al zijn teruggegeven aan Binance. Bevriezingsoperaties van deze aard zijn een gebruikelijke eerste stap geworden in grote crypto-diefstalzaken, hoewel het omzetten van gerechtelijke bevelen in teruggegeven activa jaren van juridische procedures kan vergen.

De FBI schreef de aanval eerder toe aan de Noord-Koreaanse operatie TraderTraitor—een programma dat Amerikaanse instanties sinds 2022 publiek volgen—die gecompromitteerde interne systemen gebruikte om ongeautoriseerde overboekingen over meerdere blockchains te initiëren. Het voorlopige onderzoek van Binance herleidde de inbraak tot gecompromitteerde medewerkersapparaten, gestolen inloggegevens en toegang tot de infrastructuur voor het ondertekenen van wallets. De aanvallers misbruikten ook het EIP-7702-autorisatiemechanisme van Ethereum—een functie geïntroduceerd in de Pectra-upgrade van mei 2025 waarmee standaardwallets tijdelijk als smart contracts kunnen fungeren—om fondsen te verplaatsen buiten de normale opnamesystemen van het beursplatform om.

Noord-Koreaanse operatoren blijven proberen de opbrengsten wit te wassen via cryptocurrency-bruggen, mixers en beurzen; Amerikaanse en VN-onderzoekers hebben dergelijke diefstalcampagnes herhaaldelijk gekoppeld aan staatsfinanciering. Eerdere herstelinspanningen omvatten het veiligen van ongeveer 30 miljoen dollar aan gestolen Binance-activa door Arbitrum, onder voorbehoud van goedkeuring door de governance vóór enige vrijgave.

Justitiedepartement verstoort afzonderlijke Noord-Koreaanse oplichting van 400 miljoen dollar

Amerikaanse onderzoekers verstoorden ook een afzonderlijke Noord-Koreaanse social engineering-campagne, bekend als FaceStealer, verantwoordelijk voor de diefstal van meer dan 400 miljoen dollar aan cryptocurrency in de voorafgaande 18 maanden. De operatie gebruikte gecompromitteerde berichtenaccounts, frauduleuze videovergaderingen en door AI gegenereerde deepfakes om cryptoprofessionals te misleiden malware te installeren.

Aanvallers gaven zich vaak uit voor vertrouwde contacten en introduceerden vervolgens verzonnen technische problemen tijdens videogesprekken, waardoor slachtoffers werden overtuigd kwaadaardige software te downloaden die toegang gaf tot hun computers en cryptocurrency-bezittingen.

De FBI nam de cloudinfrastructuur die de campagne ondersteunde in beslag en verkreeg meer dan 900 webcamvideo's van slachtoffers op basis van een federaal bevel, waarmee de inbeslagname van infrastructuur werd gecombineerd met de strategie van activabevriezing uit het hoofonderzoek naar de hack. Onderzoekers onderzoeken ook pogingen om ontwikkelaars die open-source software onderhouden te compromitteren, wat aanvallers toegang had kunnen geven tot veelgebruikte software-repositories en hun gebruikers.