Binance hervatte op zondag de opnames nadat het grootste deel van de 6,3 miljard dollar had gedekt dat gestolen was bij de aanval van 29 oktober, meldde Reuters, en zette tegen 15:30 UTC de netto-uitstroom op ongeveer 3,6 miljard dollar. Concurrerende tellingen van on-chain dataproviders tonen echter hogere cijfers, en het verschil komt door meetvensters, de portemonnee-coverage en de manier waarop nieuw aangemaakte beursadressen worden gelabeld.

Binance telde 9,5 uur, DefiLlama telde 24

Binance zei tussen 06:00 en 15:30 UTC op zondag ongeveer 4,65 miljard dollar aan opnames en 1,01 miljard dollar aan stortingen te hebben verwerkt, volgens The Block. De stortingen compenseerden ongeveer een vijfde van wat wegvloeide, waardoor het netto cijfer rond 3,6 miljard dollar ligt in plaats van op het brutototaal. Die uren volgden op een bevriezing die sinds 29 oktober van kracht was.

De beurs zette het netto cijfer af tegen 171 miljard dollar aan assets onder beheer uit haar proof-of-reserves-data van 28 oktober en kwam zo op een uitstroom van 2,1%. Die noemer gaat vooraf aan de hack, dus de ratio vergelijkt de uitstroom van zondag met Binance's bezittingen vóór de diefstal, niet met wat het nu aanhoudt.

Binance zei ook dat de opnamevolumes na de eerste piek stabiliseerden terwijl de stortingen fors bleven. Het publiceerde geen uursverdeling, dus het verloop van die daling is van buiten de beurs niet te verifiëren.

De concurrerende cijfers zijn als volgt:

• Binance, zelf gerapporteerd: circa 3,6 miljard dollar netto, 06:00–15:30 UTC, 1 nov
• DefiLlama, via The Block: circa 4,05 miljard dollar netto, 24 uur tot 16:37 UTC, 1 nov
• DefiLlama, via Reuters: circa 4,4 miljard dollar, venster niet gespecificeerd

Deze cijfers meten niet hetzelfde. DefiLlama's venster van 24 uur begint op zaterdagmiddag, meer dan 13 uur voordat Binance de eerste opname verwerkte, op een moment waarop klanten geen mogelijkheid hadden fondsen van de beurs te verplaatsen. Enig saldisverloop dat in die uren werd geregistreerd, kan geen klantuitstroom zijn geweest.

Ook de coverage verschilt. DefiLlama volgt ongeveer 131 miljard dollar aan portemonnees die het aan Binance toeschrijft, ruim minder dan de 171 miljard dollar die de beurs meldt, waardoor de twee stromen tellen over verschillende sets adressen.

Een nieuwe hot wallet lijkt op vertrekkend geld

Nadat de aanvallers de hot wallets hadden leeggeroofd, begon Binance opnames te verwerken vanuit nieuw gegenereerde portemonnees en voegde die toe aan haar proof-of-reserves-lijst, meldde The Block. Tot een tracker een nieuw adres als zijnde van Binance labelt, worden fondsen die de beurs erheen verplaatst geregistreerd als uitstroom. CryptoQuant's methodologiehandleiding wijst op hetzelfde risico: onbekende beursadressen kunnen een interne overboeking doen lijken op een externe opname.

Daarop baseert Binance haar bezwaar tegen de hogere DefiLlama-meting, die volgens de beurs niet volledig rekening hield met stortingen naar de nieuwe hot wallet. Nog geen enkele tracker heeft een reconciliatie gepubliceerd. Tot de nieuwe adressen zijn gelabeld en de vensters op elkaar zijn afgestemd, rust die verklaring op Binance's woord.

Hetzelfde labelingsprobleem vertroebelt de data van de dag van de aanval. CryptoQuant registreerde op 29 oktober ongeveer 28.000 BTC en circa 2,9 miljard ERC-20 USDT die uit met Binance gelabelde portemonnees wegvloeiden. Die totalen mengen gestolen fondsen, noodoverboekingen en eventuele klantopnames die vóór de bevriezing werden verwerkt, en de USDT-serie dekt alleen de Ethereum-versie van de token. Het USDT-cijfer kent een tweede complicatie: een deel ervan is gestablede stablecoin dat uitgevers in beginsel kunnen bevriezen. Coindoo's uiteenzetting van hoe de hacker die bevriezingen omzeilde toont hoe de aanvaller die fondsen desondanks in beweging hield.

Waar het geld verscheen

Slechts een klein deel van de uitstroom van zondag dook op bij concurrerende platforms. Over dezelfde 24 uur registreerden de tien op-een-na grootste beurzen in DefiLlama's data samen ongeveer 368 miljoen dollar aan netto-instroom, aangevoerd door OKX met bijna 317 miljoen dollar, terwijl Bitfinex en Gate netto-uitstroom boekten. DefiLlama dekt Coinbase en Kraken niet, maar CoinGlass-data die The Block aanhaalde toonde hun bitcoin-saldi stijgen met respectievelijk circa 984 BTC en 1.422 BTC, terwijl die van Binance met ongeveer 19.289 BTC daalden.

Het grootste deel van het geld ging dus naar adressen die deze dashboards niet labelen. Dat kunnen self-custody portemonnees zijn, kleinere beurzen of Binance-adressen die nog niet zijn gelabeld, en op-chain data alleen kan die niet van elkaar onderscheiden.

Wat klanten daadwerkelijk kunnen opnemen

Binance ordende de eerste fase op basis van de opnamevraag van de voorafgaande week, waardoor de grote munten en de drukste stablecoin-netwerken het eerst terugkeerden. In haar herstelupdate van 1 november zei de beurs dat saldi in BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD en ZEC volledig gedekt zijn. De circa 5% van de gestolen waarde die nog niet is vervangen, zit in minder liquide tokens buiten die groep, die de beurs nog steeds inkoopt via markt- en OTC-kanalen.

Opnamestatus op zondagmiddag (UTC):

• 12:36 – Alle 15 netwerken van fase één heropend
• 16:22 – Statuspagina toonde 531 van 552 munten opgeschort; 14 deels hersteld, waaronder BTC en ETH
• Nog in test – Cardano, Chainlink, Hyperliquid, Litecoin, NEAR en andere netwerken

Voor wie een munt aanhoudt die nog is opgeschort, zeggen de miljarden van zondag niets over het eigen saldo. Binance's netwerkstatuspagina vermeldt de beschikbaarheid per asset- en netwerkcombinatie.

Het vervangen van gestolen waarde door bedrijfsgeld staat los van het terugvinden van de gestolen munten zelf. Binance zegt samen te werken met wetshandhavers en branchemetgezellen om die op te sporen en te bevriezen, maar de update van 1 november vermeldde niet hoeveel er tot nu toe is bevroren.

Reserve-data gaat nog steeds vooraf aan zondag

Beide reservereferenties die in omloop zijn, dateren van vóór de golf. De 2,1%-ratio berust op data van 28 oktober. Binance zei dat haar volgende proof-of-reserves-rapport, berekend met zero-knowledge proofs en verwacht op maandag, een snapshot van 31 oktober gebruikt. Dat rapport kan tonen wat op zaterdag de klantsaldi dekte, niet wat er overbleef na de uitbetalingen van zondag. De investeerdersadviseur van de PCAOB heeft er ook voor gewaarschuwd dat dergelijke rapporten geen audits zijn en weinig onthullen over de bredere financiën van een entiteit.

Drie markeringen zullen tonen of zondag een inhaalbeweging was of het begin van een langere uittocht. De eerste is of de opgeschorte munten weer online komen. De tweede is of DefiLlama's cijfers dichter bij die van Binance komen zodra de nieuwe wallets zijn gelabeld. De derde is de eerste reservesnapshot gedateerd na 1 november.

Dit artikel is oorspronkelijk gepubliceerd door Coindoo.