Een hacker die ervan wordt verdacht kopers van Ledger-portemonnees te hebben aangevallen via de tussenhandelaar CryptoBilis heeft 430,2 ETH ter waarde van ongeveer $1,07 miljoen verplaatst naar Tornado Cash via vier aparte portemonnees, volgens het rapport van Onchain Lens gedateerd 9 oktober 2026. Daarnaast is $270.280 naar Binance gestuurd. Onderzoekers kunnen de transacties waarnemen, maar de geldstroom volgen is iets anders dan deze stopzetten.

Vier portemonnees naar de mixer, een hot wallet bij de beurs

Tornado Cash is een mixerprotocol dat stortingen van vele gebruikers samenvoegt in gedeelde smart-contractpools en opnames uitbetaalt naar nieuwe adressen, waardoor de directe link tussen bron en bestemming wordt verbroken. Hoewel Tornado Cash het aanzienlijk moeilijker maakt om stortingen te koppelen aan opnames, heeft het de mogelijkheid om de fondsen via andere wegen te traceren niet uitgesloten.

Uit een verder rapport van 9 oktober van Onchain Lens bleek dat $256.567 aan USDT en bijna $13.710 aan TRX naar Binance was gestuurd, waarbij een overboeking van $22.390 USDT al meetelde als onderdeel van het totale USDT-bedrag. De fondsen zouden zijn geplaatst in een hot wallet bij de beurs — een met internet verbonden portemonnee die wordt gebruikt voor het verwerken van stortingen en opnames. Assets in het beheer van Binance kunnen nog steeds worden bevroren; ze terugkrijgen is echter een heel ander verhaal.

Tether bevriest USDT terwijl portemonnees overstappen op USDD

Tether heeft een deel van de met de vermoedelijke diefstal samenhangende USDT bevroren — een middel dat in de token zelf is ingebouwd, aangezien de uitgever adressen op contractniveau op een zwarte lijst kan zetten. Andere fondsen zouden zijn omgezet in USDD, een gedecentraliseerde stablecoin uitgegeven op het TRON-netwerk, via het SUN.io-platform en diens Peg Stability Module, aldus TokenPost. Bevroren USDT kon niet tegen iets worden ingewisseld.

Een rapport van TokenPost van 9 oktober waardeerde de assets van de verdachte hacker op ongeveer $70,60 miljoen in ETH, BTC, USDD en USDT. Hoewel [de door Arkham gemonitorde portemonneeshttps://arkm.com/explorer/entity/cryptobillis-ledger-drainer) een gedetailleerder beeld van deze bezittingen bieden, is de in het rapport genoemde waarde niet het bevestigde bedrag van de vermeende verloren fondsen.

Volgens het rapport van de FATF uit maart 2026 zijn sterkere maatregelen noodzakelijk om het bevriezen en blokkeren van alle twijfelachtige stablecoin-transacties te waarborgen. Toch toont het gebruik van USDD aan dat criminelen fondsen buiten het bereik van dergelijke regels kunnen verplaatsen.

Ledger onderzoekt nog steeds, en het bedrag van $90 mln is niet bevestigd

Op 9 oktober kondigde Ledger op X aan dat het claims onderzocht met betrekking tot Zuidoost-Aziatische CryptoBilis-klanten en had verzocht de verkoper de apparaten niet langer te distribueren, zoals Cryptopolitan meldde. Klanten die in de afgelopen drie maanden producten hadden gekocht, werden geadviseerd de nieuwe apparaten niet te gebruiken, terwijl bestaande gebruikers werd verteld hun assets te verplaatsen naar een nieuwe signer met een nieuwe seed phrase. Dit advies weerspiegelt hoe hardware-portemonnees zijn ontworpen: de seed phrase wordt op het apparaat gegenereerd en offline bewaard, dus een nieuwe signer in combinatie met een nieuwe seed phrase verwijdert elke afhankelijkheid van een seed die gecompromitteerd zou kunnen zijn.

Volgens een artikel van The Block, gepubliceerd op dezelfde dag, varieerden de schattingen van tanuki42 en Specter van $72 miljoen tot $86 miljoen en waren ze gebaseerd op analyse van blockchain-activiteit. Cijfers die Binance News op 9 oktober meldde, zetten het totaal op $90 miljoen. Geen van deze bedragen is bevestigd als werkelijke schadechattingen, en ze kunnen betrekking hebben op verschillende portemonnees.

Changpeng Zhao, een van de medeoprichters van Binance, heeft de theorie geopperd van een leverancierspecifieke aanval op de toeleveringsketen, waarbij een apparaat tussen productie en levering wordt gecompromitteerd. Mark Karpelès, de voormalige CEO van Mt. Gox, heeft de mogelijkheid van manipulatie van apparaten naar voren gebracht. Geen van beide theorieën is gevalideerd of bevestigd.

Waarom mixers en stablecoin-swaps herstelpogingen steeds afweten

In 2022 door het Amerikaanse ministerie van Financiën gesanctioneerd en in maart 2025 van de sanctielijst verwijderd, is Tornado Cash een vaste tussenstop voor gestolen fondsen gebleven. TRM Labs meldde meer dan $700 miljoen aan instroom in Tornado Cash tot half juni 2026, goed voor meer dan 20% van de mixeractiviteit. De juli-review telde 207 hacks en $972 miljoen aan buit in de eerste helft van het jaar. Cryptopolitan meldde eerder dat Tornado Cash verscheen in 42% van de door Global Ledger bestudeerde exploits.

Voor eigenaren van portemonnees blijft de toeleveringsketen de grootste zorg. Ledger heeft manipulatie van apparaten niet bevestigd. De bevindingen, de reactie van Binance en verdere portemonneebewegingen kunnen uiteindelijk bepalen hoeveel kan worden teruggevonden.