Noord-Korea heeft de verantwoordelijkheid voor de crypto-diefstal van 6,3 miljard USD bij Binance ontkend en de toeschrijving van de aanval door de FBI weggezet als "absurde retoriek". De ontkenning volgde op het moment dat de grootste crypto-beurs ter wereld meldde dat de uitstromen van klanten na het incident waren genormaliseerd.

Binance houdt saldi aan die klanten op elk moment kunnen opnemen, en dat vermogen tot opnemen wordt algemeen beschouwd als het echte kapitaal van een beurs. Als een beurs de opnames opschort, groeit de druk om geld te verwijderen. Binance maakte de diefstal op 29 oktober 2026 bekend en bevroor aanvankelijk de opnames voor meer dan twee dagen. Analytische bedrijven hebben de technische gebeurtenisreeks sindsdien grotendeels gereconstrueerd. Het precedent is de hack van 1,5 miljard USD bij Bybit in februari 2025 — destijds de grootste crypto-diefstal ooit — waarbij de FBI eveneens Noord-Korea als aanvaller aanwees; de Binance-zaak is daarmee ongeveer vier keer zo groot. Uiterlijk 2 november hadden klanten netto 4,72 miljard USD van het platform gehaald. De reactie van Pyongyang op de FBI-toeschrijving, die in het weekend werd uitgebracht, volgde op dinsdag.

Pyongyang noemt FBI-toeschrijving "absurde retoriek"

In het weekend hield de FBI — het federale politieagentschap van de Verenigde Staten dat periodiek grote cyberaanvallen aan staten toeschrijft — Noord-Korea verantwoordelijk voor de diefstal van meer dan 6 miljard USD aan crypto-activa. Het analytische bedrijf TRM Labs had de aanval eerder met grote zekerheid aan Noord-Korea toegeschreven. Pyongyang reageerde via het staatspersbureau KCNA.

Kim Yo Jong, de invloedrijke zus van leider Kim Jong Un en partijfunctionaris, noemde de Amerikaanse beschuldiging "absurde retoriek en niets nieuws". Volgens haar wil de FBI de DPRK brandmerken als een "cyber criminele staat" op basis van informatie dat een door de DPRK "gesteunde" hackergroep zou hebben deelgenomen.

"Het is een ernstige politieke provocatie tegen de DPRK dat de VS de internationale opinie misleidt alsof alle cybercriminaliteit in verschillende delen van de wereld onze daden zijn," verklaarde ze.

Kim Yo Jong voegde eraan toe dat Noord-Korea "dingen om te heroverwegen" had gezien de Amerikaanse vijandigheid, zonder te specificeren wat. Pyongyang heeft tot op heden niet gereageerd op dit jaar gedane aanbiedingen van president Donald Trump om de topdiplomatie te hervatten, en het land ontkent als principe elke link met crypto-diefstal of andere cybercriminaliteit.

Analistenen in Seoel merkten de snelheid van het antwoord op. Naar hun mening weerspiegelt de ongebruikelijk snelle reactie waarschijnlijk bezorgdheid in Pyongyang dat de toeschrijving strengere maatregelen tegen de vermoedelijke inkomstenbronnen van het regime kan aanjagen. Voorlopig staat een officiële toeschrijving tegenover een staatsontkenning.

Binance ziet uitstromen na 24 uur genormaliseerd

Co-CEO Richard Teng gaf tijdens de Hong Kong Fintech Week commentaar op de staat van de beurs. De opnames piekten in de eerste 24 uur, zei hij, waarna de situatie "vrijwel genormaliseerd" was. Binance verkeert in "zeer sterke financiële toestand", voegde Teng toe, en heeft 95% van de getroffen tokens aangevuld. "Dat kunnen wij dekken. Wij zijn daartoe in staat," aldus de bestuursvoorzitter.

Naast de cumulatieve netto-uitstroom van 4,72 miljard USD noemt de beurs een relatief cijfer: sinds de hervatting van de opnames is de netto-uitstroom slechts ongeveer 3% van de platformactiva. Analisten beschouwen dit als relatief gematigd en als teken dat het klantvertrouwen grotendeels is behouden. Binance had de opnames meer dan twee dagen bevroren en hervatte ze geleidelijk vanaf 1 november. In een bericht op X meldde de beurs later dat de stortingen per uur nu de opnames overtreffen, wat volgens de beurs duidt op verbeterde gebruikersactiviteit en gestabiliseerde stromen.

Maksym Repa, Head of DeFi bij het Bitcoin-financieringsprotocol Lombard, zag ook de beperkte prijsreactie als teken van rijpheid. Naar zijn inschatting onderscheiden beleggers een beveiligingsfalen bij een gecentraliseerde beurs van een probleem met het Bitcoin-netwerk.

Opmerkelijk genoeg biedt Binance financiële prikkels terwijl het stabiele stromen meldt. Sinds begin november biedt een "Community Appreciation Campaign" kortingen en beloningen aan, gericht op gebruikers met een cumulatief handelsvolume van 10.000 USD of meer. Daarnaast betalen bepaalde rendementsproducten tot 10% APR. De campagne loopt af op 21 november 2026.

De normalisatie blijft echter een eigen rapportage van de beurs. Begin november voltooide Binance een cryptografisch bewijs van reserves voor tien activa dat klanten zelf kunnen verifiëren. De afkapdatum daarvan is evenwel 31 oktober, waardoor de uitstromen na de hervatting van de opnames niet zijn meegenomen. Het vervangt bovendien geen onafhankelijke audit door derden.

Hoe crypto-diefstal de wapenprogramma's van Noord-Korea financiert

Analistenen zien crypto-diefstal als een belangrijke financieringsbron voor de wapenprogramma's van Noord-Korea, en cybersecurityexperts rekenen de hackers van het land tot de productiefste crypto-dieven ter wereld. Deels is de aantrekkingskracht structureel: cryptovaluta kunnen landsgrenzen passeren zonder via banken te gaan, waardoor ze moeilijker te bereiken zijn met conventionele, op banken gebaseerde financiële controles. Het analytische bedrijf Elliptic schat hun buit voor 2026 op 7,6 miljard USD, meer dan ooit tevoren. De Zuid-Koreaanse centrale bank schat het bruto binnenlands product van Noord-Korea voor 2025 op 47,18 biljoen won (35,09 miljard USD); de Binance-diefstal alleen zou daarmee ruwweg een zesde van de economische output van het land gelijkstaan.

Chainalysis volgde de trend over vijf jaar. Volgens het bedrijf heeft 89% van alle verliezen door crypto-hacks in 2026 banden met Noord-Korea, tegen 15% in 2021. In dezelfde periode steeg het gemiddelde gerapporteerde verlies per hack van 50,65 miljoen USD naar 185,65 miljoen USD, een toename van meer dan 3,6 keer. Alec Zebrick, Senior Manager Asia-Pacific Global Services bij Chainalysis, omschreef het patroon als jacht op groot wild: de aanvallers richten zich op grotere beurzen die meer tijd en complexiteit vergen om te kraken, en daarmee kan de buit relatief groot zijn.

Lim Eul-chul, hoogleraar aan het Institute for Far Eastern Studies van Kyungnam University, plaatste de cijfers in de context van sancties. Onder de bestaande sancties is crypto-diefstal een van de belangrijkste kanalen geworden voor het voortbestaan van het regime en de wapenontwikkeling, zei hij. Extra Amerikaanse maatregelen tegen wallets, witwasnetwerken en beurzen kunnen daardoor een belangrijke inkomstenbron afsluiten. Naast de crypto-buit vloeien ook opbrengsten van door resoluties van de VN-Veiligheidsraad verboden activiteiten naar de raket- en nucleaire programma's. De link tussen deze inkomstenbron en de snelle ontkenning is een interpretatie van analisten in Seoel en blijft onbewezen.

Verantwoordelijkheid en lot van de gestolen fondsen blijven open

De verantwoordelijkheid van Noord-Korea rust op de FBI-toeschrijving en op de eigen forensische analyse van TRM Labs; Pyongyang biedt daartegenover een algehele ontkenning. Het blijft onduidelijk wat schuilgaat achter de uitspraak dat Noord-Korea "dingen om te heroverwegen" heeft, aangezien Kim Yo Jong de opmerking onverklaard liet.

Teng heeft een onderzoeksrapport over de hack aangekondigd, maar Binance heeft het nog niet gepubliceerd. Terugvordering is het moeilijkst voor het deel van de buit dat geen enkele uitgever kan bevriezen. Eind oktober schatte TRM dit deel op ongeveer 2,4 miljard USD in Bitcoin en Ether, waarbij het analytische bedrijf eveneens verwachtte dat cross-chain bridges (protocollen die tokens tussen blockchains verplaatsen), swapdiensten en over-the-counter-handelaars (bedrijven die grote volumes buiten openbare orderboeken verhandelen) de volgende witwastops zouden vormen.