De Binance-hack 6,3 miljard is uitgegroeid tot de grootste cryptocriminaliteit die tot nu toe is gedocumenteerd. Op 29 oktober werd een bedrag van naar schatting $6,36 miljard over meerdere blockchains uit Binance-wallets gehaald. Volgens blockchain intelligence-bedrijven lijkt de operatie te passen bij een aanval door door de staat ondersteunde hackers.
Binance meldt zelf dat de schade ongeveer $6,3 miljard bedraagt. In een relatief korte periode werden de meeste transfers uitgevoerd, terwijl de exchange later opnames stopzette en toezegde gebruikers te compenseren via eigen middelen en het Secure Asset Fund for Users (SAFU).
Wat er volgens de onderzoekers gebeurde
TRM Labs volgde de transacties op de blockchain en kwam uit op een totaal van circa $6,36 miljard dat uit Binance-wallets is verdwenen over tien blockchains. Het grootste deel van de opbrengst verliet de wallets binnen ongeveer twintig minuten, wat wijst op goed voorbereid en gecoördineerd handelen.
Verder geeft TRM aan dat de aanvallers minstens anderhalf dag bezig waren met voorbereidingen voordat ze daadwerkelijk geld verplaatsten. Daarbij werd een wallet gebruikt om de operatie uit te voeren, die eerder met kleine Tornado Cash-terugtrekkingen werd gevuld. Ook testten de aanvallers eerder code op andere wallets voordat ze live gingen.
Startpunt: mogelijk gecompromitteerde DevOps-laptop
Binance heeft in de eerste fase vooral gekeken naar de interne toegangsketen. In hun vroege bevindingen stelt de exchange dat het incident mogelijk begon met een gecompromitteerde laptop van een DevOps-medewerker.
Volgens Binance kon een aanvaller zo toegang krijgen tot een service container en vervolgens ongeautoriseerde opname-transacties indienen. Tegelijk benadrukt Binance dat er geen aanwijzingen zijn gevonden voor het lekken van wallet private keys.
Geen “gewone” diefstal: handelingen waren voorbereid
Een opvallend onderdeel van de aanval is de manier waarop Ethereum-transacties werden voorbereid. Op Ethereum maakten aanvallers volgens TRM gebruik van EIP-7702. Dit mechanisme laat een standaard wallet toe om gedrag te delegeren aan een smart contract door een permissie te ondertekenen.
TRM beschrijft dat de aanvallers vooraf 50 permissies ondertekenden (met een vooraf ondertekende configuratie door een Binance hot wallet), zodat er bij uitvoering een match ontstond met het juiste transactiepatroon op dat moment. Uiteindelijk werd de wallet gedelegeerd aan een contract dat alleen de aanvallers konden aansturen, waarna ze de wallet konden leegtrekken.
In TRM’s analyse leek de Ethereum-activiteit aanvankelijk op phishing. Maar die verklaring dekt volgens hen niet de rest van het dossier: ook op negen andere blockchains gingen de betalingen door via normaal geldige, correct ondertekende transacties.
Meerdere blockchains, geldige handtekeningen
Volgens TRM gebruiken de betrokken wallets op de verschillende ketens uiteenlopende cryptografische instellingen: andere key types en andere signing schemes. Toch leverden ze allemaal binnen ongeveer een half uur transacties op met geldige handtekeningen die uitgingen van Binance-walletechnologie.
TRM ziet daarom als meest waarschijnlijke verklaring dat de aanvaller in staat was om het hot wallet signing-systeem transacties naar keuze te laten signeren, en dat dit systeem vervolgens over meerdere chains kon worden ingezet.
Als je wilt begrijpen hoe zulke ketenaanvallen en signing-misbruik in de praktijk verschillen van “simpele” compromises, is dit artikel over misbruikpatronen bij wallet-achtige omgevingen relevant: PHP2Shell keten: root op firewalls, let op.
Wie zit er volgens onderzoekers achter?
TRM koppelt de aanval aan TraderTraitor, een bekende elite-hackingunit die aan Noord-Korea wordt gelinkt. TRM zegt deze attributie te doen met hoge zekerheid, op basis van zowel on-chain als off-chain signalen.
TRM noemt ook overeenkomsten met eerdere incidenten, zoals de Bybit-roof en de KelpDAO-hack uit april 2026. In die gevallen zouden vergelijkbare elementen terugkomen, waaronder een operator wallet die via mixers is gefinancierd, voorbereid werk vóórdat er geld werd verplaatst, en handtekeningen die alvast werden verzameld.
Chainalysis-directeur Jonathan Levin onderschrijft in grote lijnen dezelfde richting: ook Chainalysis ziet TraderTraitor als waarschijnlijk. Onderzoekers van ZachXBT noemen daarnaast de Lazarus Group als vermoedelijke dader.
Hoe het geld werd “aangepakt”: bevriezen en toch blijven bewegen
Stablecoin-aanbieders reageerden snel. TRM telde tegen 00:30 UTC op 30 oktober ongeveer $2,7 miljard aan bevroren assets. Daarvan ging het grootste deel naar schatting naar Tether (1,77 miljard USDT) en Circle (825 miljoen USDC). Binance schat het totale bedrag dat is bevroren op ongeveer $3 miljard.
Toch bleef niet alles vastzitten. Arbitrum’s Security Council zou met noodbevoegdheden circa $30 miljoen uit een aanvallerswallet hebben verplaatst. Ook noemt TRM dat de aanvallers nog aanzienlijke hoeveelheden bezitten die mogelijk niet eenvoudig door issuers te blokkeren zijn: naar schatting meer dan 420.000 ETH en 18.270 BTC, samen ongeveer $2,4 miljard.
Volgens TRM probeerden de aanvallers verder momentum te houden door USDT om te wisselen naar ETH met verkoopprijzen van meer dan 10% onder marktwaarde. Dat soort snelheid en prijsdruk kan liquiditeit bij tegenpartijen beïnvloeden, waardoor het bevriezen achterloopt.
Voor een breder beeld van hoe aanvallers in crypto-incidenten vaak dezelfde “sporen” achterlaten en hoe die sporen te herleiden zijn, past dit gerelateerde onderwerp goed: Binance-incident: 6,3 miljard aan assets geraakt.
Wat dit incident betekent voor organisaties
Ook al gaat dit artikel over een crypto-exchange, de lessen zijn breder toepasbaar. Het verhaal draait niet alleen om blockchain-transacties, maar vooral om toegang, signing en interne workflows. Als een aanvaller via een medewerkerlaptop of beheeromgeving kan doordringen, wordt “sleutelbeheer” opeens een procedurekwestie in plaats van puur een cryptografisch probleem.
Daarnaast toont de aanpak hoe belangrijk het is om te begrijpen wat je systemen doen bij compromis. Binance geeft aan dat er geen private key-lek was; toch konden er transacties worden uitgevoerd via een keten van permissies en vooraf voorbereide handelingen. Dit onderstreept dat beveiliging zich niet alleen moet richten op het voorkomen van sleutel-diefstal, maar ook op het beperken van misbruik van legitieme functionaliteit.
Tot slot laat de respons zien dat bevriezen helpt, maar niet alles oplost. Ondanks bevriezingsacties konden sommige activa nog worden verplaatst of ingewisseld. Dat maakt het incident ook een case voor snelle incidentrespons, duidelijke besluitvorming en samenwerking tussen ketenpartijen, issuers en opsporingsdiensten.
Conclusie
De Binance-hack 6,3 miljard laat zien hoe ver aanvallers kunnen gaan wanneer ze niet alleen systemen proberen te “kraken”, maar ook de manier waarop transacties worden klaargezet en ondertekend. Onderzoekers wijzen sterk richting TraderTraitor en daarmee naar Noord-Korea, terwijl Binance aangeeft dat het mogelijk begon met een gecompromitteerde DevOps-laptop.
De acute gevolgen zijn omvangrijk, maar de grootste waarde ligt in de inzichten: voorbereidingstijd, delegatie-mechanismen op Ethereum en het misbruik van hot wallet signing over meerdere chains. Voor elke organisatie—zeker die werkt met complexe beheerketens—is dit een reminder om processen, permissies en responsmaatregelen door te lichten.
Bron: https://www.securityweek.com/6-billion-binance-hack-bears-hallmarks-of-north-koreas-tradertraitor/
