Het duurde slechts enkele tientallen minuten om de grootste cryptodiefstal ooit uit te voeren. Op 29 oktober verdween ongeveer 6,3 miljard dollar uit wallets van Binance, de grootste cryptobeurs ter wereld. Volgens blockchainonderzoeker TRM Labs werd het grootste deel van de buit in ongeveer twintig minuten weggehaald.
Achter die razendsnelle aanval zat echter een veel langere voorbereiding. Hackers richtten zich op medewerkers en interne systemen en wisten uiteindelijk toegang te krijgen tot infrastructuur waarmee enorme bedragen konden worden verplaatst.
Maanden voorbereiding voor aanval van twintig minuten
De aanval begon niet met het kraken van Bitcoin of Ethereum zelf. Binance maakte na eigen onderzoek bekend dat een medewerker weken voor de hack slachtoffer was geworden van een geavanceerde social-engineeringaanval, waarbij onder meer een nep-sollicitatieprocedure werd gebruikt. Later ontdekte het bedrijf dat er meerdere toegangspunten waren en dat de operatie complexer was dan aanvankelijk gedacht.
Een softwareontwikkelaar werd in september benaderd via een legitiem vacatureplatform. Iemand deed zich voor als projectdirecteur en vervolgens vond een videogesprek plaats met een zogenaamde HR-medewerker. Zelfs sociale media met persoonlijke foto’s werden gebruikt om de constructie geloofwaardig te maken.
Tijdens een volgend sollicitatiegesprek kreeg de medewerker een programmeeropdracht toegestuurd. De software die hij daarvoor moest downloaden bevatte malware die volgens Binance langs de bestaande beveiliging wist te komen.
Op 20 oktober bereikten de hackers via de eerder besmette computer twee andere medewerkers die met wallets werkten. Daarmee kwam de aanval steeds dichter bij de systemen waarmee Binance transacties kon goedkeuren.
De diefstal
Op 29 oktober volgde de daadwerkelijke roof. Met gestolen toegangsgegevens wisten de aanvallers een onderdeel van de interne infrastructuur te bereiken en kwaadaardige software uit te voeren. Rond 20.05 uur UTC begonnen enorme bedragen de wallets van Binance te verlaten.
Binnen ongeveer twintig minuten stroomden miljarden dollars weg via verschillende blockchains. Op Ethereum alleen ging het volgens blockchainonderzoeker TRM Labs om ongeveer 3,79 miljard dollar, waaronder 200.630 ETH en grote hoeveelheden USDT, USDC en RLUSD.
Ook 18.270 Bitcoin (BTC), destijds goed voor ongeveer 1,47 miljard dollar, werd buitgemaakt. Daarnaast verdwenen onder meer honderden miljoenen dollars aan via Tron, XRP Ledger en Solana.
Bij Ethereum maakten de hackers gebruik van een technische functie waarmee vooraf toestemming kan worden gegeven om bepaalde software namens een wallet uit te voeren. In simpele termen: de aanvallers wisten een Binance-wallet zo te manipuleren dat hun eigen code transacties kon uitvoeren.
Toen Binance doorhad wat er gebeurde, werden opnames stilgelegd en begonnen medewerkers toegangsrechten in te trekken. Maar tegen de tijd dat de aanval rond middernacht volledig onder controle was, was het grootste deel van de buit al verdwenen.
Binance schat de totale schade op ongeveer 6,3 miljard dollar. TRM Labs komt op ongeveer 6,36 miljard dollar en Elliptic op circa 6,43 miljard dollar.
Welke berekening ook wordt gebruikt, het record is duidelijk. De vorige grootste cryptohack was de aanval op Bybit in februari 2025, waarbij ongeveer 1,46 miljard dollar werd gestolen. De Binance-hack was dus ruim vier keer zo groot.
Elliptic gaat zelfs verder en noemt de aanval waarschijnlijk de grootste bekende diefstal van welke soort dan ook.
Miljarden worden direct geblokkeerd
Na de aanval begon een race om zoveel mogelijk gestolen crypto te blokkeren. Dat lukte vooral bij stablecoins, omdat uitgevers zoals Tether en Circle adressen kunnen bevriezen.
Volgens Elliptic is inmiddels ongeveer 2,85 miljard dollar van de buit bevroren of onderschept. Dat komt neer op ongeveer 44 procent van het gestolen bedrag. Het gaat vrijwel volledig om stablecoins zoals USDT en USDC.
De overige crypto is moeilijker tegen te houden. De aanvallers wisselden verschillende gestolen tokens daarom om naar Ethereum (ETH) en gebruikten meerdere blockchains en DeFi-protocollen om het geld verder te verspreiden. TRM Labs zag enkele dagen later bovendien nieuwe methodes waarbij onder meer bridges en zelf aangemaakte tokens werden gebruikt om transactiestromen moeilijker te volgen.
De FBI maakte op 31 oktober bekend dat Noord-Korea verantwoordelijk wordt gehouden voor de aanval. De Amerikaanse opsporingsdienst koppelt de hack aan TraderTraitor, dezelfde benaming die wordt gebruikt voor Noord-Koreaanse cyberoperaties die zich specifiek richten op cryptobedrijven. Noord-Korea zelf ontkent deze claims.
Binance vult vrijwel alle verdwenen crypto aan
Voor klanten beloofde Binance direct dat zij niet voor de schade zouden opdraaien. De beurs zette meer dan 6,34 miljard dollar aan eigen middelen opzij en gebruikte onder meer geld uit het SAFU-noodfonds en andere bedrijfsreserves.
Op 4 november meldde Binance dat ongeveer 98 procent van de getroffen assets alweer was aangevuld. De resterende 2 procent bestaat vooral uit minder liquide tokens die moeilijker in grote hoeveelheden kunnen worden teruggekocht.
Ook werd een nieuwe Proof of Reserves uitgevoerd. Waar de vorige controle tien tokens omvatte, werden nu 44 verschillende cryptovaluta meegenomen. Daarmee wil Binance aantonen dat klanttegoeden minimaal één op één worden gedekt.
De hack zorgde wel voor flinke uitstroom. Volgens Reuters haalden klanten netto ongeveer 4,72 miljard dollar van Binance, wat neerkwam op circa 3 procent van alle assets op het platform. Binance-topman Richard Teng stelde enkele dagen later dat de geldstromen alweer grotendeels waren genormaliseerd.
De dienstverlening wordt ondertussen stap voor stap hersteld en opnames worden per netwerk opnieuw geopend. Tegelijkertijd werkt Binance aan aanvullende beveiligingsmaatregelen en een uitgebreider onderzoek naar de precieze zwakke plekken die de aanvallers hebben gebruikt.
De hack laat vooral zien dat de zwakste plek van een cryptoplatform niet altijd de blockchain zelf is. Bitcoin en Ethereum hoefden niet te worden gekraakt. Door mensen en de infrastructuur rondom wallets aan te vallen, konden hackers binnen ongeveer twintig minuten meer dan 6 miljard dollar verplaatsen.
En juist dat maakt de aanval zo uitzonderlijk: maanden voorbereiding leidden uiteindelijk tot een van de snelste en grootste financiële diefstallen die ooit zijn vastgelegd.
Het bericht De grootste cryptodiefstal ooit: zo verdween $6,3 miljard bij Binance verscheen eerst op Newsbit.