Binance-hack: FBI koppelt Noord-Koreaanse TraderTraitor aan de grootste cryptodiefstal ooit geregistreerd
In de avond van 29 oktober 2026 begonnen ongeautoriseerde opnames de hot wallets van Binance leeg te trekken over elf blockchains, binnen enkele uren. Schattingen van het verlies lopen uiteen van zo'n 6,3 miljard dollar, het eigen cijfer van de beurs, tot 6,43 miljard, waar de on-chain boekhouding van Elliptic na dagen van tellen op uitkwam — wat het analysebureau met vrijwel zekerheid de grootste enkele diefstal van welke aard dan ooit noemt. De opnames werden diezelfde nacht stilgelegd, en 's werelds grootste cryptobeurs bracht de daaropvolgende dagen door met het geruststellen van haar ruim 335 miljoen geregistreerde gebruikers: hun geld was nooit verdwenen.
De cijfers achter een recorddiefstal
Er zijn weinig precedenten om aan vast te houden. De buit is meer dan vier keer de 1,46 miljard dollar die in februari 2025 van Bybit werd gestolen — toen zelf het record — en meer dan zes keer de circa miljard dollar die Saddam Hussein in 2003 uit de Iraakse centrale bank haalde, benadrukt de vergelijking van Elliptic. Op basis van de cijfers van het FBI telt The Hacker News elf geraakte blockchains, met 82 procent van de waarde op Ethereum en Bitcoin. Het grootste deel lag op Ethereum: zo'n 3,8 miljard dollar verdeeld over 186 tokens, naast 18.270 BTC ter waarde van ruwweg 1,48 miljard dollar.Noord-Korea, met hoge zekerheid
Op 31 oktober schreef het FBI de diefstal formeel toe aan TraderTraitor, een aan Noord-Korea gelieerd cluster dat ook als Jade Sleet en Slow Pisces bekendstaat, in samenwerking met de Amerikaanse Secret Service en IRS Criminal Investigation. Dezelfde acteurs worden in verband gebracht met de hacks op Bybit en DMM Bitcoin en met kleinere incidenten bij KelpDAO en Bitget. Particuliere analisten wezen al binnen enkele uren in dezelfde richting: de speurder ZachXBT noemde de aanvaller "waarschijnlijk Lazarus", en TRM Labs publiceerde een inschatting met "hoge zekerheid" dat TraderTraitor erachter zat — een eenheid die CoinDesk beschrijft als een subcluster van de Lazarus Group."We hebben inmiddels 90% van de gestolen assets aangevuld, en we zetten in om de resterende 10% te dekken." — Binance-co-ceo Richard Teng, 31 oktober 2026Binance legde de opnames stil en verbond zich er vervolgens toe alle klantverliezen volledig te dekken. Het bedrijf zette zo'n 6,34 miljard dollar aan eigen middelen opzij — afkomstig uit zijn miljard zware garantiefonds Secure Asset Fund for Users, zijn futures-verzekeringsfonds en de corporate treasury, aldus NBC News —, met de resterende tien procent vooral in minder liquide tokens, waarvan de terugkoop meer tijd vergt. De opnames kwamen per fase weer op gang vanaf 06:00 UTC op 1 november, en de gevreesde bankrun bleef beheersbaar. The Block telde zo'n 3,64 miljard dollar aan netto-uitstroom in de eerste negen en een half uur — zo'n 2 procent van de beheerde activa — en citeerde de beurs met de mededeling dat de volumes zich na de eerste piek "zoals verwacht stabiliseerden", terwijl de stortingen substantieel bleven. Bitcoin was al 5 procent gezakt naar een zesweekse bodem van 77.380 dollar in de uren na het nieuws, laat de berichtgeving van de Guardian zien.
Hoe de wallets werden geleegd
Binance wees bij zijn eerste openbare lezing de gecompromitteerde laptop van een DevOps-ingenieur aan als ingang; later sprak het bedrijf van een complexe aanval met extra indringingspunten en malware die sporen moest wissen. De reconstructie van Elliptic laat zien hoe de aanvaller EIP-7702-delegatie misbruikte, een functie geïntroduceerd met de Pectra-upgrade van Ethereum in 2025: één transactie met vijftig geldig ondertekende autorisaties delegeerde de controle over de wallet met het label "Binance 14" aan een sweeper-contract, dat hem drieënhalf minuten later leegtrok op 167.464 ETH en 63 tokens. De middelen verhuisden via de eigen signeringsinfrastructuur van Binance en niet via gestolen privésleutels — in Elliptics woorden waren de infrastructuur en de mensen rond de wallets gecompromitteerd, niet de cryptografie.Het witwaspoor
Het FBI heeft zijn verwachtingen vooraf uitgetekend. Nadat was geobserveerd hoe de aanvaller de gestolen assets vooral omzette naar Ethereum, verwacht het bureau dat de gelden verder worden gewit via DeFi en directe swapdiensten, en het heeft de walletadressen gepubliceerd waar diensten tegen kunnen screenen. Het on-chain beeld tot nu toe volgt het bekende script: stablecoins geruild voor ETH en TRX met verliezen van 12 tot 26 procent, snelheid boven waarde; 59,9 miljoen USDT geparkeerd bij Aave om daartegen ETH te lenen; TRX verplaatst via ten minste zes verschillende bridges.- Ongeveer 2,85 miljard dollar was binnen dagen on-chain bevroren of in beslag genomen — 44 procent van de buit, vrijwel allemaal stablecoins, volgens Elliptic; Binance zelf houdt het op circa 3 miljard.
- Op Bitcoin, de XRP Ledger, Solana en NEAR is niets bevroren; de aanvaller houdt zo'n 3,25 miljard dollar aan praktisch ongenaakbare assets over, verspreid over meer dan 800 adressen.
- Elliptic heeft een gratis blocklijst gepubliceerd met meer dan 8.000 gekoppelde adressen voor beurzen en wallet-aanbieders.
- Aan Noord-Korea gelieerde acteurs zouden de afgelopen jaren in totaal meer dan 6,5 miljard dollar aan crypto hebben gestolen, en Elliptic stelt dat dit incident dat totaal bijna verdubbelt.