Binance reserveert ruim 6,34 miljard dollar aan bedrijfsmiddelen voor verliezen door hack

Binance meldde op 30 oktober 2026 in een bericht op zijn officiële X-account dat het al ruim 6,34 miljard dollar aan bedrijfsmiddelen heeft gereserveerd om de verliezen door het beveiligingsincident van 29 oktober 2026 te dekken. Daarvan wordt 5 miljard dollar al aangehouden in precies de tokenactiva die zijn getroffen.

De beurs zei dat het de aankoop van het resterende bedrag afrondt door tokenactiva in te kopen via marktkanalen en OTC-kanalen. Zo wil het de vorm van de resterende tokenactiva evenaren en eventuele tekorten aan activa aanvullen. Deze stap kan langer duren omdat sommige tokens weinig liquide zijn en de afwikkeling via OTC-kanalen ook tijd kost. De genoemde bedragen omvatten geen bevroren of beschermde activa; die worden nog teruggewonnen en gecontroleerd. Met dank aan zijn partners in de sector meldde Binance dat er momenteel 3 miljard dollar is bevroren.

Het bedrijf zei dat het is begonnen met het terugwinnen van de getroffen activa voor gebruikers en blijft samenwerken met rechtshandhavingsinstanties, uitgevers, bedrijven die blockchaintransacties analyseren en partners in de sector om aanvullende tegoeden op te sporen, te bevriezen en terug te krijgen. Binance zei dat het bedrijfsmiddelen blijft inzetten om bevestigde tekorten aan te vullen en dat uiteindelijk alle gebruikerstegoeden openbaar worden gecontroleerd via zijn Proof of Reserves.

Toedracht van het incident en opschorting van opnames

In een formele update over het beveiligingsincident die op 30 oktober werd gepubliceerd, zei Binance dat uit het eerste onderzoek blijkt dat er mogelijk sprake was van een gecompromitteerde laptop van een DevOps-engineer. Daardoor kon een aanvaller toegang krijgen tot een servicecontainer en ongeautoriseerde opnametransacties indienen. Het bedrijf zei geen aanwijzingen te hebben gevonden dat privésleutels van wallets waren gelekt. De geschatte totale schade bedroeg volgens Binance ongeveer 6,3 miljard dollar. Het meldde dat tot dan toe ongeveer 3 miljard dollar on-chain was bevroren met hulp van blockchainpartners, en dat het alle verliezen zou dekken uit het SAFU-fonds en de bedrijfsmiddelen. Het benadrukte dat de gebruikerstegoeden veilig zijn.

Als onmiddellijke voorzorgsmaatregelen schortte Binance tijdelijk de opnames op terwijl de beveiligingscontroles werden afgerond, trok het de autorisatie van het getroffen adres in en schakelde het rechtshandhavingsinstanties en partners op het gebied van blockchainanalyse in om tegoeden op te sporen en terug te krijgen. De aankondiging werd later op 30 oktober bijgewerkt met de verduidelijking dat stortingen niet zijn getroffen en normaal blijven verlopen.

Co-CEO Richard Teng schreef in een bericht dat de aanvaller niet simpelweg gebruikmaakte van de bevoegdheden van één engineer en dat het niet om één handeling met één klik ging. Hij voegde eraan toe dat het onderzoek geen verantwoordelijkheid aan een individu had toegeschreven. Teng zei dat de opnames waren opgeschort terwijl Binance de opnamedienst en de bijbehorende adressen grondig beveiligde. ‘Kortom: je geld is veilig en we dekken elk verlies’, schreef hij.

In een latere update over het onderzoek zei Binance dat het vervolgonderzoek nog andere toegangspunten had blootgelegd, naast de mogelijk gecompromitteerde laptop, en dat het om een complexe aanval ging. Het bedrijf meldde dat de uitstroom stopte toen de opnames werden gepauzeerd, dat tot dan toe ongeveer 3 miljard dollar was bevroren en dat het nog steeds op schema lag om de opnamedienst volgens de verwachte planning na 45 uur weer te hervatten.

Bevindingen on-chain en bevriezing van activa

TRM Labs meldde in een analyse dat een aanvaller ongeveer 6,36 miljard dollar uit Binance-wallets op tien blockchains had verplaatst. Het grootste deel daarvan werd in ongeveer 20 minuten verplaatst, vanaf 20:05 UTC op 29 oktober. Rond 23:05 UTC volgde een tweede golf, die Binance-wallets op Avalanche en Polygon bereikte (POL ). Volgens TRM maakt dat het incident de grootste geregistreerde diefstal van cryptovaluta, ongeveer vier keer zo groot als de hack bij Bybit van 1,5 miljard dollar in februari 2025. Tegen de huidige prijzen zijn de gestolen activa ongeveer 6,23 miljard dollar waard.

TRM schreef de aanval met grote zekerheid toe aan TraderTraitor, dat het omschreef als de elitehackereenheid van Noord-Korea. Het merkte ook op dat de FBI dezelfde groep verantwoordelijk had gehouden voor de hack bij Bybit. Chainalysis meldde in zijn eigen bevindingen dat zijn onderzoekers de exploit van ongeveer 6,4 miljard dollar toeschrijven aan TraderTraitor. Het sterkste bewijs kwam volgens Chainalysis naar voren toen onderzoekers in realtime zagen dat uit Binance gestolen tegoeden werden vermengd met tegoeden die waren buitgemaakt bij de exploit van Bitget in de voorgaande maand, die aan Noord-Koreaanse actoren was toegeschreven. Chainalysis zei dat tegoeden op 29 oktober rond 16.20 uur Eastern Time uit Binance-hotwallets op meerdere blockchains begonnen te vertrekken.

Op Ethereum (ETH ), gebruikte de aanvaller volgens het rapport van TRM een EIP-7702-delegatie: een mechanisme waarmee een gewone wallet de controle over zijn gedrag kan overdragen aan een smart contract door een autorisatie te ondertekenen. TRM zei dat de aanvaller vooraf 50 autorisaties had ondertekend om een Binance-hotwallet om te vormen tot een wallet die tegoeden doorsluisde en onder zijn controle stond. Binance-wallets op de andere negen ketens verstuurden tegoeden via gewone, ondertekende overboekingen. Volgens TRM wijst dit patroon op een compromis van de infrastructuur waarmee Binance-hotwallets transacties ondertekenen.

TRM waardeerde elke overboeking tegen de prijs van het activum op het moment dat het werd buitgemaakt. Dat leverde het volgende overzicht per blockchain op:

TRM meldde dat de uitstroom op Ethereum bestaat uit 200.630 ETH en 185 andere tokens, dat de uitstroom van Bitcoin in totaal 18.270 BTC bedraagt, dat er op Tron 612,7 miljoen USDT en 46,4 miljoen TRX zijn weggestroomd, dat de XRP Ledger 233,46 miljoen XRP verloor, dat de uitstroom op Solana in totaal 970.500 SOL bedraagt en dat het gecombineerde bedrag voor Arbitrum, Optimism en Base ook de 74,6 miljoen ARB omvat die op Arbitrum zijn buitgemaakt.

TRM meldde dat Tether ongeveer 1,77 miljard USDT heeft bevroren, Circle ongeveer 825 miljoen USDC, Ripple 40,5 miljoen RLUSD en World Liberty Financial 27,8 miljoen USD1, terwijl die van Arbitrum (ARB ) Volgens TRM gebruikte de Security Council haar noodbevoegdheden om twee overboekingen uit de wallet van de aanvaller op Arbitrum af te dwingen. Daarbij werden 8.426 ETH en 74,6 miljoen ARB, samen ongeveer $30 miljoen waard, buiten het bereik van de aanvaller gebracht. Daarmee kwam het totaal dat on-chain was bevroren op ongeveer $2,7 miljard per 00.30 UTC op 30 oktober. TRM merkte daarbij op dat Binance had gemeld dat het geverifieerde bevroren totaal op 29 oktober om 23.35 UTC $2,54 miljard had bereikt. Chainalysis meldde dat tot dusver ongeveer $2,8 miljard is bevroren en dat de eerste bevriezingen op 29 oktober om 17.14 uur Eastern Time begonnen.

TRM meldde dat de aanvaller nog steeds meer dan 420.000 ETH en 18.270 BTC in handen heeft, samen ongeveer $2,4 miljard aan tegoeden die buiten het bereik van elke uitgever liggen. TRM verwacht dat in de volgende fase van het witwassen cross-chainbruggen, wisseldiensten en over-the-countermakelaars worden ingezet. Chainalysis meldde dat de aanvaller $500 miljoen aan stablecoins naar een speciale wallet heeft overgemaakt en in bijna 20 minuten voor $325 miljoen aan stablecoins heeft omgewisseld voor $285 miljoen aan ETH, terwijl die zich haastte om tegoeden die konden worden bevroren om te zetten. Ook zei Chainalysis witwaspatronen waar het nog niet eerder mee te maken had gezien: duizenden transacties in korte tijd, wat op automatisering wijst, en adressen die exact 1 TRX ontvangen voordat ze extra tegoeden ontvangen en doorsturen.

Binance meldde dat het een uitgebreid technisch onderzoeksverslag zal delen zodra het onderzoek is afgerond en de feiten volledig zijn geverifieerd. Ook zal het een bijgewerkt Proof of Reserves publiceren zodra de herstelmaatregelen zijn afgerond.