Grootste hack ooit, miljarden weg bij Binance

Uit de wallets van 's werelds grootste cryptobeurs Binance is vanavond voor miljarden aan munten weggestroomd, in een reeks overboekingen die om 20:24 UTC begon. Tellingen op de blockchain lopen uiteen van $3,3 miljard tot $5,8 miljard. Stablecoinuitgevers Tether en Circle hebben ongeveer $1,8 miljard daarvan bevroren. Binance spreekt van een mogelijk beveiligingsprobleem dat wordt onderzocht.

Valt het hoogste getal straks goed uit, dan is dit de grootste cryptodiefstal die ooit is vastgelegd. Het vorige record stond op naam van beurs Bybit, die in februari 2025 voor ongeveer $1,5 miljard verloor. Daar gaat deze zaak ruim drie keer overheen.

Hoe het ging

De aanval draaide om een mogelijkheid die Ethereum vorig jaar heeft gekregen: een gewone wallet kan zijn gedrag tijdelijk uitbesteden aan de code van een slim contract. Zo'n delegatie blijft staan nadat ze één keer is gezet.

Om ongeveer 20:21 UTC legde een adres zo'n delegatie op een hotwallet van Binance. Het geld ging drie minuten en 24 seconden later de deur uit. "7702 laat een gewone wallet code van een ander uitvoeren," schreef Odysseas Lamtzidi, oprichter van beveiligingsbedrijf Phylax Systems, op X. "De delegatie blijft bestaan; die code kan latere overboekingen goedkeuren zonder dat de wallet nog een keer tekent."

De redactie heeft die kerntransactie zelf nagekeken op de Ethereum-blockchain. Om 20:24:23 UTC riep een extern adres de Binance-wallet aan, waarna die wallet zijn tokens een voor een wegboekte: per munt eerst het saldo opvragen, dan het volledige bedrag overmaken. In die ene transactie gingen 167.464 ether en 63 soorten tokens weg, waaronder 1,615 miljard USDT. De gasrekening bedroeg 0,41 ether.

Het adres dat de delegatie zette, was gevuld via Tornado Cash, een mixdienst die het spoor van betalingen uitwist. Hoe de aanvaller aan de benodigde handtekening van Binance kwam, is onbekend.

Wat er nog bevroren kon worden

De stablecoins waren het snelst. Tether-topman Paolo Ardoino meldde ruim 1,567 miljard USDT te hebben bevroren. Circle-topman Jeremy Allaire schreef op X dat zijn bedrijf "in samenwerking met de politie meer dan 800 miljoen USDC" heeft vastgezet. Samen komt dat volgens kettinggegevens neer op zo'n $1,8 miljard.

Daarmee houdt het op. Wat in ether en bitcoin zat, kon niemand tegenhouden: die munten hebben geen uitgever met een knop. Volgens de telling van Decrypt ging er $3,51 miljard weg op Ethereum, $1,44 miljard in 18.270 bitcoin en $630 miljoen op Tron. Leenplatform Aave zette zijn markten op slot zodat er met de buit niets geleend kon worden.

Wat Binance zegt, en wat de oprichter zegt

Yi He, medeoprichter en hoogste klantverantwoordelijke, hield het strikt. "Onze teams zijn op de hoogte van berichten over een mogelijk beveiligingsprobleem en doen actief onderzoek," schreef ze. "In dit stadium hebben we geen gevolgen voor klantgeld vastgesteld." Binance heeft geen inbraak bevestigd.

Changpeng Zhao was ruimhartiger, en hij kon het zich permitteren. "Ik run Binance.com niet meer, maar als aandeelhouder verwacht ik dat alle klanttegoeden volledig worden gedekt," schreef de oprichter op X. Dat is een verwachting van een aandeelhouder, geen toezegging van de beurs.

De markt wachtte niet af

Bitcoin zakte tot onder de $79.000, ruim 2,5 procent lager op een dag. BNB, de eigen munt van Binance, verloor zo'n zeven procent en stond rond $699. Monero steeg juist met zes procent naar $637 — een privacymunt die het goed doet op avonden waarop grote bedragen onvindbaar moeten worden.

Hoeveel er precies weg is, weet vanavond niemand. De tellingen verschillen omdat ze verschillende dingen tellen: één wallet of meerdere, drie ketens of zes, en de koers van het moment. Blockaid komt op $3,3 miljard over Ethereum, Arbitrum en Avalanche; analist Spreek op $3,55 miljard; Conor Grogan van Coinbase op maximaal $5,8 miljard.

Wat wel vaststaat is de volgorde. Een contract, klaargezet terwijl Europa aan het avondeten zat. Een handtekening waarvan niemand weet hoe hij is verkregen. En daarna drie minuten en 24 seconden waarin de grootste beurs ter wereld haar eigen kluis zat leeg te boeken, saldo voor saldo, aan een adres dat die ochtend nog niet bestond.

Voor wie het op de blockchain wil naslaan: de transactie is 0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3, het aanroepende adres 0x7C8601d4645b93cea45F71e118A729332e6B5CA0 en de getroffen wallet 0x28C6c06298d514Db089934071355E5743bf21d60.