Binance bevestigt hack van $6,3 miljard

Cryptobeurs Binance heeft vannacht een beveiligingsincident bevestigd en schat de schade op ongeveer $6,3 miljard. Daarmee is de leegloop van donderdagavond de grootste cryptodiefstal die ooit is vastgelegd. Klanten draaien er niet voor op, zegt de beurs: Binance dekt de verliezen uit zijn noodfonds SAFU en uit eigen middelen.

Dat noodfonds is ruwweg $1 miljard groot, een zesde van de schade. De rest moet uit de kas van Binance komen. De beurs waarschuwt dat het bedrag nog kan oplopen. Analysebedrijven komen in de buurt: TRM Labs telt $6,4 miljard tegen de koers op het moment van overboeken, verspreid over tien blockchains; Chainalysis komt op $5,9 miljard.

Een laptop als ingang

Volgens het eerste onderzoek van Binance begon het bij de laptop van een DevOps-technicus, iemand die de servers en systemen draaiende houdt. "Daardoor kon een aanvaller toegang krijgen tot een servicecontainer en ongeautoriseerde opnametransacties indienen," schreef de beurs op X. Sleutels van wallets zijn volgens Binance niet uitgelekt. Een volledig verslag volgt nog.

De redactie heeft de kerntransactie van donderdagavond nagekeken: de functie die de Binance-wallet leeghaalde, heet sweep. Vegen. Volgens TRM Labs begon de voorbereiding minstens 36 uur eerder, met kleine opnames uit mixdienst Tornado Cash.

Analisten wijzen naar Noord-Korea

Binance zegt met opsporingsdiensten te werken aan "de identiteit van deze criminelen". Twee analysebedrijven wijzen alvast een groep aan. TRM Labs schrijft de aanval "met grote zekerheid" toe aan TraderTraitor, een hackersgroep die de FBI aan Noord-Korea koppelt en die ook achter de diefstal van $1,5 miljard bij Bybit in februari 2025 zat. Jonathan Levin, topman van Chainalysis, noemt dezelfde groep "waarschijnlijk".

Er gaan meer sporen rond. Blockchainonderzoeker ZachXBT meldt dat geld uit deze hack via de wisseldienst THORChain op hetzelfde adres uitkwam als buit uit de diefstal bij Bitget van september. Analysebedrijf MistTrack zag munten naar een adres gaan dat eerder door de aanvaller van beurs Phemex werd gebruikt. Beide koppelingen zijn door geen enkele opsporingsdienst bevestigd.

Waar het geld nu staat

Bij elkaar is zo'n $2,7 tot $3 miljard bevroren, vooral door uitgevers van stablecoins. Naast Tether en Circle deden ook Ripple en World Liberty Financial mee, het cryptobedrijf van de familie Trump. Op het ontvangstadres van donderdag stond vanochtend om 08:57 nog ruim $2 miljard aan stablecoins van Tether, Circle en World Liberty Financial, allemaal bevroren.

De ether is wel verder. Twee adressen die blokverkenners aan de aanvaller toeschrijven, hielden vanochtend samen bijna 276.000 ether vast, ruim $600 miljoen. Analysebedrijf Arkham zag om 05:30 UTC $38,8 miljoen aan ether naar een nieuwe wallet gaan, "waarschijnlijk als voorbereiding" op een tocht door Tornado Cash. De bitcoinbuit van 18.270 munten is volgens TRM Labs opgeknipt in stukken van 1.000 en 100.

Opnemen bij Binance ligt nog stil. Medeoprichter Yi He verwacht de opnames binnen 48 uur te hervatten; storten werkt gewoon. Bitcoin zakte vannacht naar het laagste punt in zes weken, BNB, de eigen munt van Binance, verloor tot 8 procent.

Sinds vanochtend krijgt het adres met de bevroren buit zelf transacties van nul ether. Ze komen van drie adressen die allemaal beginnen met 0x03b en eindigen op 20Ea: het patroon van adresvergiftiging, een truc waarmee oplichters hopen dat iemand later per ongeluk geld naar een nagemaakt adres stuurt. Wie $6 miljard verplaatst, trekt ook ander volk aan.

Voor wie het op de blockchain wil naslaan: het ontvangstadres is 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c; de twee adressen met de ether zijn 0x8532FA14ACAf483729C449b8458aedDb900543D4 en 0x897C80d1a9729E94460e2Bd93178bD5215158DF3.