Binance getroffen door recordbreuk in beveiliging: 6,3 miljard dollar buitgemaakt van de exchange. Is dit de grootste hack in de geschiedenis van crypto?
Op 29 oktober 2026 werd Binance getroffen door een van de grootste beveiligingsincidenten ooit op de cryptomarkt. Aanvallers wisten voor ongeveer 6,3 miljard dollar aan activa weg te halen uit 17 hot wallets van het platform. De transacties vonden plaats op meerdere blockchainnetwerken en werden binnen een periode van minder dan vier uur uitgevoerd.
Binance heeft het incident bevestigd en aangekondigd alle verliezen te vergoeden met middelen uit het SAFU-fonds en eigen reserves. Volgens de beschikbare schattingen kon ongeveer 3 miljard dollar aan activa worden bevroren.
Uit de eerste onderzoeken blijkt dat de aanval mogelijk begon met de compromittering van de laptop van een DevOps-engineer. Binance heeft vooralsnog geen bewijs gevonden dat de privésleutels van de getroffen wallets zijn buitgemaakt.
Binance: wat gebeurde er precies op 29 oktober?
De eerste verdachte transacties werden op 29 oktober 2026 vastgesteld. Volgens gegevens van Bitquery begonnen de tegoeden rond 20:04 UTC uit de hot wallets van Binance te verdwijnen. De activiteit hield aan tot 23:56 UTC.
De gebeurtenissen verliepen als volgt:
20:04 UTC: de eerste uitstroom van tegoeden uit de getroffen wallets werd geregistreerd.
20:20:06 UTC: ongeveer 18.270 BTC werden overgemaakt naar adressen die door de aanvaller werden beheerd.
20:20:59 UTC: er werden 50 EIP-7702-autorisaties geregistreerd die verband hielden met Binance 14.
20:24 UTC: een reeks overdrachten van ETH en ERC-20-tokens begon.
20:26 UTC: er vonden aanvullende ETH-overdrachten plaats.
20:40-20:41 UTC: er werden nog meer transacties met ETH en USDC uitgevoerd.
23:56 UTC: de periode waarin Bitquery uitstroom van tegoeden vaststelde, eindigde.
30 oktober, 02:23 UTC: Binance publiceerde een verklaring waarin het incident werd bevestigd en de waarde van de getroffen activa op ongeveer 6,3 miljard dollar werd geschat.
De tegoeden werden verplaatst vanuit 17 hot wallets op verschillende blockchainnetwerken. Bitquery identificeerde activiteit op negen netwerken, terwijl TRM Labs er tien telde. Het ging onder meer om Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base en Polygon.
Het is belangrijk om twee onderdelen van de gebeurtenissen van elkaar te onderscheiden. Enerzijds vond de overdracht van ongeveer 18.270 BTC plaats. Anderzijds werden 50 EIP-7702-autorisaties geregistreerd die verband hielden met Binance 14. Beide gebeurtenissen maken deel uit van het incident, maar vertegenwoordigen verschillende technische handelingen.
Welke cryptovaluta werden van Binance gestolen?
Een aanzienlijk deel van de transacties vond plaats op Ethereum, waar de aanvallers verschillende cryptovaluta en tokens overmaakten. De geïdentificeerde gegevens omvatten:
USDT: 1.615.409.499 tokens, met een geschatte waarde van 1,615 miljard dollar.
USDC: 780.177.060 tokens, ter waarde van ongeveer 780 miljoen dollar.
ETH: ongeveer 195.470 tokens, ter waarde van circa 442 miljoen dollar.
wBETH: 29.934 tokens, met een geschatte waarde van 74,6 miljoen dollar.
RLUSD: 62.597.240 tokens, ter waarde van ongeveer 62,6 miljoen dollar.
XAUt: 11.372 tokens, met een geschatte waarde van 45,6 miljoen dollar.
UNI: 6.189.796 tokens, ter waarde van ongeveer 41,2 miljoen dollar.
ENA: 198.369.717 tokens, met een geschatte waarde van 37 miljoen dollar.
PEPE: ongeveer 7,18 biljoen tokens, ter waarde van circa 35,3 miljoen dollar.
USD1: 27.760.802 tokens, met een geschatte waarde van 27,7 miljoen dollar.
LINK: 2.263.172 tokens, ter waarde van ongeveer 25 miljoen dollar.
AAVE: 127.853 tokens, met een geschatte waarde van 16,2 miljoen dollar.
Deze lijst bevat uitsluitend een deel van de transacties die op Ethereum zijn geïdentificeerd. Het is geen volledig overzicht van alle buitgemaakte activa op de betrokken netwerken. De genoemde bedragen mogen daarom niet opnieuw worden opgeteld bij de totale schatting van 6,3 miljard dollar, aangezien ze daar al deel van uitmaken.
18.270 BTC, oftewel ongeveer 1,4 miljard dollar. De aanvaller verdeelde de bitcoins over 19 wallets
Een van de belangrijkste transacties tijdens het incident was de overdracht van ongeveer 18.270,2 BTC. Volgens de beschikbare gegevens werden de bitcoins via 11 transacties verstuurd en vervolgens verdeeld over 19 wallets.
De verdeling was opvallend:
17 wallets ontvingen elk precies 1.000 BTC.
Eén wallet ontving ongeveer 832,5 BTC.
Een andere wallet ontving ongeveer 437,7 BTC.
Op 30 oktober om 04:23 UTC hadden geen van deze wallets de ontvangen bitcoins doorgestuurd.
De situatie rond BTC is bijzonder relevant, omdat Bitcoin geen centrale partij heeft die tegoeden rechtstreeks kan bevriezen. In tegenstelling tot bepaalde stablecoins, die op het niveau van de uitgever over blokkeermechanismen kunnen beschikken, kunnen Bitcoin-transacties niet op die manier worden teruggedraaid.
Pogingen om deze activa terug te halen zullen daarom vooral afhangen van het identificeren van de tegoeden en de samenwerking met exchanges, OTC-tussenpersonen en andere marktpartijen.
De aanvaller wisselde een deel van de stablecoins om voor ETH en TRX. Welke tegoeden konden worden veiliggesteld?
Een deel van de buitgemaakte activa werd snel omgewisseld voor andere cryptovaluta. Volgens gegevens van Bitquery wisselde de aanvaller stablecoins ter waarde van ongeveer 729 miljoen dollar om voor ETH en TRX, voordat sommige betrokken adressen werden bevroren.
Als gevolg van deze transacties wist de aanvaller ongeveer 490.361 ETH te verzamelen, tegenover de aanvankelijk geïdentificeerde hoeveelheid van circa 200.630 ETH. Dat betekent dat de hoeveelheid ETH onder controle van de aanvaller ongeveer 2,4 keer zo groot werd.
Op 30 oktober om 03:54 UTC schatte Bitquery dat er nog ongeveer 3,1 miljard dollar op de adressen van de aanvaller stond. Op dat moment waren er geen overdrachten van deze tegoeden naar exchanges of mixingdiensten geregistreerd.
TRM Labs publiceerde eerder een schatting van meer dan 420.000 ETH en 18.270 BTC, met een gezamenlijke waarde van ongeveer 2,4 miljard dollar.
De verschillen tussen deze cijfers kunnen worden verklaard door het tijdstip waarop de metingen zijn uitgevoerd, de daaropvolgende verplaatsingen van activa en de verschillende methoden die zijn gebruikt om de saldi te berekenen. Bij een incident van deze omvang kunnen schattingen snel veranderen wanneer nieuwe adressen worden geïdentificeerd en transacties tussen netwerken worden gevolgd.
Hoe kreeg de aanvaller controle over de wallets van Binance?
Uit de eerste onderzoeken blijkt dat de aanval mogelijk begon met de compromittering van de laptop van een DevOps-engineer. Volgens de eerste hypotheses wist de aanvaller toegang te krijgen tot een servicecontainer binnen de interne infrastructuur van Binance en die toegang te gebruiken om ongeautoriseerde opnametransacties voor te bereiden.
Binance verklaarde dat het tot dusver geen bewijs had gevonden dat de privésleutels van de getroffen wallets waren gelekt.
Dat is belangrijk, omdat het incident niet lijkt te zijn ontstaan door het kraken van de cryptografie van Bitcoin of Ethereum. Het mogelijke zwakke punt lag in de infrastructuur en de interne processen die worden gebruikt om wallettransacties te beheren.
Een van de belangrijkste technische onderdelen van de aanval was EIP-7702, een voorstel voor Ethereum waarmee een extern account bepaalde handelingen kan delegeren aan code van een smart contract, terwijl het zijn eigen adres en activa behoudt.
In dit geval werden 50 autorisaties geïdentificeerd die verband hielden met Binance 14. Deze autorisaties waren ondertekend en voorbereid voor verschillende opeenvolgende nonce-waarden. Daardoor zou het mogelijk zijn geweest om geautomatiseerde handelingen uit te voeren met code die door de aanvaller werd beheerd.
EIP-7702 is op zichzelf geen kwetsbaarheid. Het is een functionaliteit van Ethereum. Het probleem zou hebben gelegen in de manier waarop de autorisaties binnen de omgeving van Binance werden verkregen en gebruikt.
Het platform heeft aangekondigd een technisch rapport te publiceren waarin uitgebreider wordt uitgelegd hoe het incident heeft kunnen plaatsvinden en welke maatregelen zijn genomen om herhaling te voorkomen.
Wie zit er achter de aanval op Binance? De aanwijzingen leiden naar Noord-Korea
De eerste toeschrijvingen door blockchain-analysebedrijven wijzen op een groep die banden heeft met Noord-Korea.
TRM Labs schreef de aanval met een hoge mate van vertrouwen toe aan de groep TraderTraitor. Ook Chainalysis wees op overeenkomsten met eerdere operaties die in verband zijn gebracht met Noord-Koreaanse actoren.
Het incident vertoont enkele kenmerken die doen denken aan de aanval op Bybit in februari 2025, die eveneens werd toegeschreven aan actoren met banden met Noord-Korea.
TraderTraitor is een groep die in verband wordt gebracht met diefstal van cryptovaluta en aanvallen op bedrijven in de sector. Het is echter belangrijk op te merken dat de toeschrijving door analysebedrijven niet hetzelfde is als een officiële bevestiging door opsporingsinstanties.
Voorlopig moeten deze conclusies worden beschouwd als een toeschrijving op basis van technische indicatoren en activiteitspatronen, niet als een definitieve juridische identificatie van de daders.
Hoeveel geld kon worden bevroren? Binance spreekt over ongeveer 3 miljard dollar
Een van de belangrijkste aspecten van het incident is de hoeveelheid tegoeden die kon worden geblokkeerd voordat de aanvallers deze verder konden verplaatsen.
In zijn meest recente verklaring gaf Binance aan dat activa ter waarde van ongeveer 3 miljard dollar waren bevroren.
Andere schattingen van blockchain-analysebedrijven lagen iets lager:
Bitquery: ongeveer 2,7 miljard dollar.
TRM Labs: ongeveer 2,7 miljard dollar.
Binance: ongeveer 3 miljard dollar.
De verschillen kunnen worden veroorzaakt door het tijdstip waarop de bedragen zijn berekend, de betrokken netwerken en de criteria die zijn gebruikt om te bepalen welke activa daadwerkelijk konden worden bevroren.
Bij de hersteloperatie waren verschillende partijen uit het ecosysteem betrokken. Daaronder bevinden zich Tether, Circle, Ripple, World Liberty Financial en andere partners, evenals de Arbitrum Security Council.
Het is belangrijk om te onthouden dat het bevriezen van activa niet automatisch betekent dat deze direct aan Binance zijn teruggegeven. Door de blokkering kunnen bepaalde tegoeden niet verder worden verplaatst, maar voor de definitieve terugvordering kunnen aanvullende procedures en samenwerking tussen de betrokken partijen nodig zijn.
Hoe reageerde Binance? SAFU, vergoeding van verliezen en opschorting van opnames
Binance bevestigde het incident officieel in een verklaring die op 30 oktober om 02:23 UTC werd gepubliceerd.
Het bedrijf beloofde alle verliezen te vergoeden met middelen uit het SAFU-fonds en eigen reserves. SAFU staat voor Secure Asset Fund for Users, een fonds dat is opgezet om gebruikers te beschermen in uitzonderlijke situaties.
De door Binance aangekondigde maatregelen omvatten:
Volledige vergoeding van de verliezen van gebruikers.
Tijdelijke opschorting van stortingen en opnames terwijl de getroffen systemen werden gecontroleerd.
Intrekking van autorisaties die verband hielden met de gecompromitteerde adressen.
Samenwerking met autoriteiten en bedrijven die gespecialiseerd zijn in blockchainanalyse.
Publicatie van een update van het Proof of Reserves-systeem.
Later verduidelijkte Binance dat stortingen alweer beschikbaar waren, terwijl opnames opgeschort bleven tijdens de wederopbouw en veiligheidscontroles. Het bedrijf verwachtte de opnames binnen ongeveer 48 uur te kunnen hervatten.
De belofte om de verliezen te vergoeden is belangrijk voor de klanten van het platform. De definitieve beoordeling van de reactie van Binance zal echter ook afhangen van de terugvordering van activa, het herstel van de systemen en de publicatie van volledige technische informatie over de aanval.
Proof of Reserves van Binance onder de loep. Dekt de reserve nog steeds 100% van de klanttegoeden?
Het incident heeft ook het debat over het Proof of Reserves-systeem van Binance en het vermogen van het platform om volledige dekking van klanttegoeden te handhaven opnieuw aangewakkerd.
CoinDesk merkte op dat de getroffen wallets deel uitmaakten van de momentopname die werd gebruikt voor het reserverapport van oktober. Vóór het incident rapporteerde Binance een dekking van 100% van zijn verplichtingen in ETH.
De uitstroom van ongeveer 204.500 ETH zou dat percentage kunnen verlagen tot circa 94%, als de activa niet op een andere manier worden aangevuld.
Ook bij de reserves in USDC en andere digitale activa zouden vergelijkbare effecten kunnen optreden.
Deze situatie bewijst op zichzelf echter niet dat Binance insolvent is of niet aan zijn verplichtingen tegenover klanten kan voldoen. Het bedrijf heeft verklaard de verliezen te vergoeden met eigen middelen en het SAFU-fonds.
De publicatie van een nieuw Proof of Reserves-rapport zal bijzonder belangrijk zijn om vast te stellen hoe de reservestructuur na het incident is veranderd en of de dekking van de klanttegoeden is hersteld.
Hoe reageerde de cryptomarkt? Bitcoin zakte onder de 77.000 dollar
Het incident vond plaats op een moment waarop de markt bijzonder gevoelig was en droeg bij aan een verslechtering van het sentiment onder beleggers.
Bitcoin daalde tot ongeveer 76.400-76.500 dollar en bereikte daarmee het laagste niveau in zes weken. Ethereum noteerde rond 2.170-2.200 dollar, terwijl BNB in een periode van 24 uur meer dan 8% verloor.
De volatiliteit leidde ook tot aanzienlijke liquidaties op de derivatenmarkten. Volgens gegevens die door CoinDesk werden aangehaald, bedroegen de liquidaties van futures ongeveer 1,57 miljard dollar.
Vooral longposities werden getroffen. De liquidaties van BTC-posities vertegenwoordigden ongeveer 522 miljoen dollar, terwijl die van ETH-posities circa 361 miljoen dollar bedroegen.
Het zou echter onjuist zijn om de volledige koersdaling uitsluitend toe te schrijven aan het incident bij Binance. Ook Amerikaanse technologieaandelen stonden onder druk, wat bijdroeg aan de algemene verslechtering van het risicosentiment.
De aanval voegde een nieuwe bron van onzekerheid toe aan de markt en versterkte de neerwaartse druk op de prijzen, maar was niet noodzakelijk de enige oorzaak van de dalingen.
Is dit de grootste hack in de geschiedenis van crypto? Binance overtreft Bybit en Ronin
Als we uitgaan van de opgegeven financiële omvang van het incident, zou de aanval op Binance de grootste diefstal van cryptovaluta ooit kunnen worden.
Om de omvang ervan in perspectief te plaatsen, is het nuttig om enkele van de grootste beveiligingsincidenten uit de geschiedenis van de sector te bekijken.
Een van de belangrijkste gevallen is dat van LuBian, waar in december 2020 ongeveer 127.426 BTC werden gestolen. Het incident werd in augustus 2025 door Arkham bekendgemaakt. Op het moment van identificatie hadden de bitcoins een waarde van ongeveer 3,5 miljard dollar. Het ging echter niet om een klassieke hack van een exchange en LuBian heeft niet alle details van het incident publiekelijk bevestigd.
In februari 2025 werd Bybit getroffen door een aanval waarbij activa ter waarde van ongeveer 1,5 miljard dollar werden buitgemaakt.
Andere belangrijke historische incidenten zijn:
Ronin Network (2022): een van de grootste aanvallen op een blockchainnetwerk, waarbij honderden miljoenen dollars verloren gingen.
Poly Network (2021): een aanval waarbij activa ter waarde van ongeveer 600 miljoen dollar werden getroffen, hoewel een groot deel van de tegoeden uiteindelijk werd teruggegeven.
Binance Bridge (2022): een kwetsbaarheid waardoor activa ter waarde van ongeveer 570 miljoen dollar konden worden aangemaakt, hoewel de daadwerkelijke verliezen lager uitvielen.
Coincheck (2018): de diefstal van ongeveer 530 miljoen dollar aan NEM.
Mt. Gox (2014): een van de bekendste zaken uit de geschiedenis van Bitcoin, waarbij honderdduizenden BTC verdwenen.
De cijfers zijn niet volledig vergelijkbaar. Sommige incidenten worden gewaardeerd op basis van de prijs van de activa op het moment van de aanval, andere op het moment waarop ze werden ontdekt en weer andere op basis van de uiteindelijke financiële verliezen.
In het geval van Binance vertegenwoordigt het bedrag van 6,3 miljard dollar bovendien de geschatte financiële omvang van het incident. Dat betekent niet dat dit volledige bedrag noodzakelijkerwijs permanent verloren zal gaan. Een aanzienlijk deel van de activa zou zijn bevroren en het bedrijf heeft beloofd de resterende verliezen te vergoeden.
Zijn Europese platforms met een MiCA-licentie veiliger?
Het incident bij Binance roept opnieuw een belangrijke vraag op voor Europese gebruikers: kan een platform dat onder het MiCA-regelgevingskader opereert een hoger veiligheidsniveau bieden?
De MiCA-verordening stelt eisen aan aanbieders van cryptoactivadiensten die actief zijn in de Europese Unie. Deze omvatten onder meer verplichtingen op het gebied van bedrijfsorganisatie, toezicht, risicobeheer en consumentenbescherming.
Deze vereisten kunnen de transparantie verbeteren en duidelijkere wettelijke normen vastleggen voor platforms die diensten aanbieden in Europa.
Een MiCA-vergunning sluit het risico op een cyberaanval echter niet uit. De regelgeving garandeert evenmin dat de activa van klanten tegen elk beveiligingsincident zijn beschermd. Ook is een MiCA-vergunning niet hetzelfde als een bankdepositogarantie.
Een MiCA-licentie moet daarom worden beschouwd als een belangrijk onderdeel bij de beoordeling van een exchange, maar niet als het enige criterium. Het is ook noodzakelijk om de beveiligingsinfrastructuur, de bewaaroplossingen, de transparantie van de reserves en de manier waarop het platform op uitzonderlijke situaties reageert te analyseren.
Wat betekent het incident bij Binance voor de veiligheid van de cryptomarkt?
De aanval op Binance laat opnieuw zien dat de veiligheid van een cryptoplatform van veel meer afhangt dan alleen de blockchaintechnologie die wordt gebruikt om transacties vast te leggen.
Bitcoin en Ethereum kunnen precies functioneren zoals ontworpen en toch kunnen tegoeden in gevaar komen als een aanvaller toegang krijgt tot de interne infrastructuur van een exchange of tot de mechanismen waarmee transacties worden geautoriseerd.
Het incident maakt ook enkele beperkingen van Proof of Reserves-systemen duidelijk. Het publiceren van informatie over reserves kan helpen om de financiële positie van een platform te controleren, maar garandeert niet dat de interne systemen veilig zijn of dat activa niet kunnen worden gestolen.
Een ander belangrijk aspect is het verschil tussen activa die door hun uitgevers kunnen worden bevroren en activa waarvoor geen centraal blokkeringsmechanisme bestaat. De samenwerking van Tether, Circle en andere partijen maakte het mogelijk een deel van de tegoeden te blokkeren. De bitcoins die naar adressen van de aanvaller zijn overgemaakt, vormen echter een heel andere uitdaging.
De definitieve beoordeling van het incident zal afhangen van verschillende factoren: hoeveel activa worden teruggewonnen, of Binance de volledige dekking van zijn reserves herstelt, welke technische maatregelen het bedrijf neemt en welke informatie het volledige onderzoeksrapport over de oorzaak van de aanval onthult.