Binance hack uitgelegd: hoe 6,3 miljard dollar verdween

Op donderdagavond 29 oktober verdween in ongeveer twintig minuten 6,36 miljard dollar uit wallets van Binance, omgerekend ruim 5,7 miljard euro. Dat is de grootste cryptoroof die ooit is vastgelegd, ruwweg vier keer de 1,5 miljard die in februari 2025 bij Bybit werd gestolen. Binance belooft alle verliezen te vergoeden, maar opnames liggen nog stil. Voor Nederlanders speelt nog iets anders mee: de beurs heeft hier sinds 2023 geen registratie en in de EU sinds juli geen vergunning.

Stand: vrijdagochtend 30 oktober 2026. Bedragen komen uit de analyse van TRM Labs en de updates van Binance, omgerekend met de ECB-koers van 29 oktober (1 euro = 1,113 dollar).

Wat er bij Binance gebeurde

Volgens de officiële update van Binance begon het waarschijnlijk met de gehackte laptop van een DevOps-engineer. Daarmee kwam de aanvaller in een servicecontainer, van waaruit hij opnames kon indienen die nooit goedgekeurd hadden mogen worden. Binance schat de schade op ongeveer 6,3 miljard dollar, heeft naar eigen zeggen geen bewijs dat private keys zijn uitgelekt en dekt de verliezen uit het SAFU-noodfonds en eigen middelen.

Blockchainonderzoeker TRM Labs telde 6,36 miljard dollar aan uitgaande transacties op tien blockchains. De eerste reactie van Binance was voorzichtig. Volgens The Crypto Times meldde het eerste bericht op X dat er “geen impact op gebruikersgeld bevestigd” was, en werd die zin binnen dertien minuten twee keer aangepast, uiteindelijk naar “gebruikersgeld is volledig veilig”. Oprichter Changpeng Zhao noemde het op X wel een hack.

De avond in Nederlandse tijd

Internationale media rekenen in UTC. Sinds de wintertijd van 25 oktober loopt Nederland daar één uur op voor.

Tether had de eerste 971 miljoen USDT dus al vastgezet voordat Binance zelf iets had gezegd. De voorbereiding begon volgens TRM minstens 36 uur eerder, met kleine opnames uit de mixer Tornado Cash en een generale repetitie van de aanvalscode op testwallets.

Hoe de aanvaller de hot wallet overnam

Een hot wallet staat continu online, zodat een beurs opnames snel kan uitbetalen. Op Ethereum gebruikte de aanvaller EIP-7702, een functie uit de Pectra-upgrade van mei 2025. Daarmee kan een gewone wallet met één handtekening zijn gedrag overdragen aan een smart contract.

De aanvaller had de Binance-wallet zo’n autorisatie laten tekenen, gericht op een contract dat alleen zijn opdrachten uitvoert. Zo’n autorisatie werkt alleen bij één bepaalde stand van de transactieteller van de wallet, de nonce, en bij een drukke beurswallet loopt die teller steeds door. Daarom stuurde de aanvaller er 50 tegelijk in, voor 50 opeenvolgende tellerstanden, en één daarvan paste. Ruim drie minuten later ging de inhoud van de wallet de deur uit. Omdat de overname bleef staan, werd geld dat daarna nog binnenkwam volgens TRM nog zes keer weggehaald.

Dat verklaart alleen Ethereum. Op de negen andere blockchains gingen in hetzelfde halfuur gewone, geldig ondertekende overboekingen naar de aanvaller, met verschillende soorten sleutels. TRM concludeert dat de aanvaller het ondertekeningssysteem van Binance voor al die blockchains kon laten tekenen. Hoe hij die toegang kreeg, staat nog niet vast. Volgens Bitcoin.com News onderzoeken analisten drie routes: een buitgemaakte private key, een medewerker die is misleid, of een inbraak elders in het ondertekeningssysteem. Binance belooft een technische analyse zodra het onderzoek klaar is.

Wie erachter zit

TRM schrijft de aanval “met hoge zekerheid” toe aan TraderTraitor, een Noord-Koreaanse hackerseenheid die de FBI ook verantwoordelijk hield voor Bybit. Chainalysis-CEO Jonathan Levin komt tot dezelfde inschatting. Onderzoeker ZachXBT zag vrijdagochtend dat buit uit de Binance-hack samenkwam met geld uit de hack van 388 miljoen dollar bij Bitget op 24 september. Binance noemt zelf geen dader en geen overheid heeft de toeschrijving bevestigd. Eerder dit jaar zagen we Noord-Korea ook al terug in de cijfers over cryptohacks in het eerste kwartaal.

Wat er met het gestolen geld gebeurt

Stablecoins hebben een uitgever die tokens kan blokkeren. Bitcoin en ether hebben dat niet. Volgens TRM is zo’n 2,7 miljard dollar bevroren, ongeveer 42 procent van de buit:

De aanvaller wist dat. Hij verkocht ongeveer 325 miljoen USDT aan market makers voor zo’n 122.300 ETH, tegen ongeveer 2.650 dollar per ether, terwijl ether rond de 2.300 tot 2.350 dollar stond. Volgens onze rekensom, met het midden van die marktprijs, kreeg hij zo’n 284 miljoen dollar aan ether terug en liet hij ongeveer 40 miljoen dollar liggen om buiten het bereik van Tether te komen. TRM schat dat hij nu nog ruim 420.000 ETH en 18.270 BTC heeft, samen ongeveer 2,4 miljard dollar.

Bevroren geld is ook nog niet terug. Daar is een juridisch proces voor nodig, zei Ari Redbord van TRM tegen CNBC, en volgens Eric Jardine van Chainalysis kan dat maanden tot jaren duren. Sean Farrell van Fundstrat ziet tegenover CNBC geen serieus risico dat Binance omvalt. Hij schat het niet-bevroren deel op 3,3 miljard dollar, waarvan het SAFU-fonds van ongeveer 1,2 miljard een derde kan dekken en de eigen kas van Binance de rest. Co-CEO Yi He wil opnames volgens U.Today binnen 48 uur hervatten.

Wat de hack betekent als je in Nederland crypto hebt

De Nederlandsche Bank gaf Binance in 2022 een boete van 3,325 miljoen euro omdat de beurs zonder registratie Nederlandse klanten bediende, en in juli 2023 stopte Binance hier. Sinds 1 juli 2026 heeft de beurs ook geen Europese MiCA-vergunning, zoals we schreven over het einde van de EU-dienstverlening. Europeanen gebruiken Binance toch nog, via een uitzondering voor klanten die zelf aankloppen, en ESMA onderzoekt of dat mag, lees je in ons stuk over die MiCA-uitzondering. Hoeveel Nederlanders nog saldo op Binance hebben, is niet bekend.

Heb je dat wel, dan ben je afhankelijk van de belofte van Binance, want er is geen Nederlandse of Europese toezichthouder die over de beurs gaat. Dit kun je nu doen:

1. Maak een screenshot van je saldo en transactiegeschiedenis, met datum en tijd.
2. Open Binance alleen via de app of door zelf binance.com in te typen. Binance vraagt gebruikers uitsluitend de officiële kanalen te volgen, dus klik niet op links in mails of sms’jes over “compensatie”, en lees onze waarschuwing over phishing via sms.
3. Controleer je API-sleutels en de lijst met goedgekeurde opname-adressen en verwijder wat je niet herkent.
4. Bepaal na de heropening waar je je crypto wilt bewaren: in een eigen wallet of bij een aanbieder met MiCA-vergunning.

Handel je ergens anders, dan merk je het in de koers. Bitcoin zakte volgens The Crypto Times naar een dieptepunt van zes weken rond 76.368 dollar (ongeveer 68.600 euro) en BNB verloor ongeveer 7 procent. Volgens CoinGlass werden in 24 uur bij 239.020 handelaren posities met geleend geld gedwongen gesloten, samen 1,54 miljard dollar. Hoe het verder kan gaan met BNB lees je in de Binance Coin verwachting, het eerste nieuws over de hack in ons nieuwsbericht van vrijdagochtend.

Veelgestelde vragen

Is mijn eigen USDT of USDC nog veilig na de Binance-hack?

Je eigen USDT of USDC is na de Binance-hack gewoon bruikbaar, want Tether en Circle bevroren alleen de adressen waar de buit van de aanvaller op stond. Volgens TRM ging het om ongeveer 1,77 miljard USDT en 825 miljoen USDC. De hack laat wel zien dat de uitgever van een stablecoin tokens op een adres kan blokkeren. Met bitcoin of ether kan dat niet, omdat er geen uitgever is.

Hoe check je of je eigen Ethereum-wallet een EIP-7702-delegatie heeft?

Een EIP-7702-delegatie op je Ethereum-wallet zie je door je adres op te zoeken in een blockexplorer als Etherscan. Een gewone wallet heeft geen code. Staat er bij jouw adres wel code, terwijl je zelf nooit een delegatie hebt ingesteld, dan is dat volgens TRM precies het signaal waar beurzen na deze hack op moeten letten. Zet je geld dan over naar een nieuwe wallet.

Hoe zie je of een cryptoplatform een MiCA-vergunning heeft?

Of een cryptoplatform een MiCA-vergunning heeft, zie je in het register van de Europese toezichthouder ESMA. Daarin staan de aanbieders van cryptodiensten met een vergunning van een nationale toezichthouder, zoals de AFM in Nederland. Binance stond daar volgens CASP Tracker op 21 oktober niet in. Waarom de beurs zijn aanvraag introk, lees je in ons stuk over de MiCA-aanvraag.