Binance-hacker zet gestolen Solana via Relay om naar bitcoin

De hacker achter de Binance-inbraak is begonnen met het omzetten van gestolen Solana naar bitcoin. Volgens blockchaintracker Lookonchain beheert de aanvaller 970.522 SOL, goed voor ongeveer 95,9 miljoen dollar, en ging er binnen een uur al 486.970 SOL ter waarde van 46,4 miljoen dollar richting Relay Protocol om daar te worden geruild voor BTC.

Dat de buit nu naar bitcoin gaat, is opvallend. De FBI schreef in haar waarschuwing van 31 oktober nog dat de daders gestolen crypto vooral omzetten naar ethereum. Met de stap van Solana naar het Bitcoin-netwerk komt er een extra blockchain in het spoor bij, en dat maakt het volgen van het geld voor onderzoekers een stuk lastiger.

Waarom Relay en waarom bitcoin?

Voor wie minder thuis is in de techniek: Relay Protocol is infrastructuur waarmee je tokens van de ene blockchain naar de andere kunt verplaatsen en onderweg kunt ruilen. Je stuurt SOL naar binnen en er komt BTC uit op een ander netwerk. Relay heeft zelf niets bekendgemaakt; de betrokkenheid blijkt puur uit de route van de transacties.

Voor ervaren lezers zit de kern in de timing. De FBI, de Secret Service en IRS Criminal Investigation riepen exchanges, DeFi-partijen en infrastructuuraanbieders op om transacties van bekende hackeradressen te blokkeren. Volgens CoinDesk vroeg de FBI de DeFi-sector expliciet om BTC-, ETH- en SOL-adressen te weren. Een dag later loopt er toch een SOL-stroom van tientallen miljoenen via een cross-chain dienst. Of Relay die transacties kan tegenhouden en of de ontvangende bitcoinadressen al in beeld zijn, is nog niet duidelijk. Chainalysis waarschuwde bovendien dat de aanvallers al duizenden adressen gebruiken, terwijl de FBI-lijst er honderden telt.

Haast boven opbrengst

Eerder op 1 november meldde Lookonchain dat de hacker meer dan 130 altcoins op Ethereum-compatibele netwerken had gedumpt. Dat leverde ruim 123.400 ETH en 1,69 miljoen USDC op.

De PROM-verkoop zegt veel over de werkwijze. Tokens met een geschatte waarde van zo'n 5 miljoen dollar gingen via een Uniswap V2-pool van de hand voor nog geen honderd dollar. In een pool met weinig liquiditeit krijg je bij een grote order simpelweg veel minder dan de koers op papier. Wie zo verkoopt, kiest bewust voor snelheid: liever nu weinig dan later bevroren.

Bekend draaiboek uit Noord-Korea

De FBI schrijft de aanval toe aan TraderTraitor, een Noord-Koreaanse hackersgroep die eerder ook achter de diefstal van ongeveer 1,5 miljard dollar bij Bybit in februari 2025 zat. Analysebureau TRM zag de gelijkenis al vroeg: "Several features of this attack match earlier North Korea-linked heists, including the Bybit hack," aldus TRM tegenover CBS News.

Een deel van de buit is wel bevroren. Tether, Circle en andere uitgevers blokkeerden getroffen tegoeden en Binance meldt in de eerste fase ongeveer 3 miljard dollar te hebben vastgezet. De beurs belooft klanten schadeloos te stellen uit eigen middelen en noodreserves. "Binance will absorb the financial impact", liet het bedrijf volgens The Next Web weten. Sinds 1 november draaien de opnames weer, eerst voor bitcoin en daarna voor geselecteerde stablecoins en andere netwerken. Nieuwe opnames lopen via vers aangemaakte walletadressen, die inmiddels aan de Proof of Reserves-lijst zijn toegevoegd.

Voor de opsporing telt nu vooral de andere helft van de SOL. Volgens TokenPost staat er nog zo'n 483.600 SOL op het gemarkeerde adres. Als ook die via Relay of een vergelijkbare dienst richting bitcoin gaat, zullen de blokkeeroproepen van de FBI hun eerste echte test moeten doorstaan.