Noord-Koreaanse hackers verdacht van recordroof van 6,3 miljard dollar bij Binance, opnames liggen stil

Een gehackte laptop van één DevOps-engineer en een slim misbruikte Ethereum-functie: meer leek er niet nodig om Binance op 29 oktober voor ongeveer 6,3 miljard dollar te beroven. Blockchainonderzoekers wijzen naar Noord-Korea. TRM Labs en Chainalysis schrijven de aanval toe aan TraderTraitor, een staatshackersunit die bij de beruchte Lazarus Group hoort. TRM zegt dat te doen met "hoge zekerheid". Binance zelf noemt nog geen dader en heeft opnames voorlopig stilgelegd.

Daarmee is dit veruit de grootste cryptodiefstal ooit, ruwweg vier keer zo groot als de roof van 1,5 miljard dollar bij Bybit in februari 2025. Ook die aanval werd door de FBI aan TraderTraitor gekoppeld. "Dit is de grootste crypto-hack in de geschiedenis", zei Ido Ben-Natan, CEO van beveiligingsbedrijf Blockaid, tegen crypto.news.

Twintig minuten, tien blockchains

Volgens TRM verliet zo'n 6,36 miljard dollar wallets van Binance verspreid over tien netwerken. Het meeste geld ging vanaf 20:05 UTC binnen ongeveer twintig minuten de deur uit. Chainalysis komt zelf op circa 6,4 miljard dollar uit.

Wat opvalt is de voorbereiding. Minstens 36 uur voor de aanval ontving een wallet van de aanvaller drie kleine opnames uit Tornado Cash en werd kwaadaardige code getest. Pikant detail: twee dagen voor de hack meldde Binance nog dat het Noord-Koreaanse aanvallen had afgeslagen waarbij nepsollicitatiegesprekken werden gebruikt om mensen schadelijke code te laten draaien.

Hoe een hot wallet werd herprogrammeerd

Eerst even de basis. Een hot wallet is een exchangewallet die continu online staat, zodat opnames snel verwerkt kunnen worden. Handig, maar ook het eerste doelwit bij een inbraak.

Blockaid vond een opvallende Ethereum-transactie met 50 zogeheten EIP-7702-autorisaties, gericht op Binance 14, een van de drukste hot wallets van de beurs. EIP-7702 laat een gewone wallet smart-contractcode namens zich uitvoeren. De aanvaller tekende autorisaties voor 50 opeenvolgende transactietellers (nonces), in de hoop dat er één zou passen. Dat gebeurde. Vanaf dat moment kon een kwaadaardig contract de wallet leeghalen, inclusief nieuw binnenkomende stortingen. Alleen uit Binance 14 verdween zo ongeveer 2,5 miljard dollar, waaronder 167.464 ETH en ruim 1,6 miljard USDT.

Binance zelf houdt het voorlopig op die gecompromitteerde laptop, waarmee de aanvaller toegang kreeg tot een servicecontainer en ongeautoriseerde opnames kon indienen. Er is volgens de beurs geen bewijs dat private keys zijn uitgelekt. Voor ervaren lezers is dat misschien het verontrustendste deel: de sleutels bleven veilig, maar de infrastructuur die met die sleutels tekent niet.

Wie betaalt de rekening?

Co-CEO Yi He belooft dat Binance "alle hackverliezen" vergoedt, via het SAFU-fonds en eigen middelen. Dat SAFU-noodfonds bevat volgens CoinDesk ruwweg 1 miljard dollar aan bitcoin, dus het merendeel moet uit de eigen kas of uit teruggehaald geld komen. Daar zit wel beweging in. Tether bevroor ruim 1,567 miljard USDT, Circle meer dan 800 miljoen USDC en de Arbitrum Security Council zette circa 74,6 miljoen ARB en 8.425 ETH vast.

Die bevriezingen werken alleen bij centraal uitgegeven tokens. Volgens Onchain Lens heeft de aanvaller nog bijna 480.720 ETH in handen, goed voor zo'n 1,08 miljard dollar, en dat kan niemand blokkeren. Er ging al 17.260 ETH naar een nieuwe wallet, mogelijk als opmaat naar een witwasronde via mixers als Tornado Cash.

Stortingen werken normaal, opnames blijven dicht terwijl Binance zijn opnamedienst en adrescontroles herziet. De beurs verwacht binnen 48 uur weer open te gaan. De markt reageerde intussen nerveus: bitcoin zakte volgens CoinDesk terug naar 77.000 dollar.