Op 29 oktober 2026, rond 16:20 uur Eastern Time, begonnen er fondsen te verdwijnen uit Binance hot wallets die niemand bij Binance had goedgekeurd. Tegen de tijd dat de stof de volgende ochtend was neergedaald, schatte Chainalysis de diefstal op ongeveer $6,4 miljard en Binance op $6,3 miljard. Daarmee is het de grootste cryptodiefstal ooit, ongeveer vier keer zo groot als de Bybit-hack die sinds februari 2025 de titel droeg. Het kopcijfer is bruut. Het interessantere cijfer is het andere: bijna $3 miljard ervan werd binnen enkele uren on-chain bevroren, en bijna al dat geld kwam van één bron. Stablecoin-uitgevers drukten op een knop.
Die knop is het onderdeel van crypto waar de meeste crypto-natives graag over klagen. Deze week was het het enige dat werkte.
Wat is er gebeurd bij de Binance-hack?
Binances eerste onderzoek wijst naar een gecompromitteerde laptop van een DevOps-engineer. Van daaruit bereikte de aanvaller een servicecontainer en diende opnametransacties in die het systeem als legitiem behandelde. Binance zei later dat het naast de laptop nog extra inbreukpunten had gevonden, en dat het geen bewijs had gezien van een lek van een private key van een wallet. Een volledige post-mortem wordt beloofd zodra de feiten zijn geverifieerd. Co-CEO Richard Teng beschreef iets chirurgischers dan een smash and grab. Hij zei dat de aanval geen one-click-actie was, dat de aanvaller een zelfvernietigingsmechanisme gebruikte om sporen op te ruimen, en dat een EIP-7702-delegatie de aanvaller uitvoeringsbevoegdheid gaf over een hot wallet, waarmee de normale goedkeuringscontroles werden omzeild. Blockaids Ido Ben Natan zei het ronduit: de upgrade gaf aanvallers een manier om dit in één veeg te doen. Zonder die upgrade zou dezelfde leegroof veel afzonderlijke transacties hebben gevergd, elk een kans voor monitoring om aan te slaan.Chainalysis en TRM Labs schrijven de diefstal beide toe aan TraderTraitor, de Noord-Koreaanse eenheid die de FBI aanwees voor de Bybit-hack. TRM zegt die overtuiging met hoge zekerheid te hebben. On-chain-onderzoeker ZachXBT en Chainalysis vonden beide dat Binance-opbrengsten vermengd waren met fondsen uit de Bitget-exploit van vorige maand, die via THORChain op hetzelfde adres aankwamen. Dezelfde actor, een tweede exchange in ongeveer vier weken.
Hoe maakte EIP-7702 de leegroof sneller?
EIP-7702 kwam mee met Ethereums Pectra-upgrade. Het laat een gewone externally owned account de uitvoering delegeren aan smartcontractcode, zodat een normale wallet transacties kan batchen, gas kan sponsoren of aangepaste bestedingsregels kan volgen. Volgens de EIP-7702-specificatie wordt die delegatie ingesteld door een ondertekende autorisatie en blijft die van kracht totdat ze wordt vervangen of gewist.
Voor gebruikers is dat een gemaksfunctie. Voor een aanvaller die een geldige autorisatie ondertekend krijgt van binnen de infrastructuur van een exchange, is het een moedersleutel met ingebouwde batchprocessor. In plaats van opnames één voor één door goedkeuringswachtrijen te duwen, kan de gedelegeerde code een wallet in één flow leeghalen. Ambires Ivo Georgiev wees op het vervolgrisico: engineers die de controle over een gecompromitteerd account terugkrijgen, realiseren zich misschien niet dat er nog een kwaadaardige delegatie aan hangt.
Niets hiervan betekent dat EIP-7702 kapot is. Het betekent dat de ondertekeningsinfrastructuur van exchanges nu een nieuwe klasse permissies heeft om te monitoren. En ten minste één van de grootste spelers in de industrie lette er niet goed genoeg op.
Wie bevroor wat, en hoe snel?
Chainalysis klokte de eerste bevriezingen op 17:14 uur Eastern Time, ongeveer 54 minuten na de eerste uitstromen. Tethers Paolo Ardoino en Circles Jeremy Allaire postten al bevriezingstotalen voordat Binance zelfs maar opnames had stilgelegd. Dit is wat de uitgevers en protocollen rapporteerden.
| Bevriezende partij | Asset | Bevroren bedrag | Bevriezingsmechanisme |
|---|---|---|---|
| Tether | USDT | Meer dan $1,567 miljard | Uitgeversblacklist in tokencontract |
| Circle | USDC | Meer dan $800 miljoen | Uitgeversblacklist in tokencontract |
| Arbitrum Security Council | 74...6M ARB en 8.425 ETH | Ongeveer $30,5 miljoen | Noodgovernance-actie op Arbitrum |
| World Liberty Financial | USD1 en WLFI | $27 miljoen USD1, $2 miljoen WLFI | Uitgeversblacklist |
| Ripple | RLUSD | Niet bekendgemaakt | Uitgeversblacklist |
| First Digital | FDUSD | Niet bekendgemaakt | Uitgeversblacklist |
| Niemand | ETH op mainnet, BTC | $0 | Bestaat niet |
Binances eigen lopende totaal kwam op ongeveer $3 miljard bevroren. Chainalysis zet het dichter bij $2,8 miljard, en Elliptic schatte dat ongeveer 44 procent van de gestolen assets was bevroren, waarbij stablecoins bijna al dat bedrag vormden. Tether en Circle alleen al zijn goed voor ongeveer $2,37 miljard. Haal de stablecoin-uitgevers eruit en de collectieve bevriezingsinspanning van de industrie komt neer op een paar tientallen miljoenen dollars, waarvan het meeste uit één noodactie van Arbitrums Security Council.
Waarom konden de hackers de andere $3 miljard houden?
Omdat de andere $3 miljard bestond uit, of snel veranderde in, assets die niemand controleert. Native ETH en BTC hebben geen admin-sleutel en geen blacklist-functie. Zodra gestolen waarde daar zit, zijn de enige overgebleven tools tracing, samenwerking met exchanges en geluk. De aanvallers wisten dit en handelden ernaar. Chainalysis traceerde ongeveer $500 miljoen aan stablecoins naar een wallet die voor één taak was gebouwd: het omzetten van bevriesbare assets in niet-bevriesbare. In ongeveer 20 minuten werd $325 miljoen aan stablecoins $285 miljoen aan ETH. Ongeveer tien minuten later werd de resterende $175 miljoen doorgestuurd naar tussenwallets. TRM Labs zegt dat de aanvallers ook USDT aan market makers verkochten en ETH leenden tegen stablecoin-onderpand.Interessant genoeg trof die laatste tactiek Aave rechtstreeks. Ongeveer 40 minuten voordat de bevriezingen aankwamen, stortte de exploiter 60 miljoen USDT en leende ongeveer 19.762 WETH, ter waarde van ongeveer $44,6 miljoen. LlamaRisk bevestigde dat de positie overcollateralized was en geen risico vormde voor leveranciers. Aave bevroor toch 175 V3-reserves op 16 netwerken en 117 V4-reserves op vier netwerken als voorzorgsmaatregel, en heractiveerde lenen en borrowen op 30 oktober. De handelslogica is grimmig slim: stort USDT die bevroren kan worden, loop weg met ETH die dat niet kan, en laat het lendingprotocol met de zwarte lijst-onderpand zitten.
Onze analyse van de Chainalysis-flowdata laat zien wat snelheid de aanvaller waard was. Het omwisselen van $325 miljoen aan stablecoins naar $285 miljoen aan ETH kostte ongeveer $40 miljoen, een haircut van 12,3 procent door slippage en gehaaste uitvoering. Meer dan één dollar op de acht betalen om aan de bevriezingslijst te ontsnappen, zegt veel over hoe serieus Noord-Koreaanse operatoren de reactietijd van Tether en Circle nemen. Chainalysis markeerde ook duizenden geautomatiseerde transacties, waarbij veel verse adressen eerst precies 1 TRX ontvingen, en Levin zei dat grote bedragen naar Tron-adressen werden verplaatst.
Binance-hack vs Bybit-hack: wat is er veranderd?
| Metric | Bybit (februari 2025) | Binance (oktober 2026) |
|---|---|---|
| Gestolen bedrag | Ongeveer $1,5 miljard | $6,3 tot $6,4 miljard |
| Toegeschreven aan | TraderTraitor (FBI) | TraderTraitor (Chainalysis, TRM Labs) |
| Toegangspunt | Gecompromitteerde ontwikkelaarsmachine bij een walletprovider | Gecompromitteerde laptop van DevOps-engineer, plus meer inbreukpunten |
| Mix gestolen assets | Voornamelijk ETH en gestaked ETH | Groot aandeel stablecoins plus ETH, BTC en andere tokens |
| Bevroren aandeel | Een kleine fractie | Ongeveer 44 tot 48 procent |
| Eerste uitgeversbevriezingen | Beperkt, weinig bevriesbare assets | Ongeveer 54 minuten na eerste uitstromen |
Het contrast is het verhaal. Bybit verloor bijna uitsluitend niet-bevriesbare ETH, en de hersteloperatie was vooral een kwestie van toekijken hoe het werd witgewassen. Binance verloor een veel grotere berg, maar een veel groter deel ervan zat in tokens met een uitgever erachter. Hoe meer van een hot wallet van een exchange in centraal uitgegeven stablecoins zit, hoe meer van een diefstal kan worden teruggehaald. Dat is een ongemakkelijke les voor iedereen die stablecoins verkocht als crypto zonder de volatiliteit en het deel met een kill switch oversloeg.
Zijn Binance-klanten gedekt?
Binance zegt van wel. Co-founder Yi He zei dat de exchange alle verliezen dekt, en Changpeng Zhao postte dat hij verwacht dat gebruikersfondsen volledig worden gedekt. Binance zegt meer dan $6,34 miljard aan bedrijfsfondsen opzij te hebben gezet, waarvan ongeveer $5 miljard al in dezelfde tokens zit die gestolen werden. De rest koopt het over-the-counter en op exchanges, met de waarschuwing dat dunne liquiditeit sommige aankopen kan vertragen.
Verrassend genoeg bleven stortingen werken. Opnames werden op 29 oktober om 18:55 uur Eastern Time gepauzeerd, en de laatste richtlijn mikt op een gefaseerde herstart binnen ongeveer 40 uur na Binances update van 30 oktober, die dit weekend valt. Een bijgewerkte proof of reserves volgt uiterlijk maandag. Binance werkt naar verluidt samen met de FBI.
Ter info: tegenpartijen maakten hun exposure snel bekend. Wintermute zei dat zijn exposure minder dan 20 procent van het netto eigen vermogen was, en GSR zei minder dan 5 procent. Bybit bevestigde niet getroffen te zijn.
Hoe reageerde de cryptomarkt?
Slecht, hoewel de hack neerkwam op een toch al wankele dag na een Fed-hold en zwakke tech-resultaten. Op 30 oktober toonden CoinGecko-gegevens Bitcoin 4,9 procent lager over 24 uur op ongeveer $76.937. Ether daalde 5,7 procent naar ongeveer $2.211. BNB zakte 8 procent naar ongeveer $693, AAVE verloor 11,3 procent en UNI 10,7 procent. De Bitcoin Fear and Greed Index zakte naar 30, de laagste stand sinds augustus.
Wat dit betekent voor iedereen die crypto op een exchange houdt
Een paar praktische lessen, geen nieuwe, allemaal opnieuw onderstreept. Belangrijker: saldi op een exchange zijn een IOU. Binance lijkt een verlies van $6 miljard te kunnen absorberen. Zeer weinig operators op aarde zouden dat kunnen. Opnamepauzes gebeuren zelfs wanneer de exchange solvabel is, en ze gebeuren precies wanneer je je coins het liefst wilt.Stablecoin-bevriezingen snijden aan twee kanten. Dezelfde blacklist die hier ongeveer $2,4 miljard redde, is degene die een onschuldige wallet kan blokkeren die toevallig besmette fondsen ontving. Als je na een grote hack USDT of USDC van een onbekende bron ontvangt, controleer dan het afzenderadres tegen publieke trackers voordat je het doorstuurt.
Controleer je eigen EIP-7702-delegaties. Als je een smartwallet-functie op Ethereum hebt gebruikt, bekijk dan welke delegaties je accounts hebben en wis degene die je niet herkent. Een kwaadaardige delegatie kan het moment overleven waarop je de controle terugkreeg.
Houd slapende fondsen in self-custody. Dit geldt voor handelsaccounts en goksaldo's. Platforms zoals CryptoCasino.Vegas die winsten direct terugbetalen naar de eigen wallet van de speler maken het principe makkelijk te volgen: hoe korter je coins in iemands anders hot wallet staan, hoe minder een gecompromitteerde laptop aan de andere kant van de wereld je kan kosten.
Het definitieve herstelcijfer zal bewegen naarmate tracing doorgaat, en de geschiedenis zegt dat het naar beneden beweegt, niet omhoog. Levins eigen samenvatting van de witwasfase is de juiste om te onthouden: hoe verder fondsen reizen, hoe minder inbeslagnamekansen. De bevriezingsknop kocht binnen een uur bijna de helft terug. Alles daarna is een achtervolging.
