Donderdagavond, even na negen uur Nederlandse tijd, verdween er in ongeveer twintig minuten voor zo’n 6,3 miljard dollar aan crypto uit de wallets van Binance, het grootste cryptoplatform ter wereld. Daarmee is dit de grootste cryptoroof in de geschiedenis, ruim vier keer zo groot als de hack bij Bybit in februari 2025, waarbij 1,5 miljard dollar verdween.

Volgens blockchainonderzoeker TRM Labs haalde de aanvaller geld weg op tien verschillende blockchains tegelijk, waaronder Ethereum, Bitcoin, Tron, de XRP Ledger en Solana.

Hack 36 uur eerder al gestart

De voorbereiding begon minstens 36 uur eerder: de aanvaller financierde zijn wallet met kleine bedragen via de mixdienst Tornado Cash en oefende zijn code eerst op drie testwallets voordat hij toesloeg.

Op Ethereum gebruikte de aanvaller een vrij nieuwe functie, EIP-7702, om een van de bekendste Binance-wallets in feite om te bouwen tot een stofzuiger die alleen naar hem luisterde.

Met één transactie verdwenen 167.464 ETH en 1,6 miljard USDT. En omdat die koppeling bleef bestaan, werd ieder nieuw bedrag dat daarna op die wallet binnenkwam gewoon opnieuw weggezogen. Ook bitcoin ging mee: 18.270 BTC, goed voor bijna 1,5 miljard dollar.

Aanvaller kreeg toegang via werknemer

Binance zelf stelt dat dit heeft kunnen gebeuren door een gehackte laptop. De broker wijst naar de laptop van één DevOps-engineer. Die zou gehackt zijn, waardoor de aanvaller toegang kreeg tot een interne dienst en zelf opnames kon indienen. Volgens Binance is er geen bewijs dat privésleutels zijn gelekt.

TRM gaat een stap verder en concludeert dat de aanvaller het ondertekeningssysteem van Binance zelf naar zijn hand had gezet, want wallets met totaal verschillende sleuteltypes op tien ketens tekenden binnen een half uur allemaal braaf mee.

De dader? TRM wijst met grote stelligheid naar TraderTraitor, de elitehackers van Noord-Korea. Dezelfde groep die volgens de FBI ook achter Bybit zat.

De grootste hack aller tijden

Voor deze hack, was de Bybit hack de grootste aller tijden.

Binance had vóór de hack volgens DefiLlama zo’n 144 miljard dollar aan bezittingen op het platform staan. De buit is dus ruwweg 4% daarvan. Co-CEO Yi He liet weten dat Binance alle verliezen vergoedt, en inmiddels is volgens het bedrijf al ongeveer 3 miljard dollar bevroren.

Tether bevroor 37 minuten na de grote overboeking al 971 miljoen USDT in de wallet van de aanvaller, en kwam uiteindelijk op ongeveer 1,77 miljard. Circle bevroor zo’n 825 miljoen USDC, Ripple en World Liberty Financial deden hetzelfde met hun stablecoins.

De Security Council van Arbitrum ging nog verder en haalde met noodbevoegdheden 8.426 ETH en 74,6 miljoen ARB uit de wallet van de aanvaller. Uitleenplatform Aave zette getroffen markten op slot.

De communicatie van Binance was donderdagnacht rommelig: eerst waren klantgelden “volledig veilig”, even later zou het bedrijf “alle verliezen dekken”. Stortingen en opnames liggen nog stil. Al heeft Binance vanochtend vroeg aangegeven dat dit binnen 48 uur weer zal worden hervat.