Binance verliest $6 miljard, een bevriesknop redt bijna de helft

Op 29 oktober 2026 om 20:20:59 uur UTC kwam er op het Ethereum-netwerk een transactie binnen met $14,46 aan kosten. Er werd geen geld verplaatst: het waardeveld staat op nul. Eerder die dag had de aanvaller de aanpak geoefend op eigen wallets, met bedragen van $2 tot $6. Drie en een halve minuut later verlieten 167.464 ether en $1,6 miljard aan USDT-stablecoins een hot wallet van Binance die analisten kennen als Binance 14. De volgende ochtend schatte de beurs de schade op ongeveer $6,3 miljard. Externe analisten komen voorlopig lager uit, op $5,3 tot $5,9 miljard. Het vorige record, de diefstal bij de beurs Bybit in februari 2025, bedroeg zo’n $1,5 miljard.

Toch is de omvang niet het vreemdste. Bijna de helft van de buit, zo’n $3 miljard, werd binnen enkele uren tegengehouden. Niet door de politie en niet door ‘de blockchain zelf’, maar door een handvol bedrijven met een bevriesknop. Cryptovaluta zijn juist bedacht zodat niemand zo’n knop zou hebben.

Een volmacht van veertien dollar

Een beurs bewaart klantengeld in twee soorten wallets. Cold wallets staan offline en bevatten de hoofdreserve. Hot wallets zijn altijd verbonden: de dagelijkse opnames lopen erdoorheen, dus er staat altijd een werksaldo op. Bij de grootste beurs ter wereld loopt dat saldo in de miljarden.

De sleutel van de aanval was een functie met de naam EIP-7702. Die kwam op 7 mei 2025 naar Ethereum met de Pectra-upgrade. Simpel gezegd is het een volmacht: een gewone wallet machtigt een extern programma om namens hem te handelen. Het is bedoeld voor het gemak, om meerdere handelingen in één klik te bundelen of om iemand anders de kosten te laten betalen. Alleen de wallet zelf kan zo’n machtiging ondertekenen. Ze blijft gelden totdat de eigenaar haar intrekt.

De transactie van $14,46 was precies zo’n machtiging. Er zaten er 50 in, elk met de opdracht Binance 14 over te dragen aan een ‘sweeper’-programma dat de aanvaller vier uur eerder had uitgerold. Eén van de vijftig werkte. Stel je een chequeboek voor waarin een machtiging alleen geldt voor een cheque met één bepaald nummer. Een hot wallet schrijft onophoudelijk zulke ‘cheques’, dus het volgende nummer is lastig te raden. Vijftig handtekeningen achter elkaar zijn een manier om er zeker van te zijn dat er één raak is.

De sweeper leegde Binance 14 in één handeling en liet 1 ether achter. In de daaropvolgende 12 minuten stroomde geld uit tien andere hot wallets van de beurs op vier netwerken naar hetzelfde adres. Zo reconstrueerde Blockaid, een blockchainbeveiligingsbedrijf, de aanval.

Hoe de aanvaller aan de handtekening van de wallet kwam, is nog onduidelijk. Volgens het voorlopige verslag van Binance begon het met een gehackte laptop van een DevOps-engineer, het soort medewerker dat servers en software-uitrol beheert. Via die laptop kreeg de indringer toegang tot een servicecontainer en diende van daaruit onbevoegde opnames in. De beurs zegt geen aanwijzingen te hebben dat er een privésleutel van een wallet is gelekt. Als dat klopt, hoefde de dief nooit een sleutel te stelen. Hij liet het eigen systeem van de beurs de machtiging voor hem ondertekenen.

De knop die bitcoin niet heeft

USDT en USDC heten stablecoins. Het zijn digitale dollars van twee particuliere bedrijven, Tether en Circle, die elk beloven hun token tegen één dollar in te wisselen. Eén eigenschap komt zelden ter sprake: de uitgever kan elk adres op het netwerk blokkeren. In de USDC-voorwaarden behoudt Circle zich uitdrukkelijk het recht voor overdrachten van en naar een adres te blokkeren. Tether kan hetzelfde.

Die nacht deden ze het ook. Tether-ceo Paolo Ardoino schreef dat het bedrijf meer dan 1,567 miljard USDT had bevroren. Circle-ceo Jeremy Allaire zei dat meer dan 800 miljoen USDC was geblokkeerd in overleg met de opsporingsdiensten. Ripple hield zo’n $200 miljoen van zijn stablecoin tegen, World Liberty Financial zo’n $27 miljoen. Zelfs Arbitrum, een netwerk dat meestal als gedecentraliseerd wordt omschreven, bevroor 74,56 miljoen ARB-tokens op besluit van zijn Security Council.

Met ether en bitcoin lag het anders. Geen uitgever, geen knop. Analysebedrijf Glassnode telde 17.985 bitcoin onder de gestolen activa, zo’n $1,45 miljard. Ook de ether uit de eerste sweep bleef bij de aanvaller. Niemand ter wereld kan een overdracht terugdraaien die met de juiste sleutel is ondertekend. Voor een dief is dat de beste eigenschap van bitcoin. Hoe de aanvaller bij de aparte bitcoinwallets van de beurs kwam, heeft Binance nog niet bekendgemaakt. De theorie van de servicecontainer, waarbij het systeem zelf de opnames ondertekende, zou dat verklaren.

Een redder met vetorecht

Het is eigenlijk absurd. De grootste diefstal uit de cryptogeschiedenis werd voor bijna de helft gestopt door middelen die ’echte’ cryptovaluta niet horen te hebben. Bitcoin gedroeg zich precies zoals de bedenker het wilde: een ondertekende overdracht is definitief. De digitale dollars gedroegen zich als een bank.

De knop die een dief anderhalf miljard afnam, werkt tegen iedereen. Een bedrijf drukt erop, geen rechter. Het kost enkele minuten. Wie USDT bezit, heeft geen dollar op een rekening, maar de belofte van Tether om het token in te wisselen, en die belofte komt met een voorbehoud. Veel mensen vinden die ruil redelijk: banken blokkeren verdachte overboekingen ook. Een stablecoin staat alleen dichter bij een bankrekening dan bij contant geld in je zak, en deze nacht liet dat verschil beter zien dan welke lezing ook.

Wat het betekent voor klanten van Binance

Volgens de beurs zelf heeft Binance meer dan 335 miljoen geregistreerde gebruikers. In de nacht van de hack legde het stortingen en opnames stil, en op de ochtend van 30 oktober had het nog niet gezegd wanneer die hervat worden. Binance-medeoprichter Yi He beloofde dat de beurs ‘alle hackverliezen zal dekken’ uit het SAFU-verzekeringsfonds en eigen middelen. Oprichter Changpeng Zhao volgde de diefstal bijna als toeschouwer. ‘Het ziet er wel uit als een hack van Binance’, schreef hij op X, en hij merkte in dezelfde post op dat hij de beurs niet meer leidt, maar verwacht dat het geld van gebruikers volledig gedekt wordt.

Sinds februari 2026 wordt het SAFU-fonds aangehouden in bitcoin: 15.000 stuks. Tegen de koers van 30 oktober is dat ruwweg $1,2 miljard. Als de eigen schatting van de beurs klopt, is het niet-bevroren deel van het verlies, zo’n $3,3 miljard, bijna drie keer zo groot. Het gat zal dus grotendeels met eigen geld van de beurs gedicht moeten worden. Het fonds zelf bevat overigens minder bitcoin dan de aanvaller heeft buitgemaakt.

De markten reageerden meteen, al drukten ook zwakke winstcijfers van techbedrijven op de stemming. Bitcoin zakte onder de $77.000, een laagterecord van zes weken. BNB, de eigen token van de beurs, verloor op één dag meer dan 8%.

Wie erachter zit, is onbekend. Blockchainspeurder ZachXBT en het bedrijf Blockaid noemden Noord-Korea als waarschijnlijke dader, maar niemand heeft de aanval tot nu toe officieel toegeschreven. De FBI schreef de Bybit-diefstal wel aan Noord-Korea toe. Volgens Blockaid financierde de aanvaller de eerste handelingen via Tornado Cash, een mixer die het spoor van overdrachten vertroebelt. Binance belooft een gedetailleerde technische analyse achteraf zodra de feiten zijn gecontroleerd.

Jarenlang discussieerde de cryptogemeenschap over de vraag of geld een stopknop nodig heeft. In één nacht redde zo’n knop ongeveer $3 miljard. Het debat zal nu waarschijnlijk verschuiven: wie beslist wanneer er gedrukt wordt, en volgens welke regels?