Noord Korea gelinkt aan Binance hack van 6,3 miljard

Op 29 oktober 2026 verlieten miljarden dollars aan crypto in korte tijd wallets van Binance. De voorlopige schade: ongeveer 6,3 miljard dollar. Dat is ruim vier keer de omvang van de Bybit hack uit 2025, die destijds 1,5 miljard dollar kostte. Onderzoekers leggen inmiddels verbanden met Noord Korea en een eerdere aanval op Bitget. Binance zegt alle verliezen te vergoeden. Maar hoe kon dit gebeuren en hoeveel geld is er nog terug te halen?

Binance verloor in minuten crypto ter waarde van 6,3 miljard dollar

Volgens blockchainonderzoeker TRM Labs werden op 29 oktober ongeveer 6,36 miljard dollar aan digitale bezittingen uit Binance wallets verplaatst. Het ging om tegoeden op tien verschillende blockchains, waaronder Bitcoin, Ethereum, Tron, Solana en het XRP netwerk. Het grootste deel van de transacties vond volgens TRM plaats in ongeveer twintig minuten.

De bedragen bestaan niet uit één soort munt. Onderzoekers telden onder meer 18.270 bitcoin, grote hoeveelheden ether en miljarden aan stablecoins zoals USDT en USDC. Een stablecoin is een cryptomunt die bedoeld is om een vaste waarde te volgen, meestal die van de Amerikaanse dollar.

De schatting van 6,3 miljard dollar beschrijft de waarde van de verplaatste bezittingen. Het bedrag dat uiteindelijk onherroepelijk verloren blijft, hangt onder meer af van hoeveel crypto kan worden bevroren of teruggehaald. Dat onderscheid is belangrijk, want miljarden zijn inmiddels geblokkeerd.

De aanwijzingen wijzen naar een Noord Koreaanse hackersgroep

TRM Labs schrijft de aanval met hoge mate van vertrouwen toe aan TraderTraitor, een hackersgroep die volgens Amerikaanse autoriteiten voor Noord Korea werkt. Ook blockchainonderzoeker ZachXBT en Chainalysis wezen op verbanden met deze groep. De onderzoekers baseren zich op transacties op de blockchain en aanvullende informatie buiten de blockchain.

Een belangrijke aanwijzing is de verbinding met de eerdere aanval op Bitget. Bij die aanval, in september 2026, verdween ongeveer 388 miljoen dollar. Volgens ZachXBT kwamen geldstromen die met beide incidenten in verband worden gebracht uiteindelijk samen op hetzelfde adres, nadat ze via THORChain waren verplaatst. Dat wijst op een mogelijke gedeelde dader, maar is op zichzelf geen bewijs dat dezelfde personen achter beide aanvallen zitten.

De link met Noord Korea past bij een bestaand patroon. De FBI schreef de diefstal van ongeveer 1,5 miljard dollar bij Bybit in februari 2025 toe aan TraderTraitor. In een andere zaak koppelden de FBI, de Amerikaanse Defense Cyber Crime Center en de Japanse politie de groep aan de diefstal van 308 miljoen dollar bij DMM Bitcoin in 2024.

De toeschrijving van de nieuwe Binance aanval komt van onderzoekers, niet van een afgerond strafrechtelijk onderzoek. Binance zegt samen te werken met opsporingsdiensten en heeft de identiteit van de aanvallers nog niet officieel bevestigd.

Een gehackte werklaptop kan toegang tot wallets geven

Binance maakte op 30 oktober bekend dat de eerste onderzoeksresultaten wijzen op een mogelijk gecompromitteerde laptop van een DevOps medewerker. DevOps medewerkers helpen software en systemen te bouwen, te beheren en draaiend te houden. Volgens Binance kon de aanvaller via die laptop toegang krijgen tot een servicecontainer en ongeautoriseerde opnameopdrachten indienen. Binance meldde geen bewijs te hebben gevonden dat de privésleutels van wallets waren gelekt.

TRM beschrijft een technisch detail op Ethereum: de aanvaller zou een functie hebben gebruikt waarmee een wallet vooraf toestemming geeft om bepaalde code uit te voeren. Met voorbereide autorisaties kon de aanvaller vervolgens geld uit een wallet wegsluizen. Op andere blockchains zagen onderzoekers gewone ondertekende transacties. De precieze technische reconstructie is nog onderwerp van onderzoek.

Wat betekent dat? Een privésleutel is vergelijkbaar met de geheime sleutel waarmee je crypto kunt uitgeven. Een aanval hoeft die sleutel niet rechtstreeks te stelen als een aanvaller op een andere manier een geldige opdracht kan laten uitvoeren. Dat maakt beveiliging van medewerkers, toegangsrechten en transactiegoedkeuring net zo belangrijk als de wallet zelf.

Dit is ook waarom een blockchaintransactie niet automatisch bewijst dat de eigenaar de betaling bewust heeft goedgekeurd. De transactie kan technisch geldig zijn, terwijl de opdracht erachter door een aanvaller is gemanipuleerd.

Partners hebben miljarden bevroren, maar niet alles is veiliggesteld

Binance meldde op 30 oktober dat ongeveer 3 miljard dollar aan betrokken bezittingen was bevroren. TRM kwam op basis van zijn eigen telling uit op ongeveer 2,7 miljard dollar, inclusief bevroren stablecoins en crypto die op Arbitrum is geblokkeerd. De bedragen verschillen doordat onderzoeken op verschillende momenten worden bijgewerkt en niet altijd dezelfde categorieën meetellen.

Tether, Circle en andere uitgevers kunnen bepaalde stablecoins blokkeren wanneer die in wallets staan die zij kunnen bevriezen. Ook het Arbitrum netwerk greep in bij activa op zijn eigen netwerk. Dat werkt niet voor iedere cryptomunt. Bitcoin en ether kunnen niet op dezelfde manier door een centrale uitgever worden bevroren.

TRM schatte dat de aanvaller op 30 oktober nog meer dan 420.000 ether en 18.270 bitcoin bezat, samen ongeveer 2,4 miljard dollar waard op basis van de toenmalige prijzen. Dat cijfer verandert met de marktkoers en de beweging van de munten. Onderzoekers volgen de geldstromen om te voorkomen dat de aanvaller ze kan omwisselen of uitbetalen.

Let op: Een bevroren bedrag is niet hetzelfde als geld dat al terug is bij de rechtmatige eigenaar. Bevriezing kan voorkomen dat bepaalde tokens verder worden verplaatst, maar terugbetaling hangt af van het verdere onderzoek en de afhandeling door Binance en betrokken partijen.

Binance belooft alle verliezen zelf te betalen

Binance zegt dat gebruikers geen verlies zullen lijden door het incident. De beurs heeft verklaard dat alle verliezen worden gedekt uit het Secure Asset Fund for Users, het SAFU fonds, en eigen bedrijfsmiddelen. Ook kondigde Binance aan na de herstelwerkzaamheden een bijgewerkt overzicht van zijn reserves te publiceren.

Dat is een duidelijke belofte van het bedrijf, maar de afwikkeling moet nog blijken. Op het moment van de verklaring waren de stortingen en opnames op meerdere netwerken tijdelijk opgeschort terwijl Binance de beveiliging controleerde. De beurs zei dat ze de getroffen autorisaties had ingetrokken en met opsporingsdiensten en blockchainpartners werkte om de activa te traceren.

Voor klanten is vooral van belang wat er op hun eigen account gebeurt. Binance zegt dat de tegoeden veilig zijn, maar gebruikers kunnen tijdelijk hinder ondervinden zolang bepaalde diensten zijn stilgelegd. Controleer updates via de officiële kanalen van Binance en vertrouw niet op berichten die je vragen om je herstelzin of wachtwoord te delen.

Bitcoin en ether daalden na het nieuws

De markt reageerde snel. Volgens berichtgeving van The Wall Street Journal zakte bitcoin tijdens de eerste reactie tot ongeveer 76.573 dollar, een daling van 2,9 procent. Ether verloor meer dan 3 procent en kwam uit rond 2.186 dollar. Ook andere cryptomunten kwamen onder druk te staan.

Die bewegingen zijn niet volledig aan de hack toe te schrijven. De cryptomarkt had ook te maken met bredere zorgen over rente, obligatierentes en de bereidheid van beleggers om risico te nemen. Het nieuws over Binance kwam daar bovenop. De omvang van het incident en het tijdelijk stilleggen van opnames voedden de twijfel over de veiligheid van grote handelsplatforms.

Rekenvoorbeeld: Stel dat je voor 1.000 euro aan bitcoin bezit. Een koersdaling van 2,9 procent brengt de waarde terug naar ongeveer 971 euro. Dat is een verlies van 29 euro op papier zolang je niet verkoopt. Het voorbeeld laat alleen het effect van die koersbeweging zien en voorspelt niet wat de koers daarna doet.

Een hack bij een beurs betekent niet automatisch dat de bitcoin blockchain zelf is gehackt. In deze zaak gaat het om toegang tot wallets en systemen van een handelsplatform. De markt kan wel reageren op het vertrouwen in de bedrijven die toegang tot crypto beheren.

De schade is groter dan de eerdere recordhack bij Bybit

De voorlopige Binance schatting van 6,3 miljard dollar is ongeveer 4,2 keer de 1,5 miljard dollar die bij Bybit werd gestolen in februari 2025. Als de schatting van TRM standhoudt, is dit de grootste gemelde cryptodiefstal tot nu toe. De uiteindelijke netto schade kan lager uitvallen als meer activa worden bevroren of teruggehaald.

Het incident legt vooral een kwetsbaarheid bloot: zelfs als privésleutels niet rechtstreeks uitlekken, kan een aanvaller via systemen en toegangsrechten een geldige transactie laten uitvoeren. Voor de sector draait het vervolg daarom niet alleen om het terugvinden van munten. Ook de controle op medewerkersaccounts, vooraf ondertekende opdrachten en opnamesystemen zal onder de loep komen.

Een eerdere BitFox publicatie beschrijft hoe een aanval op hardware wallets via een verborgen chip kon werken en waarom de herstelzin zo gevoelig is: Een verborgen chip stal crypto via Ledger wallets. De aanvalsmethode verschilt, maar de les is vergelijkbaar: beveiliging hangt af van de hele keten, niet van één apparaat of wachtwoord.

Vragen om te stellen

• Staat mijn crypto op een handelsplatform of in een wallet waarvan ik zelf de toegang beheer?
• Zijn opnames tijdelijk opgeschort en wat zegt de officiële statuspagina van mijn aanbieder?
• Heb ik ooit een herstelzin, privésleutel of toegangscode gedeeld met iemand die ik niet vertrouw?
• Begrijp ik wie mijn crypto kan blokkeren, terughalen of verplaatsen als een platform wordt aangevallen?

Dit artikel is bedoeld als uitleg en nieuwsduiding, niet als financieel advies.

Bronnen

• Binance, Security Incident Update, 30 oktober 2026
• TRM Labs, North Korea Steals USD 6.36 Billion From Binance, 29 oktober 2026
• FBI, North Korea Responsible for $1.5 Billion Bybit Hack, 26 februari 2025
• FBI, DC3 en Japanse politie over de diefstal bij DMM Bitcoin, 23 december 2024
• The Wall Street Journal, Cryptocurrencies Slide as News of Major Hack Spooks Markets, 30 oktober 2026