Noord-Korea achter de Binance-hack? Alles wat we weten over de roof van 6,3 miljard

Update 3 november, 2.03 uur: Het proof of reserves van Binance is nu zelf te controleren. In de mededeling „Recovery Update #5” van 2 november (13.45 uur Nederlandse tijd) meldt Binance dat het zero-knowledge-bewijs voor de momentopname van 31 oktober klaar is. Wie BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD of ZEC op Binance aanhoudt, kan met de controletool op de proof-of-reserves-pagina zelf nagaan of zijn saldo minstens 1:1 gedekt is. Volgens de beurs is ongeveer 95 procent van het gestolen bedrag vervangen; de resterende 5 procent zijn minder liquide tokens buiten deze tien. Op 4 november volgt een nieuwe momentopname met meer tokens, het bewijs daarvan duurt naar verwachting 40 tot 50 uur. De volgende fase van de opnames voor meer netwerken staat gepland voor 3 november. Meer hierover: zo controleer je het proof of reserves van Binance.

Update 1 november, 8:48 uur: Binance heeft de eerste opnames heropend. Opnames van bitcoin via het bitcoinnetwerk zijn volgens de netwerkstatus van Binance uiterlijk sinds 8 uur Nederlandse tijd weer mogelijk, ether via het Ethereum-netwerk, USDT en USDC via Ethereum en BNB Smart Chain en BNB volgden rond 8:48 uur (7:48 uur UTC). Verdere netwerken van fase één volgen stap voor stap. Welke 15 netwerken eerst opengaan en waar klanten nu op moeten letten, staat in Binance opent opnames weer.

Achter de Binance-hack van 29 oktober 2026 zit volgens twee toonaangevende blockchainonderzoekers Noord-Korea. TRM Labs schrijft de aanval met grote zekerheid toe aan TraderTraitor, een Noord-Koreaanse staatshackersgroep, en Chainalysis ziet dezelfde groep als de waarschijnlijke dader. Binance zelf noemt geen aanvaller, schat de schade op ongeveer 6,3 miljard dollar en wil de opnames volgens een aankondiging op X binnen 48 uur weer openen, dus uiterlijk zondagochtend. Hier staat gebundeld wat er bekend is over de grootste cryptoroof ooit.

De Binance-hack in het kort

• Dader: TRM Labs noemt TraderTraitor uit Noord-Korea, Chainalysis ziet dezelfde groep; Binance en autoriteiten bevestigen dat niet.
• Schade: ongeveer 6,3 miljard dollar volgens Binance, 6,36 miljard volgens TRM Labs, verdeeld over tien blockchains.
• Begin: 29 oktober, 21.05 uur; het grootste deel ging binnen zo'n 20 minuten weg, een tweede golf volgde rond 0.05 uur.
• Bevroren: ongeveer 2,7 miljard dollar volgens TRM Labs, ongeveer 3 miljard volgens Binance, vooral door Tether en Circle.
• Nog bij de aanvaller: meer dan 420.000 ETH en 18.270 BTC, samen ongeveer 2,4 miljard dollar.
• Klanten: Binance vergoedt alle verliezen; stortingen werken, opnames moeten uiterlijk zondag 1 november rond 5.36 uur weer kunnen.

Hoe de avond op de markt verliep, staat in onze tijdlijn met liveticker, het eerste bericht in ons verslag van de Binance-hack.

Wie zit achter de Binance-hack? Het spoor naar Noord-Korea

TRM Labs baseert de toeschrijving op eigen on-chaindata en informatie van buiten de blockchain. Het patroon lijkt op twee eerdere aanvallen: de hack van beurs Bybit in februari 2025 met 1,5 miljard dollar schade, die de FBI aan TraderTraitor toeschreef, en de aanval op KelpDAO in april 2026. In alle drie gevallen kreeg de wallet van de aanvaller vooraf startgeld uit de mixer Tornado Cash, en lagen de benodigde handtekeningen al klaar voordat er geld bewoog.

Ook Chainalysis-topman Jonathan Levin houdt TraderTraitor voor de waarschijnlijke dader. Zijn onderzoekers vonden volgens SecurityWeek opbrengsten van de aanval op Bitget van vorige maand, vermengd met de buit van de Binance-hack. Binance werkt naar eigen zeggen samen met opsporingsdiensten, maar noemt geen aanvaller. Een officiële toeschrijving door een overheid is er nog niet.

TraderTraitor is een subgroep van het Noord-Koreaanse hackersnetwerk dat in het Westen meestal als Lazarus bekendstaat. De groep richt zich op medewerkers van cryptobedrijven, vaak via vervalste vacatures of handelsprogramma's, om toegang te krijgen tot interne systemen. Dat past bij wat Binance over de inbraak zegt.

Hoe verliep de Binance-hack?

Volgens de officiële mededeling van Binance was de laptop van een DevOps-engineer gecompromitteerd. Daarmee kwam de aanvaller in een servicecontainer en diende hij ongeautoriseerde opnames in. Een gelekte private key heeft Binance niet gevonden. TRM Labs gaat verder: omdat wallets op tien blockchains in hetzelfde tijdvak met gewone, geldig ondertekende overboekingen werden leeggehaald, kon de aanvaller kennelijk het ondertekeningssysteem van de hot wallets zelf voor zich laten werken. Een enkele gestolen sleutel of een phishingpagina verklaart dat niet.

Op Ethereum gebruikte hij daarvoor de functie EIP-7702. In onze eigen on-chain-analyse hebben we de beslissende transactie nagekeken: 50 vooraf ondertekende machtigingen voor de hot wallet „Binance 14”, één per mogelijk transactienummer, zodat er zeker één raak was. Die voorbereiding wijst erop dat zijn toegang tot het ondertekeningssysteem beperkt was in de tijd.

Waar is het geld van de Binance-hack?

Ongeveer 2,7 miljard dollar is volgens TRM Labs bevroren, Binance zelf spreekt van ongeveer 3 miljard. Het grootste deel blokkeerden de uitgevers van stablecoins: Tether ongeveer 1,77 miljard USDT, Circle ongeveer 825 miljoen USDC. Hoe we de blokkades zelf natelden, staat in USDT bevroren. Daarnaast bevroor Ripple 40,5 miljoen RLUSD, World Liberty Financial 27,8 miljoen USD1, en de Security Council van Arbitrum haalde om 1.08 uur ongeveer 30 miljoen dollar aan ETH en ARB uit de wallet van de aanvaller.

Buiten bereik van de uitgevers liggen meer dan 420.000 ETH en 18.270 BTC, samen ongeveer 2,4 miljard dollar. De aanvaller gebruikte de tijd voor de blokkades: ongeveer 325 miljoen USDT ruilde hij via UniswapX en vergelijkbare diensten met meer dan 10 procent korting in voor zo'n 122.300 ETH, 60 miljoen USDT zette hij bij Aave om er ongeveer 19.760 ETH tegen te lenen, en op Tron belandde 300 miljoen USDT bij het leenprotocol JustLend. De bitcoin knipt hij op in stukken van 1.000 en 100 BTC om het spoor te wissen. Anders dan bij Bybit leunt de groep deze keer minder op bruggen tussen blockchains en meer op grote ruiltransacties en leenprotocollen. Op Tron wisselde de aanvaller volgens Elliptic bovendien 234 miljoen USDT om voor 638 miljoen TRX, waardoor de TRX-koers binnen twee uur ruim 9 procent steeg; hoe dat verliep en hoeveel TRX de aanvaller nog heeft, staat in onze analyse van de TRX-koers na de Binance-hack.

Wanneer kun je weer opnemen bij Binance?

Stortingen werken volgens Binance normaal. Opnames blijven stilgezet zolang de beurs de opnamedienst en de bijbehorende adressen opnieuw beveiligt. Om 5.36 uur kondigde Binance aan ze binnen 48 uur weer te openen. Dat is uiterlijk zondag 1 november rond 5.36 uur. Of alle munten tegelijk vrijkomen of stap voor stap, heeft Binance in het midden gelaten. Welke netwerken al vóór de volledige stop gepauzeerd waren, staat in ons stuk over Binance-opnames.

Service Update. Deposits remain unaffected and continue to operate as normal. Withdrawals remain paused while our team completes a security revamp of the withdrawal service and its related addresses. We expect to resume within 48 hours, and will update with further details.

Binance (@binance) 30 oktober 2026

Vergoedt Binance de verliezen van de hack?

Ja, volgens eigen toezegging. Binance dekt alle verliezen uit het noodfonds SAFU en uit eigen middelen. Het SAFU-fonds houdt ongeveer 15.000 bitcoin aan. Een nieuw reservebewijs wil Binance publiceren zodra de beveiligingswerkzaamheden zijn afgerond.

Wie grotere bedragen niet op een beurs wil laten staan, bewaart ze zelf, bijvoorbeeld in een hardware wallet, of spreidt zijn tegoed over crypto exchanges met MiCA-vergunning.

Wat de Binance-hack betekent voor bitcoin, BNB en de markt

Vrijdagochtend om 11.30 uur kostte bitcoin volgens CoinMarketCap 77.296 dollar, 3,4 procent minder dan 24 uur eerder. BNB verloor 5,4 procent tot 700,66 dollar, ether 3,9 procent tot 2.226 dollar, Solana 3,5 procent tot 96,51 dollar. Afgezet tegen de omvang van de roof is dat een beheerste daling, uitgelegd in Bitcoin koers na de Binance-hack. Het Noord-Korea-spoor heeft voor de markt een nuchtere gevolgtrekking: staatshackers houden hun buit niet vast, ze wisselen hem in porties om over weken. De meer dan 420.000 ETH bij de aanvaller zijn daarom de post die handelaren het scherpst volgen.

Onze inschatting: voor klanten van Binance verandert de vraag naar de dader weinig. Twee momenten tellen: of de opnames tegen zondag echt weer lopen, en of het aangekondigde reservebewijs volledige dekking laat zien. Komt allebei, dan neemt de druk op BNB en de markt af. Loopt een van beide uit, dan wordt een beveiligingsincident een vertrouwenskwestie.

Alle artikelen over de Binance-hack

• Wat er gebeurde: De Binance-hack, On-chain-analyse, Tijdlijn van de crash, USDT bevroren
• Je geld: Binance-opnames
• Markt: Bitcoin koers na de hack, Hoe diep kan bitcoin zakken?, BNB crash, Ethereum crash, Solana crash, Bitcoin shorten
• Achtergrond: De grootste crypto-hacks ooit