Binance becijfert de hack op 6,3 miljard dollar: dit kun je nu doen

Op 29 oktober 2026 zei Binance voor het eerst zelf waar de aanval op de beurs begonnen zou zijn: bij een werkapparaat. Volgens het voorlopige onderzoek dat het bedrijf op zijn account op X publiceerde, zou het incident de overgenomen laptop van een DevOps-engineer betreffen. Via dat apparaat zou een aanvaller toegang hebben gekregen tot een servicecontainer en van daaruit niet-geautoriseerde opnametransacties hebben ingediend. In hetzelfde bericht becijferde Binance de geschatte totale schade op ongeveer 6,3 miljard dollar.

Dat is het eerste cijfer dat van de beurs zelf komt. De schattingen van de dagen ervoor kwamen uit de analyse van de blockchaindata en lagen lager. Als je klant bent, weegt het tweede deel van het bericht zwaarder dan het bedrag: Binance zegt geen aanwijzing te hebben gevonden dat de private keys van zijn wallets zijn weggelekt. Wat dat betekent en wat het niet betekent, staat verderop.

Wat Binance over de oorzaak meldt: een overgenomen laptop in het DevOps-team

DevOps is de afdeling die bij een technologiebedrijf de brug tussen softwareontwikkeling en de lopende operatie houdt. Wie daar werkt, heeft beroepsmatig toegangen die gewone medewerkers niet hebben: tot systemen die op de achtergrond geld verplaatsen, rekeningen afstemmen en opnames vrijgeven.

Precies daar begint de uitleg van Binance. In het bericht op X van 29 oktober 2026 staat dat het eerste onderzoek erop wijst dat het beveiligingsincident een overgenomen laptop van een DevOps-engineer omvat. De exacte aanvalsroute komt pas met het verdere onderzoek vast te staan. Beide punten staan in de voorwaardelijke vorm, en dat is geen toeval: een week na een incident van deze omvang is het forensisch onderzoek niet afgerond.

Aan de medewerker zelf wordt in het bericht geen verwijt gemaakt. Een apparaat kan in handen van aanvallers vallen via malware in een download, via een bewerkte ontwikkelbibliotheek of via een bericht dat op één persoon is gericht. Welke van die routes het was, heeft Binance niet gezegd.

Servicecontainer en opname-interface: hoe de route volgens Binance liep

Een servicecontainer is een afgesloten softwarepakket waarin één dienst draait, bijvoorbeeld het vrijgeven van opnames. Containers worden gebruikt zodat een dienst geïsoleerd blijft en de rest van de installatie niet raakt als hij uitvalt. Die isolatie beschermt echter alleen zo ver als de toegang ertoe beschermd is.

Volgens de uitleg van Binance kreeg de aanvaller via de laptop toegang tot zo'n container en zette daarna opnames in gang die niemand had geautoriseerd. Technisch is dat iets heel anders dan wat leken onder een gehackte wallet verstaan. Er is geen sleutel gekraakt. Er is een systeem zover gebracht dat het een uitbetaling voor geldig hield.

Hoe dat mechanisme op de blockchain uitzag, schreven we op 29 oktober op in ons bericht over de uitstroom uit de hot wallet.

Geen gestolen private keys: waarom dat onderscheid telt

Een private key is de tekenreeks waarmee een saldo op een blockchainadres kan worden verplaatst. Wie hem heeft, kan de middelen uitgeven, en niemand kan dat terugdraaien. Daarom is de vraag of sleutels zijn weggelekt na elk incident de belangrijkste.

Binance zegt daarvoor geen aanwijzing te hebben gevonden. Als dat zo blijft, betekent het: de adressen van de beurs staan nog onder haar controle, en wat daar nog ligt, kan worden verplaatst zodra het gat gedicht is. Het betekent niet dat de middelen die al zijn weggevloeid veilig waren. Die overboekingen zijn op de blockchain afgerond.

Voor de beoordeling betekent het ook dat de bewaring hier niet op de cryptografie is stukgelopen, maar op een toegang in de operatie. Een hardware wallet beschermt je tegen precies dat: het apparaat geeft de sleutel nooit aan een besturingssysteem, en geen servicecontainer kan het opdrachten geven. Welke apparaten daarvoor in aanmerking komen en wat ze kosten, staat in onze vergelijking van hardware wallets.

6,3 miljard dollar: de bandbreedte van de schadecijfers van 29 oktober

De opgaven over de omvang lopen sterk uiteen, en dit weekend zijn ze nog in beweging. Naast elkaar gezet, peildatum 30 oktober 2026:

• Ongeveer 2,8 miljard dollar, weggesluisd uit een hot wallet: de schatting uit de blockchaindata waarmee de berichten op 29 oktober begonnen.
• Meer dan 5 miljard dollar: zo staat het in het liveblog van CoinDesk van 29 oktober, op een moment waarop ongeveer 2,5 miljard dollar als bevroren gold.
• Ongeveer 6,3 miljard dollar: de schatting van Binance zelf, op 29 oktober gepubliceerd op X.
• Ongeveer 6,36 miljard dollar: de rekensom van blockchain-analysebedrijf TRM Labs, waarbij elk bezit is gewaardeerd tegen de koers op het moment van uitstroom. Tegen de koersen van 30 oktober komt hetzelfde pakket volgens die opgave op ongeveer 6,23 miljard dollar.

Een van deze cijfers op het andere gladstrijken zou verkeerd zijn. De opgaven meten iets anders: de on-chain-schattingen tellen wat naar geïdentificeerde aanvallersadressen ging, het cijfer van de beurs omvat de totale schade volgens haar eigen rekensom. Hoe die 6,3 miljard tot stand komt, heeft Binance niet uitgesplitst.

Tussen 2,5 en 2,7 miljard bevroren: Tether, Circle en het Arbitrum Security Council

Een deel van de buit beweegt niet meer. Stablecoins als USDT en USDC lopen via smart contracts waarvan de uitgevers afzonderlijke adressen kunnen blokkeren. Precies dat is gebeurd, en het is de reden dat de balans van dit incident anders uitpakt dan die van grote beursdiefstallen uit eerdere jaren.

Binance geeft de geverifieerde bevroren middelen op als 2,54 miljard dollar, waarvan ruim 2,37 miljard uit blokkades van Tether en Circle. In het bericht van 29 oktober noemt de beurs ongeveer 3 miljard dollar die met partners uit de blockchainsector is bevroren. TRM Labs telt per 30 oktober, 00:30 UTC, ongeveer 2,7 miljard dollar die door uitgevers en door het Security Council van de blockchain Arbitrum is geblokkeerd, en ongeveer 2,4 miljard dollar die de aanvaller nog in bezittingen buiten het bereik van de uitgevers houdt. Wat de blokkades van Tether en Circle precies omvatten, hebben we apart nageteld.

Wat bevroren is, is niet teruggehaald. Een blokkade verhindert dat de aanvaller de tokens doorschuift of ruilt. Aan wie ze uiteindelijk toevallen en via welke procedure, wordt pas later beslist, en bij eerdere zaken duurde dat jaren.

SAFU-fonds en bedrijfsmiddelen: wat Binance over vergoeding toezegt

SAFU staat voor Secure Asset Fund for Users, een reservepot die Binance in 2018 heeft opgezet om klantverliezen na beveiligingsincidenten af te dekken. Mededirecteur Yi He schreef op X dat Binance alle verliezen uit het incident draagt via het SAFU-fonds en eigen bedrijfsmiddelen, en dat het geld van klanten veilig is.

Het fonds is geen theoretische belofte. Binance heeft het in 2019 ingezet, toen bij een diefstal ongeveer 7.000 bitcoin van de beurs wegvloeide; de klanten kregen hun saldo toen vergoed. Hoe groot de pot vandaag is, heeft Binance op 29 oktober niet gemeld, en een tijdpad voor de vergoeding evenmin.

Een toezegging van dit soort is een wilsverklaring van het bedrijf, geen wettelijk depositogarantiestelsel. Een bankrekening valt onder zo'n stelsel; een saldo bij een cryptobeurs niet, ook niet bij een beurs met een vergunning. Wil je weten welke aanbieders onder MiCA een vergunning hebben en hoe zij klantvermogen scheiden, dan vind je dat in onze vergelijking van aanbieders.

Stortingen en opnames opgeschort: de stand op 30 oktober

Binance heeft stortingen en opnames tijdelijk stilgelegd. Naar onze stand van 30 oktober komen ze per coin weer op gang: bij Solana en XRP stonden ze het laatst nog in pauze, terwijl Bitcoin en Ethereum alweer werden verwerkt. Een datum voor de volledige vrijgave heeft de beurs niet genoemd.

Voor jou is dit het punt dat het meest pijn doet, omdat het niets met de kop te maken heeft: zolang de opname voor jouw coin uitstaat, kom je niet bij je saldo, los van de vraag of de aanval het überhaupt raakte. Een overboeking die je in deze fase in gang zet, kan in de wachtrij blijven hangen zonder dat je hem kunt terugnemen.

TraderTraitor: wat TRM Labs aan de aanvaller toeschrijft

Sinds de nacht ligt er een toeschrijving van een huis dat zulke zaken beroepsmatig onderzoekt. Blockchain-analysebedrijf TRM Labs schrijft de aanval toe aan de groep TraderTraitor, die het de speciale eenheid van Noord-Korea voor hackaanvallen noemt, en zegt dat oordeel met hoge zekerheid te vellen. De inschatting rust naar eigen opgave op data uit de blockchain en op bevindingen daarbuiten. Dezelfde groep kreeg van de FBI de aanval op de beurs Bybit in 2025 toegeschreven.

Het verloop dat TRM Labs beschrijft, vult de uitleg van de beurs aan op één punt dat voor de beoordeling telt. Op Ethereum zou een hot wallet van Binance via een delegatie volgens de standaard EIP-7702 zijn omgebouwd tot een extern bestuurde leegsluizer. Op negen andere blockchains zouden de wallets daarentegen regulier ondertekende overboekingen hebben verstuurd, waaruit het bedrijf concludeert dat de ondertekeningsinfrastructuur van die hot wallets is overgenomen. De uitstroom zou zich over tien blockchains hebben verdeeld, het grootste deel in ongeveer 20 minuten vanaf 20:05 UTC. Binance zelf heeft verklaard geen aanwijzing voor weggelekte private keys te hebben gevonden. Beide uitleggen staan naast elkaar, en het verschil is niet opgelost.

Voor je toegang tot het saldo en voor de vergoedingstoezegging verandert de toeschrijving niets. Het is de inschatting van een analysebedrijf en geen vaststelling van een autoriteit; Binance heeft zich er niet bij aangesloten en geen dader genoemd. Onbelangrijk voor het terughalen is ze toch niet, want bij aanvallen die aan een staat werden toegeschreven, bleven geblokkeerde middelen in het verleden jarenlang in procedures vastzitten.

Ongeveer 1,5 miljard dollar aan liquidaties: de marktgevolgen op vrijdagochtend

De markt heeft heftiger op het bericht gereageerd dan op het cijfer. Volgens de data van CoinGecko kost bitcoin op 30 oktober 2026 77.563 dollar, een min van 3,20 procent binnen 24 uur. Ether staat op 2.225,86 dollar en verliest 4,03 procent, en daarmee meer dan bitcoin. BNB, de token van de beurs zelf, draagt het incident het duidelijkst: 702,35 dollar na een min van 6,27 procent. Solana staat op 96,73 dollar met min 3,43 procent, XRP op 1,25 dollar met min 3,03 procent.

De posities met hefboom werden harder geraakt. De gedwongen liquidaties op de hele cryptomarkt liggen binnen 24 uur op ongeveer 1,5 miljard dollar; de teller houdt Coinglass bij, waarvan CoinCentral het uittreksel op 30 oktober met 1,5 miljard dollar weergeeft. De opgaven in de berichten schommelen naar meetmoment tussen 1,49 en 1,54 miljard dollar, en het grootste deel komt op kooppositie. Een lopende teller is geen vast cijfer: wie hem later opent, ziet een ander venster.

Hefboom en liquidatie: wat een geblokkeerd account bij open posities betekent

Een liquidatie is het gedwongen sluiten van een positie met hefboom door de beurs, zodra het onderpand niet meer toereikend is. Bij een vijfvoudige hefboom is daarvoor ongeveer 20 procent koersbeweging tegen je al genoeg, bij een tienvoudige ongeveer 10 procent. De cijfers hierboven zijn het resultaat van die mechaniek op één dag.

Het bijzondere bij een incident als dit: gepauzeerde stortingen en opnames nemen je de mogelijkheid om onderpand bij te storten. Wie een positie met hefboom open heeft en vers saldo wilde bijleggen, kan dat niet als de storting voor de betreffende coin stilstaat. De positie loopt toch door en wordt toch geliquideerd.

Bewaring en sleutelbeheer: hardware wallet tegen beursaccount

Het incident legt een scheidslijn bloot die in het dagelijks gebruik makkelijk vervaagt. Een saldo op een beursaccount is een vordering op het bedrijf; de sleutels houdt de beurs. Een saldo in je eigen wallet is bezit; de sleutels houd je zelf. In het eerste geval hangt de veiligheid aan de operationele veiligheid van een concern, in het tweede aan je eigen zorgvuldigheid.

Beide hebben een prijs. Een hardware wallet kost geld en vraagt dat je je herstelwoorden zo bewaart dat vuur noch vreemden erbij komen; verlies je ze, dan is het saldo weg en kan niemand helpen. Een beurs neemt je die last af en geeft je daarvoor het risico dat deze 29 oktober heeft laten zien. Wie grotere posities houdt en er niet in handelt, verschuift de afweging doorgaans naar eigen bewaring.

Wat een gedwongen verkoop in deze situatie fiscaal oplevert, hangt af van je eigen situatie; de regels voor Nederland staan in ons overzicht over crypto en belasting.

Binance-hack: tot de vrijgave blijft het saldo vast

Het incident is door Binance bevestigd, de oorzaak is genoemd maar niet afsluitend opgehelderd, en het schadecijfer is de schatting van de beurs, geen gecontroleerde waarde. Drie dingen zijn in deze situatie zinvol:

1. Kijk na welk deel van je bezit op een beursaccount staat en welk deel in eigen bewaring, en beslis voor het deel waarin je niet handelt of het daar goed staat. De vergelijking van hardware wallets noemt de apparaten en de prijzen.
2. Zet in de fase van gepauzeerde opnames geen overboeking in gang die je niet kunt terugnemen, en open geen nieuwe positie met hefboom zolang je geen onderpand kunt bijstorten.
3. Kijk na of je aanbieder een vergunning heeft en hoe hij klantvermogen scheidt; in Nederland houdt de AFM daar toezicht op.

(Per 30 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)

Beschermen: crypto veilig bewaren en je wapenen tegen hacks zoals die bij Binance.