Binance-hack: 6,36 miljard dollar weggesluisd in 20 minuten na voorbereidingsperiode van aanvallers

Uit het verslag van TRM blijkt dat de aanvaller de operatie vooraf heeft ingeoefend. Op de ochtend van 28 oktober kwamen Tornado Cash-stortingen binnen in een door de aanvaller beheerde wallet. De kwaadaardige code werd getest op twee nieuwe Ethereum-wallets en daarna op een derde, waar testfondsen werden verplaatst en teruggestuurd. De hoofdaanval begon ongeveer vier uur na deze laatste repetitie.

Verschil van mening over de voorbereidingstijd

Bronnen verschillen over hoe lang de aanvallers actief waren vóór de diefstal. TRM Labs beschrijft in zijn onderzoek van 29 oktober een voorbereidingsperiode van minstens 36 uur, beginnend op 28 oktober. Crypto Briefing meldt dat de aanvallers naar verluidt acht weken toegang hadden tot systemen van Binance, met een voorbereiding die uiterlijk in juni 2026 begon, en dat het testen van interne toegang ongeveer 36 uur vóór de aanval plaatsvond. De twee verslagen spreken elkaar niet tegen wat de 36 uur betreft, maar de claim van acht weken heeft geen overeenkomstig spoor op de blockchain in de berichtgeving van TRM en berust op de gemelde tijdlijn van het eigen onderzoek van Binance. Lezers moeten de figuur van acht weken dus behandelen als gemeld, niet als onafhankelijk bevestigd.

Hoe de toegang werd verkregen

De herkomst van de autorisaties is nog onopgehelderd. Ethlabs-onderzoeker Derek Chiang zei dat de aanvaller de privésleutel van de wallet had kunnen verkrijgen, of de eigenaar had kunnen bewegen een kwaadaardige autorisatie te ondertekenen. Crypto Briefing, dat zich beroept op het onderzoek van Binance, stelt dat de inbreuk voortkwam uit een gelaagde social-engineeringcampagne, die onder meer een nepsollicitatiegesprek en gemanipuleerde softwareontwikkeltools omvatte, en dat privésleutels niet zijn gecompromitteerd. Het verslag van Binance en de on-chain reconstructie van TRM sluiten op dit punt nog niet op elkaar aan.

Reactie en herstel

Binance heeft opnames onmiddellijk stilgelegd en ze daarna gefaseerd weer opengesteld. De beurs zei ongeveer 6,34 miljard dollar uit bedrijfsmiddelen te hebben vrijgemaakt om de verliezen te dekken. Op 31 oktober meldde Binance dat ongeveer 98% van de gestolen activa was aangevuld. Partners en uitgevers van stablecoins bevroren of onderschepten naar schatting 2,85 tot 3 miljard dollar van de gestolen fondsen. Binance heeft bovendien een onafhankelijke beveiligingsevaluatie laten uitvoeren.

Waarom het ertoe doet

Voor traders

Het heropenen van opnames en de claim van 98% aanvulling zijn de variabelen op korte termijn om in de gaten te houden, omdat ze van invloed zijn op saldi bij beurzen en de liquiditeitsomstandigheden.

Voor beleggers

Een inbreuk van 6,36 miljard dollar die Binance volgens eigen zeggen uit bedrijfsreserves heeft gedekt, roept vragen op over het bewaarrisico bij beurzen. Die vragen zullen waarschijnlijk de beoordeling van tegenpartijen bepalen.

Voor ontwikkelaars

De delegatie-aanval via EIP-7702 en de compromittering van de goedkeuringsketen laten zien dat de beveiliging van hotwallets afhangt van interne autorisatiecontroles, en niet alleen van de bescherming van sleutels.