Lazarus Group vermoedelijk achter diefstal van 6,3 miljard dollar uit Binance-hotwallet
Blockchainonderzoekers hebben de diefstal van ongeveer 6 miljard dollar bij Binance op 29 oktober gekoppeld aan de Noord-Koreaanse Lazarus Group, hoewel de exacte bedragen en de toeschrijving betwist blijven. Binance heeft de identiteit van de aanvaller niet bevestigd, en de omvang zou er de grootste cryptodiefstal ooit van maken.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
De gerapporteerde omvang van de diefstal
Blockchainonderzoekers schatten de waarde van de diefstal bij Binance op 29 oktober tussen 6,3 miljard en 6,36 miljard dollar, afhankelijk van de bron. Crypto.news meldde het bedrag als ongeveer 6,3 miljard dollar, terwijl TRM Labs ongeveer 6,36 miljard dollar naar buiten zag stromen uit door Binance beheerde wallets op tien netwerken, waaronder Ethereum, Bitcoin, Tron, Solana en de XRP Ledger. CoinDesk beschreef het verlies als bijna 6 miljard dollar, een afgerond cijfer dat binnen dezelfde bandbreedte valt.
Het verschil tussen de schattingen weerspiegelt hoe de geldstromen zijn geteld, en niet een discussie over de kern van de gebeurtenis. TRM stelt dat het merendeel van de uitstroom plaatsvond in ongeveer 20 minuten, vanaf 20:05 UTC, met ongeveer 3,79 miljard dollar op Ethereum, 1,47 miljard dollar op Bitcoin en 628 miljoen dollar op Tron. Daarnaast identificeerde het 233,46 miljoen XRP, ter waarde van bijna 296 miljoen dollar, die vijf Binance-wallets verlieten voordat de activiteit op Ethereum begon.
Toeschrijving aan Lazarus en TraderTraitor
TRM Labs schreef de aanval toe aan TraderTraitor, een Noord-Koreaanse hackeenheid die het associeert met de Lazarus Group, en stelde dat het tot die conclusie kwam met een hoge mate van zekerheid. TRM heeft niet publiekelijk al het bewijs achter de toeschrijving bekendgemaakt. Blockchainonderzoeker ZachXBT identificeerde Lazarus afzonderlijk als waarschijnlijke aanvaller. Beveiligingsonderzoekers die door CoinDesk werden geciteerd, wezen eveneens naar Lazarus, terwijl Binance nog niet heeft bevestigd wie de diefstal heeft uitgevoerd.
De FBI heeft TraderTraitor eerder gelinkt aan de diefstal bij Bybit in februari 2025, waarbij ongeveer 1,5 miljard dollar uit die beurs werd weggesluisd. Amerikaanse autoriteiten beschuldigen Noord-Koreaanse hackoperaties ervan cryptocurrency te stelen om de wapenprogramma's van het land te financieren. De toeschrijving rust in dit stadium op de analyse van particuliere onderzoekers en niet op een officiële bevinding van een overheid.
Hoe de wallet werd gecompromitteerd
De technische beoordeling door Blockaid identificeerde een ongebruikelijke Ethereum-transactie met 50 EIP-7702-autorisaties gericht op Binance 14, een van de drukste hotwallets van de beurs. EIP-7702 stelt een Ethereum-wallet in staat smart contract-code te autoriseren om namens haar te handelen. Volgens Ido Ben-Natan, medeoprichter en CEO van Blockaid, bereidde de aanvaller autorisaties voor op 50 opeenvolgende transactietellers, zodat er één zou aansluiten op de huidige teller van de wallet. Slechts één slaagde, en die stond een kwaadaardig contract toe activa uit de wallet te verplaatsen.
Ben-Natan zei dat de aanvaller de hotwallet in feite had herprogrammeerd zodat één operator haar kon leegtrekken, inclusief alle fondsen die later zouden worden gestort. Blockaid schatte dat ongeveer 2,5 miljard dollar Binance 14 verliet, waaronder 167.464 ETH en meer dan 1,6 miljard dollar aan USDT. TRM stelt dat de voorbereiding ten minste 36 uur vóór de diefstal begon, met drie kleine opnames via Tornado Cash die werden gebruikt om een door de aanvaller gecontroleerde wallet te financieren waarmee de kwaadaardige code werd getest.
Resterende fondsen en witwasrisico
Onchain Lens meldde dat de aanvaller 17.260 ETH, ter waarde van ongeveer 38,82 miljoen dollar, naar een nieuwe wallet heeft verplaatst, wat zorgen oproept dat de fondsen via Tornado Cash of andere mixers witgewassen kunnen worden. Dezelfde tracker meldde dat de aanvaller nog steeds ongeveer 480.720 ETH bezit, met een waarde van circa 1,08 miljard dollar, wat uitgevers van tokens niet kunnen bevriezen. Ben-Natan zei dat het team van Blockaid de gestolen activa blijft volgen en dat onderzoekers verdere overboekingen met Bitcoin en Tron hebben geïdentificeerd. Of de resterende saldi kunnen worden teruggevorderd, is nog niet gemeld.
Waarom het ertoe doet
Voor traders
Voortdurende overboekingen door de aanvaller en mogelijk gebruik van mixers kunnen de liquiditeit en de koersbeweging rond ETH, USDT en XRP volatiel houden terwijl de on-chain tracering doorgaat.
Voor beleggers
Een diefstal van deze omvang bij de grootste beurs roept vragen op over bewaarpraktijken en tegenpartijrisico bij gecentraliseerde platforms.
Voor ontwikkelaars
De EIP-7702-autorisatie-exploit laat zien dat gedelegeerde walletcode kan worden misbruikt via nonce-manipulatie, waardoor wallet- en hotwalletontwerpen moeten worden herzien.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
