Hacks en beveiligingsincidenten bij cryptoexchanges

Tijdlijn van incidenten

1. Binance · oktober 2026 · ~$ 6,3 mld.

   Op 29 oktober 2026 hebben aanvallers ongeveer 6,3 miljard dollar aan crypto uit hot wallets van Binance weggesluisd, de grootste cryptodiefstal ooit. De FBI schreef de aanval toe aan de Noord-Koreaanse groep TraderTraitor.

   Afhandeling: Binance zei de verliezen zelf te dragen in plaats van ze door te berekenen aan gebruikers en had op 2 november ongeveer 95% gedekt (het restant betreft minder liquide tokens). Opnames, die tijdens het incident waren opgeschort, zijn vanaf 1 november 2026 gefaseerd weer geopend.

   Bron (opgehaald op 3 nov 2026)

2. Coinbase · oktober 2026

   Een beveiligingsincident bij Amplitude, een externe leverancier van analysesoftware, heeft de contactgegevens van een klein deel van de Coinbase-klanten blootgesteld; Coinbase zei niet hoeveel klanten zijn getroffen.

   Afhandeling: Coinbase zei dat de eigen systemen niet zijn gehackt en dat klantengelden niet zijn getroffen; het informeert de getroffen klanten en toezichthouders.

   Bron (opgehaald op 3 nov 2026)

3. Coinbase · mei 2025

   Aanvallers omkochten externe supportmedewerkers in het buitenland om persoonsgegevens (namen, contactgegevens, gedeeltelijke SSN's, ID-afbeeldingen) van ongeveer 70.000 klanten te stelen en eisten vervolgens 20 miljoen dollar losgeld.

   Afhandeling: Coinbase weigerde het losgeld te betalen en zette een beloning van 20 miljoen dollar op de aanvallers; in een SEC-melding raamde het de kosten voor herstel en schadevergoeding op 180 tot 400 miljoen dollar.

   Bron (opgehaald op 10 aug 2026)

4. Bybit · februari 2025 · ~$ 1,5 mld.

   Op 21 februari 2025 stalen aanvallers die verbonden zijn aan de Lazarus Group van Noord-Korea circa 1,5 miljard dollar aan Ethereum uit een cold wallet van Bybit door een multisig-ondertekeningsinterface van een externe partij (Safe UI) te compromitteren, destijds de grootste cryptoexploit ooit, tot de diefstal bij Binance in oktober 2026.

   Afhandeling: Bybit heeft het incident openbaar erkend, met een tijdlijn, en een Recovery Bounty Program gelanceerd dat 10% van de teruggevonden gelden als beloning biedt.

   Bron (opgehaald op 10 aug 2026)

5. KuCoin · januari 2025 · ~$ 297 mln.

   Bekende schuld aan de aanklacht van het Amerikaanse ministerie van Justitie (DOJ) wegens het exploiteren van een geldtransferbedrijf zonder vergunning; circa 297 miljoen dollar aan strafrechtelijke verbeurdverklaring en boetes.

   Afhandeling: Stemde ermee in zich minstens twee jaar uit de Amerikaanse markt terug te trekken; de oprichters Chun Gan en Ke Tang zijn uit het management gezet.

   Bron (opgehaald op 10 aug 2026)

6. Kraken · juni 2024 · ~$ 3,0 mln.

   Beveiligingsonderzoekers verbonden aan CertiK maakten misbruik van een bug die saldo's kunstmatig opblies, die via het bugbountyprogramma van Kraken was gemeld, en namen bijna 3 miljoen dollar op uit de treasury van Kraken. Daarna eisten ze een beloning voordat ze de gelden teruggaven.

   Afhandeling: Kraken heeft de kwetsbaarheid binnen ongeveer een uur na de melding verholpen; CertiK heeft de gelden daarna teruggegeven (min transactiekosten). De gelden kwamen uit de treasury van Kraken, niet uit wallets van klanten.

   Bron (opgehaald op 10 aug 2026)

7. Gemini · november 2022 · ~$ 1,1 mld.

   Opnames bij Gemini Earn werden op 16 november 2022 stopgezet toen kredietpartner Genesis Global Capital aflossingen bevroor (circa 1,1 miljard dollar verschuldigd aan Earn-gebruikers); dit was geen hack van de exchange van Gemini.

   Afhandeling: Gemini kondigde (februari 2024) een schikking aan waarbij 100% van de digitale activa van Earn-gebruikers in natura wordt teruggegeven; tegen medio 2024 was meer dan 2 miljard dollar aan crypto verdeeld onder ongeveer 232.000 gebruikers.

   Bron (opgehaald op 10 aug 2026)

8. Crypto.com · januari 2022 · ~$ 35,0 mln.

   Aanvallers omzeilden 2FA en deden ongeautoriseerde opnames van circa 4.836 ETH en circa 444 BTC (circa 35 miljoen dollar) van 483 gebruikersaccounts.

   Afhandeling: Crypto.com zei dat alle getroffen gebruikers zijn vergoed; het heeft alle 2FA-tokens ingetrokken, opnieuw inloggen en het opnieuw instellen van 2FA afgedwongen en de beveiliging verder aangescherpt.

   Bron (opgehaald op 10 aug 2026)

9. KuCoin · september 2020 · ~$ 281 mln.

   Privésleutels van hot wallets raakten gecompromitteerd; er werd ongeveer 281 miljoen dollar aan crypto weggesluisd, toegeschreven aan de Lazarus Group van Noord-Korea.

   Afhandeling: KuCoin zei dat gestolen activa zijn teruggehaald of door een verzekering zijn gedekt; stortingen en opnames voor alle tokens zijn uiterlijk in november 2020 hervat.

   Bron (opgehaald op 10 aug 2026)

10. Binance · mei 2019 · ~$ 40,7 mln.

    Hackers hebben in één transactie 7.000 BTC (circa 40,7 miljoen dollar) uit een hot wallet van Binance opgenomen, nadat ze via phishing en andere aanvallen API-sleutels en 2FA-codes van gebruikers in handen hadden gekregen.

    Afhandeling: Binance heeft het verlies volledig gedekt uit zijn SAFU-noodfonds; er zijn geen gelden van gebruikers getroffen. Opnames waren ongeveer een week opgeschort tijdens een grondige herziening van de beveiliging.

    Bron (opgehaald op 10 aug 2026)

11. Bitstamp · januari 2015 · ~$ 5,3 mln.

    18.866 BTC (circa 5,26 miljoen dollar) gestolen uit een hot wallet nadat een wekenlange phishingcampagne de machine van een systeembeheerder en het bestand wallet.dat had gecompromitteerd.

    Afhandeling: De cold storage bleef ongemoeid; Bitstamp heeft zijn platform herbouwd vanuit veilige back-ups, Stroz Friedberg ingehuurd voor forensisch onderzoek en is overgestapt op multisignature-wallets met cold storage.

    Bron (opgehaald op 10 aug 2026)

Geen grote incidenten geregistreerd

In onze gedocumenteerde gegevens staat geen groot beveiligingsincident bij Bitvavo, Gate, MEXC en OKX.

Het ontbreken van een vermeld incident is geen garantie — we registreren alleen incidenten die we kunnen verifiëren.

Veelgestelde vragen