Op 29 oktober 2026 werd naar schatting $6,3 tot $6,4 miljard aan cryptovaluta verplaatst vanuit Binance-wallets. Het grootste deel van de transacties vond plaats in ongeveer twintig minuten. De FBI schrijft de diefstal toe aan de Noord-Koreaanse groep TraderTraitor. Ondertussen volgden blockchainonderzoekers hoe de gestolen tegoeden via verschillende netwerken werden verplaatst en zorgde een storing bij THORChain tijdelijk voor een onderbreking van swaps tussen blockchains.
1
12
58
De genoemde bedragen zijn schattingen uit afzonderlijke onderzoeken, geen sluitende gezamenlijke boekhouding. Ook zijn tegoeden die zijn verplaatst, bevroren of door Binance aan klanten worden vergoed niet hetzelfde.
Wat gebeurde er, en wie werd verantwoordelijk gehouden?
TRM Labs schatte dat ongeveer $6,36 miljard uit Binance-wallets op tien blockchains verdween. Het grootste deel werd in circa twintig minuten verplaatst, vanaf 20.05 UTC. Andere onderzoekers kwamen op andere totalen en aantallen netwerken uit: Elliptic schatte $6,43 miljard op elf blockchains, terwijl Bitquery ongeveer $6,3 miljard op negen blockchains volgde. Dat zijn uitkomsten van verschillende analyses, geen overeengekomen eindtotaal.
12
58
19
De FBI stelde dat Noord-Korea verantwoordelijk was en gaf de activiteit de naam TraderTraitor. Volgens het bureau werden de gestolen tegoeden vooral omgezet in ether (ETH).
1 Noord-Korea ontkende de beschuldiging. CoinDesk meldde dat Kim Yo Jong de aantijgingen een politieke provocatie noemde; volgens Reuters deed Noord-Korea ze af als ‘absurde retoriek’.
56
48
Berichten wijzen op een mogelijke compromittering van systemen die betrokken zijn bij het ondertekenen van Binance-wallettransacties. De bronnen die hier beschikbaar zijn, geven echter geen volledig forensisch beeld van hoe de aanvallers precies toegang kregen.
5
16
Waar ging de gestolen Solana naartoe?
Volgens berichten op basis van blockchainonderzoek was op 4 november ongeveer 81% van de 970.522 SOL die aan de diefstal werd toegeschreven, verplaatst uit wallets die met de aanvallers in verband werden gebracht. In door Arkham gevolgde wallets zou nog 182.443 SOL staan, destijds ongeveer $16,9 miljoen waard.
22
29
De SOL zou over meerdere wallets zijn verdeeld en via conversies en swaps tussen blockchains zijn verplaatst, onder meer via THORChain. Sommige berichten beschreven een route via USDC en Ethereum, waarna tegoeden richting bitcoin gingen. Dit zijn gevolgde transactieroutes, geen bewijs dat elk token precies dezelfde weg aflegde of dat alles is verkocht of omgezet in contant geld.
23
29
Dat onderscheid is belangrijk bij uitspraken over de markt. Een bericht meldde dat de SOL-koers tijdens de diefstal op korte termijn daalde, maar de beschikbare bronnen tonen niet aan hoeveel de hack bijdroeg aan bredere koersbewegingen. Ook onderbouwen ze de ruimere claims over de prestaties in oktober, shortposities, ETF-stromen of stortingen op exchanges niet. Een storting op een handelsplatform bewijst op zichzelf niet dat er is verkocht.
28
Waarom THORChain swaps stillegde — en wat later weer werkte
Op 31 oktober leidde een reorganisatie van een Ethereum-blok tot een probleem met een storting van 10 ETH bij THORChain. Volgens berichten gaf het protocol per ongeluk een dubbele terugbetaling uit en legde het daarna uit voorzorg swaps stil. Chainalysis zei dat die onderbreking het witwassen van tegoeden uit de Binance-diefstal onbedoeld vertraagde: zolang de pauze duurde, konden gebruikers — ook de vermoedelijke aanvallers — via veel van THORChains verbindingen geen swaps uitvoeren.
38
46
Na de update naar versie 3.21.1 hervatte THORChain swaps met Bitcoin, Ethereum en negen andere genoemde assets. Solana, BNB Smart Chain en Cosmos Hub bleven volgens het bericht over de heropening gepauzeerd.
41
Een afzonderlijk bericht, toegeschreven aan Grey Ledger, meldde dat 41 swaps die verband hielden met gevolgde adressen binnen 25 minuten na de heropening werden afgerond. Daarbij zou 368,12 ETH zijn uitbetaald. Dat is een gerapporteerd resultaat van transactietracking, geen volledige afrekening van de gestolen tegoeden en geen bewijs dat alle ontvangende adressen door dezelfde partij werden beheerd.
42
De FBI vroeg cryptodiensten, waaronder THORChain-nodebeheerders, om transacties die met de diefstal verband hielden te blokkeren. De gepubliceerde lijst bevatte 608 Ethereum-adressen, 19 Bitcoin-adressen en één Solana-adres. Omdat de nodes van THORChain onafhankelijk opereren, is het niet vanzelfsprekend hoe zo’n verzoek in de praktijk voor het hele protocol kan worden uitgevoerd.
34
40
60
Bevroren tegoeden, resterende bedragen en vergoeding voor klanten
Elliptic meldde dat uitgevers Tether en Circle ongeveer $2,8 miljard aan stablecoins hadden bevroren die met de diefstal in verband werden gebracht. Andere schattingen kwamen eveneens uit op miljarden aan bevroren of onderschepte tegoeden, maar de bedragen verschillen per bron en peildatum.
52
60
Afzonderlijke schattingen plaatsten ongeveer $3,21 tot $3,25 miljard in adressen die aan de diefstal waren gelinkt, voornamelijk in bitcoin en ether. Dit zijn momentopnames op basis van blockchaintracking. Een tegoed dat nog in een gelinkte wallet staat, is niet automatisch teruggehaald; een bevroren saldo is ook niet hetzelfde als het resterende saldo van de aanvallers.
53
60
Binance zei de verliezen van klanten te vergoeden. Volgens een bericht van 4 november had de exchange ongeveer 98% van het getroffen bedrag aangevuld. Die vergoeding aan klanten staat los van het terughalen van de gestolen cryptovaluta bij de daders.
27
50
Wat het bewijs wel — en niet — laat zien
De stevigst onderbouwde hoofdlijnen zijn: een zeer grote diefstal waarbij geld snel werd verplaatst; de FBI-toeschrijving aan de Noord-Koreaanse groep TraderTraitor, die Noord-Korea ontkent; de grootschalige verplaatsing van gestolen SOL; en een THORChain-pauze die swaps tussen blockchains tijdelijk onderbrak.
1
12
22
38
56
De beschikbare bronnen rechtvaardigen niet dat elke gemelde transactieroute als bevestigd wordt beschouwd, dat verplaatsing gelijkstaat aan succesvol verzilveren, of dat de hack aantoonbaar de bredere koersrichting van Solana bepaalde. Schattingen van bevroren tegoeden, bedragen die nog in aan de diefstal gelinkte wallets staan en geld dat Binance heeft aangevuld, beschrijven verschillende zaken en moeten apart worden gelezen.