Hoe Noord-Koreaanse hackers voor 6,3 miljard aan crypto roofden bij Binance

vrijdag, 30 oktober 2026 om 11:30

Crypto Munten, Blockchain Technologie, Bitcoin

Donderdagavond om 21.05 uur Nederlandse tijd begon het geld met bakken tegelijk weg te stromen. Twintig minuten later was het grootste deel van 6,3 miljard dollar uit de diepe digitale portemonnees van cryptobeurs Binance verdwenen. Een raid die zeker anderhalve dag was voorbereid, en die begon bij de laptop van één medewerker.

Dat schrijft blockchainonderzoeker TRM Labs, dat de roof “met grote zekerheid” toeschrijft aan TraderTraitor, een hackerseenheid van de Noord-Koreaanse staat. Binance zelf noemt nog geen dader en zette na de miljardenhack bij de cryptobeurs alle opnames stil.

De deur stond open via een engineer

Het eerste onderzoek van Binance wijst naar de gehackte laptop van een DevOps-engineer, iemand die de technische systemen van de beurs draaiend houdt. Via die laptop kwam de aanvaller in een zogeheten servicecontainer, een afgeschermd stukje software, en kon hij opnames indienen die niemand had goedgekeurd. Bewijs dat de geheime sleutels van de wallets zijn uitgelekt, vond Binance niet.

Hoe de laptop besmet raakte, heeft Binance niet verteld. Topman Richard Teng zei later op X dat het om meer ging dan één fout: “de aanvaller gebruikte niet alleen de rechten van één engineer, en dit was geen ‘actie met één klik’”. Binance vond inmiddels “extra punten waar is ingebroken”.

Anderhalve dag oefenen op testwallets

Volgens TRM begonnen de voorbereidingen minstens 36 uur eerder. De aanvaller vulde een eigen wallet via Tornado Cash, een dienst die herkomst van crypto onzichtbaar maakt, en oefende op testwallets. Op Ethereum zette hij daarna een nieuwe techniek in: met vijftig vooraf ondertekende machtigingen maakte hij van een wallet van Binance een stofzuiger die hij zelf bestuurde.

Drie minuten later ging er in één transactie 167.464 ether uit, plus 1,6 miljard aan de dollarmunt USDT. Op negen andere blockchains verstuurden wallets van Binance in hetzelfde halfuur gewone, ondertekende overboekingen. Rond middernacht Nederlandse tijd volgde een tweede golf.

In cijfers

6,36 miljard dollar verdween uit wallets van Binance, op tien blockchains (TRM Labs).
4 keer zo groot als de roof bij beurs Bybit in februari 2025, toen 1,5 miljard dollar verdween.
Ongeveer 3 miljard dollar is inmiddels bevroren, zegt Binance.
420.000 ether en 18.270 bitcoin, samen zo’n 2,4 miljard dollar, heeft de aanvaller nog in handen.

Een race tegen de bevriezers

Het witwassen begon direct. De aanvaller verkocht ongeveer 325 miljoen dollar aan USDT voor ether, met meer dan 10 procent korting, om de munten om te zetten voordat ze geblokkeerd werden. Met een andere wallet leende hij ether op het platform Aave, met gestolen dollars als onderpand.

Hij was niet snel genoeg voor alles. Tether bevroor om 22.01 uur Nederlandse tijd 971 miljoen USDT, drie minuten later blokkeerde Circle 823 miljoen aan zijn munt USDC, meldt The Next Web. Ook Ripple en het platform Arbitrum zetten geld vast.

DPRK are up to their old tricks.

- Jonathan Levin, topman van Chainalysis

Oude bekenden

Het patroon past bij TraderTraitor, zegt TRM. De FBI noemde dezelfde groep eerder als dader van de roof bij Bybit. Chainalysis, een ander bureau dat blockchains doorzoekt, zag in de buit ook geld van een hack bij beurs Bitget in september.

De groep heeft een vaste werkwijze. Al in 2022 waarschuwden de FBI en het Amerikaanse cyberagentschap CISA dat TraderTraitor mikt op systeembeheerders en DevOps-medewerkers bij cryptobedrijven. Ze krijgen nepvacatures met een hoog salaris en worden verleid om een app te installeren, die daarna de computer overneemt. Of dat ook bij Binance gebeurde, is niet bekend. Noord-Korea ontkende eerdere hacks, meldt de BBC.

Wat de hackers nog hebben

Klanten krijgen hun geld terug, belooft Binance, uit het noodfonds SAFU en eigen geld. Oud-topman Changpeng Zhao rekent als aandeelhouder op “volledige dekking”. Hoe groot de klap voor de beurs zelf wordt, hangt af van wat nog bevroren raakt. Voor Nederlanders is de schade klein, want Binance mag hier al sinds 2023 niet meer handelen.

Het deel dat de aanvaller nog heeft, kan geen enkel bedrijf bevriezen. De bitcoin gaat volgens TRM in porties van 1.000 en 100 munten naar steeds nieuwe adressen. Bij de roof op Bybit duurde het maanden voordat de buit via omwegen was weggesluisd. Binance belooft een technisch rapport zodra het onderzoek klaar is.