Binnenwerkzaak bij Binance
De Binance-'hack' was waarschijnlijk een binnenwerkzaak
Belangrijkste punten
- De diefstal van $6,3 miljard bij Binance wordt afgedaan als een Noord-Koreaanse hack — maar het belangrijkste detail wijst in de andere richting.
- Binance zelf heeft bevestigd dat geen enkele portemonnee privé sleutels is gelekt. De aanval maakte gebruik van toegang tot de ondertekeninginfrastructuur — een soort toegang die een insider al heeft.
- De publieke verklaringen van Binance wisselden tussen "gebruikersfondsen zijn volledig veilig" en "we dekken alle verliezen" — en het "gehackte laptop"-verhaal is zelfdienend en niet geverifieerd.
- Dit is niet Binance's eerste keer. CZ's eigen memoires suggereerden binnenlandse omkoping bij de hack in 2019, en het bedrijf bekende in 2023 schuld aan het opzettelijk faciliteren van witwassen.
- De "hoge betrouwbaarheid" van de toewijzing aan Noord-Korea is patroonherkenning, geen bewijs — en het slachtoffer is degene die het narratief bepaalt.
Het officiële verhaal, beknopt
Laat op 29 oktober 2026 verhuisde ongeveer $6,3 miljard uit Binance's hot wallets over tien blockchains — Bitcoin, Ethereum, Tron, Solana en anderen — het merendeel daarvan binnen twintig minuten. Het is, onder welke maatstaf dan ook, de grootste diefstal in de geschiedenis van crypto: bijna vier keer het vorige record, het verlies van $1,5 miljard bij Bybit in februari 2025.
Binnen enkele hours schreven blockchain-intelligentiebedrijven TRM Labs en Chainalysis de aanval "met hoge mate van zekerheid" toe aan TraderTraitor, de Noord-Koreaanse groep die gelinkt wordt aan de Lazarus-operatie. Volgens Binance zelf was de laptop van een DevOps-engineer gecompromitteerd, gebruikte de aanvaller deze om toegang te krijgen tot een servicecontainer, en diende hij vanaf daar ongeautoriseerde opname-transacties in. Ongeveer $3 miljard is bevroren met hulp van Tether, Circle en Ripple. Binance zegt dat het elke gebruiker volledig zal schadeloosstellen uit zijn SAFU-verzekeringsfonds en bedrijfsmiddelen.
De zaak is gesloten, zo leek de markt te zeggen. Bitcoin daalde, BNB zakte, en het verhaal nam een bekendere vorm aan: weer een natie-staatsactie, weer een beurs die de rekening betaalt. Maar het comfortabele verhaal vertoont een barst die er dwars doorheen loopt.
De aanwijzing: er zijn geen privésleutels gelekt
De belangrijkste zin in Binance's eigen openbaarmaking is overstemd door het lawaai. Binance heeft herhaaldelijk verklaard dat onderzoekers geen bewijs vonden dat het privé-sleutel van een wallet was gelekt.
Stop en denk na over wat dat betekent. Een dief die van buitenaf inbreekt, moet iets meenemen: een sleutel, een seed phrase, een wachtwoord, een ondertekeningsgeheim. Dat is wat "hacken" betekent in crypto. Maar hier is niets meegenomen. In plaats daarvan zou de aanvalder gebruik hebben gemaakt van ondertekeningsinfrastructuur — het EIP-7702-ondertekeningsmechanisme op Ethereum, vooraf geautoriseerde transacties — om fondsen te verplaatsen. In gewone termen: het geld verplaatste zich omdat iets binnen Binance's eigen ondertekeningspijplijn dit autoriseerde.
Dat is een fundamenteel verschil. Een gecompromitteerde ondertekeningsinfrastructuur is niet 'wij zijn overvallen.' Het is 'iemand met legitieme ondertekeningsrechten heeft het geld verplaatst.' En de mensen die legitieme ondertekeningsrechten hebben, zitten per definitie binnen het gebouw — of zijn naar binnen gelaten door iemand die dat wel is.
Een externe staatsacteur zou enorm hard moeten werken om die laag onopgemerkt te bereiken. Een insider, of een insider die samenwerkt met een externe partner, staat er al. Het verhaal van de 'gehackte laptop' is handig, precies omdat het de ontbrekende gestolen sleutel verklaart — maar het is Binance's eigen niet-geverifieerde account, en het verdient dezelfde scepsis als het eerste verslag van een slachtoffer.
Een tegengestelde, zelfbedieningsverhaal
Kijk naar Binance's eigen communicatie en je ziet hoe het verhaal wankelt. In de ene boodschap waren gebruikersfondsen 'volledig veilig'. In de volgende zou het bedrijf 'alle verliezen dragen'. Die twee uitspraken kunnen niet beide onbeduidend zijn. Het Latijns-Amerikaanse account van het bedrijf bevestigde een impact van 'ongeveer $6,3 miljard' en waarschuwde dat het bedrag 'kan blijven stijgen'. Uitspraken kwamen in brokken en stukken naar buiten, soms tegenstrijdig aan elkaar — wat meerdere media opmerkten.
Niets van dit bewijst wangedrag. Bedrijven in crisis communiceren vaak slecht. Maar wanneer de entiteit die het verhaal vertelt ook de entiteit is die het onderzoek controleert, krijgt het publiek precies één versie van de gebeurtenissen — en die versie heeft een ingebouwd voordeel om een buitenlandse tegenstander de schuld te geven in plaats van een gat in eigen huis.
De geschiedenis die niemand wil noemen
Hier stopt het theorie over een binnensporing en wordt deze een patroon.
Eerst, 2019. In mei 2019 hакken hackers 7.000 bitcoin — ongeveer $40 miljoen destijds — uit de hot wallet van Binance. In zijn eigen memoires schrijft oprichter Changpeng Zhao dat hij sterk vermoedde dat het Noord-Koreaanse Lazarus-groep erachter zat, en dat de aanvallers misschien een interne medewerker hadden omgekocht. Dat komt niet van een buitenstaande criticus. Dat is de oprichter, in het printwerk, die toegeeft dat de interne route ter discussie stond.
Tweede, 2023. Binance en Zhao erkenden schuld van federale aanklachten en betaalden een schikking van $4,3 miljard — de grootste bedrijfsstraf in de geschiedenis van de financiële-misdrijvenhandhaving van het Amerikaanse Ministerie van Financiën. Het Ministerie van Justitie legde, tot in detail uit, hoe Binance expres faalde om crimineel geld tegen te houden: ongeveer $106 miljoen in bitcoin die rechtstreeks van de Hydra darknet-markt kwamen, honderden miljoenen meer via de Bestmixer-mixservice, en een scheme om Amerikaanse gebruikers achter een "UNKWN"-label te verbergen nadat publiekelijk was beweerd hen te blokkeren. Zhao's eigen woorden uit een interne chat: "Het is beter om vergiffenis te vragen dan toestemming."
Derde, het bredere patroon in de sector. Diefstallen op beurzen zijn niet altijd extern. In 2019 concludeerde Zuid-Korea's Bithumb dat het verlies van 19 miljoen dollar een binnensmonds misdrijf was van een ex-werknemer met toegang tot hot-wallets. Het punt is niet dat elke hack intern is. Het punt is dat 'nation-state hacker' het standaardverhaal is, omdat dat het verhaal is waarmee iedereen — ook het slachtoffer — het meest comfortabel is, en omdat dat het makkelijkst te beweren is.
Als een bedrijf een gedocumenteerde geschiedenis heeft van het verbergen van wat het doet, moet zijn onbevestigde verslag van zijn eigen beveiligingsbreuk niet zonder meer worden geaccepteerd. Dat is geen samenzweringstheorie. Het is basisdue diligence.
Wat zou het beslechten
De vraag naar een binnenshuis gepleegde transactie is beantwoordbaar, en het antwoord komt uit bewijsmateriaal waar Binance de controle over heeft — wat precies het probleem is. Een geloofwaardige oplossing zou moeten bevatten: een onafhankelijk, extern forensisch rapport (geen zelfgeschreven post-mortem van het bedrijf); de identiteit en toegangsrechten van elke handtekeningsbevoegdheid die binnen het twintig-minutenvenster is betrokken; en een openbare verantwoording van welke interne systemen de opnames hebben geautoriseerd.
Totdat dit bewijs bestaat, is de eerlijke standpunt dat dit meest waarschijnlijk een binnenshuis gepleegde transactie was — of een binnenshuis sturing van een buitenstaander. De toeschrijving aan Noord-Korea is geen bewijs; het is een afleiding getrokken uit overeenkomsten met eerdere incidenten. Overeenkomsten zijn geen vingerafdrukken.
De ongemakkelijke conclusie: de grootste diefstal in de cryptogeschiedenis is misschien helemaal geen inbraak geweest. Het kan een deur zijn die van binnenuit opengezet. Een bedrijf met de geschiedenis van Binance verdient elke vorm van toezicht die daarop volgt.
FAQ
Hoeveel is er daadwerkelijk van Binance gestolen? Ruim $6,3 miljard is via tien blockchainnetwerken binnen ongeveer twintig minuten op 29 oktober 2026 uit de hot wallets van Binance verplaatst. Ongeveer $3 miljard is bevroren; Binance zegt alle verliezen van klanten te dekken uit haar SAFU-fonds en bedrijfsmiddelen.
Waarom denken sommige mensen dat het een interne zaak was? Omdat Binance bevestigde dat er geen privésleutels van wallets werden gelekt. De fondsen werden verplaatst via geïnfecteerde ondertekeninginfrastructuur — geautoriseerde toegang, niet gestolen sleutels. Die soort toegang is precies wat een insider al heeft, en Binance heeft een verleden dat zijn 'gehackte laptop'-verhaal moeilijk als zodanig doet aannemen.
Welk verleden bedoelen ze? In zijn memoires zei CZ dat de Binance-hack van 2019 een omgekochte insider mogelijk betrokken. In 2023 erkenden Binance en CZ schuld aan federale aanklachten en betaalden $4,3 miljard voor het expres mogelijk maken van witwassen en het verbergen van Amerikaanse gebruikers voor toezichthouders.
Wordt Noord-Korea officieel verantwoordelijk gesteld? Ja — TRM Labs en Chainalysis hebben de aanval met hoge mate van zekerheid toegeschreven aan de Noord-Koreaanse groep "TraderTraitor". Maar dat is een conclusie gebaseerd op overeenkomsten met eerdere incidenten, geen bewijs. De getroffene heeft de leiding over het onderzoek, en er is nog geen onafhankelijk forensisch rapport vrijgegeven.
Welk bewijs zou het kunnen beëindigen? Een onafhankelijk forensisch rapport van een derde partij, een volledige opsomming van de handhavende machten die zijn geraakt, en een openbare uitleg van welke interne systemen de opnames hebben goedgekeurd. Nog niets daarvan is vrijgegeven.