Cryptoroof bij Binance: de blockchain hield stand, een laptop niet

Of: waarom het geld dat niemand kan blokkeren, ook door niemand gered kan worden

Wie wil weten of crypto veilig is, moet eerst zeggen over welk deel het gaat. Bij de grootste cryptoroof ooit is de blockchain van bitcoin niet gekraakt, en die van ether evenmin. Een laptop wel. En de helft van de buit werd niet gered door de technologie die crypto zo bijzonder maakt, maar door een paar bedrijven die op een knop konden drukken.

Hack bij Binance: wat er gebeurde en wat het zegt over crypto

Twintig minuten op een donderdagavond

Op donderdag 29 oktober 2026, om 21.05 uur Belgische tijd, begonnen aanvallers de wallets van Binance leeg te halen. Volgens TRM Labs, een bedrijf dat geldstromen op blockchains volgt, ging het om wallets op tien verschillende blockchains, en was het grootste deel na twintig minuten weg. Drie uur later volgde nog een kleinere golf.

De bedragen lopen wat uiteen, afhankelijk van wie telt en wanneer:

• Binance schat de schade op ongeveer 6,3 miljard dollar.
• TRM Labs komt op 6,36 miljard, waaronder 18.270 bitcoin en ruim 200.000 ether.
• Chainalysis, een ander analysebedrijf, kwam volgens CoinDesk op zo’n 5,9 miljard.

Hoe je ook telt: het is ongeveer vier keer de vorige recordroof, de 1,5 miljard dollar die in februari 2025 verdween bij Bybit. De bitcoinkoers zakte bijna 5 procent, tot onder de 77.000 dollar.

Binance schortte de opnames op. Co-CEO Richard Teng schreef op X dat het geld van de klanten veilig is en dat het bedrijf elk verlies dekt. Daarvoor staat volgens Binance meer dan 6,34 miljard dollar opzij. Het eigen noodfonds van de beurs, SAFU, bevat zo’n 1 miljard dollar in bitcoin.¹ Een technische analyse en een nieuw bewijs van reserves volgen later, belooft Teng.

Wat er gekraakt werd, en wat niet

Volgens het eerste onderzoek van Binance begon het bij de gecompromitteerde laptop van een DevOps-ingenieur, iemand die de servers en de software van de beurs mee beheert. Via die laptop kregen de aanvallers toegang tot een onderdeel van de interne systemen en konden ze opnames indienen die niemand had goedgekeurd. Binance vond „geen aanwijzingen” dat privésleutels van wallets uitlekten.

Teng voegde eraan toe dat het geen kwestie was van één klik of van de rechten van één ingenieur, en Binance meldde later bijkomende plekken waar de aanvallers binnen waren geraakt. TRM Labs houdt het op het systeem dat de transacties van de online wallets ondertekent als meest waarschijnlijke doelwit, maar noemt dat nog niet bevestigd.

Als die eerste analyses kloppen, is dat geen detail. Je hoeft geen handtekening te vervalsen als je de stapel papieren kunt aanvullen die de directeur elke avond tekent zonder te lezen. De sleutels bleven waar ze waren. Ze tekenden gewoon wat de aanvallers hun voorlegden.

Wie erachter zit, is volgens TRM Labs „met grote zekerheid” TraderTraitor, een hackersgroep van de Noord-Koreaanse staat. Volgens de FBI stal dezelfde groep ook de 1,5 miljard bij Bybit.² Hoe de laptop besmet raakte, zegt Binance nog niet. Wel staat vast dat de FBI en het Amerikaanse cyberagentschap CISA al in 2022 waarschuwden dat TraderTraitor zich uitgerekend richt op systeembeheerders en DevOps-mensen bij cryptobedrijven, onder meer met nepvacatures en vergiftigde apps.

Het geld dat wel terugkwam, en het geld dat weg is

Hier wordt het verhaal interessant voor wie zich afvraagt of crypto veilig is. De aanvallers stalen twee soorten geld, en die liepen heel verschillend af.

Een groot deel van de buit bestond uit stablecoins: munten die een vaste waarde van één dollar hebben en uitgegeven worden door een bedrijf.³ Dat bedrijf kan munten op een bepaald adres bevriezen. Binnen het uur na het begin van de roof bevroor Tether 971 miljoen dollar aan USDT. Drie minuten later bevroor Circle 823 miljoen aan USDC, in overleg met de opsporingsdiensten. Ripple, nog een paar uitgevers en de veiligheidsraad van Arbitrum, een netwerk boven op Ethereum, volgden. Samen zit er volgens TRM Labs zo’n 2,7 miljard dollar vast; Binance spreekt van ongeveer 3 miljard.

Het andere deel bestond uit ether en bitcoin. Daar zit geen bedrijf achter, en dus ook geen knop. Ruim 420.000 ether en 18.270 bitcoin, samen zo’n 2,4 miljard dollar, zijn volgens TRM Labs buiten het bereik van welke uitgever ook.

De aanvallers begrepen het verschil goed. Volgens TRM Labs verkochten ze zo’n 325 miljoen dollar aan USDT met meer dan 10 procent korting om er ether voor te krijgen. Dat is de prijs van onblokkeerbaar geld: voor een dief ongeveer een tiende.

De belofte van bitcoin: niemand kan je geld blokkeren. Het probleem na een diefstal: niemand kan je geld blokkeren. Het is dezelfde functie.

Kmo-Kristof: Zie je wel. Crypto is gewoon niet veilig.

Security-Sofie: De blockchain heeft niets fout gedaan. Hij voerde elke opdracht uit die correct ondertekend was.

Kmo-Kristof: Ook die van de dieven?

Security-Sofie: Ook die. Hij controleert of de handtekening klopt, niet wie de pen vasthoudt.

Kmo-Kristof: En de miljarden die bevroren zijn?

Security-Sofie: Dat waren stablecoins. Daar zit een bedrijf achter dat op een knop kan drukken.

Kmo-Kristof: Dus het deel dat gered werd, is het deel dat het minst op crypto lijkt.

Security-Sofie: Zeg dat niet te luid op een cryptobeurs.

Is crypto dan onveilig?

Het antwoord hangt af van de laag waarnaar je kijkt, en bij Binance waren het er drie.

• Het protocol. Bitcoin en Ethereum deden wat ze beloven: ze voerden geldige transacties uit, onomkeerbaar. Er is geen aanwijzing dat de wiskunde ergens tekortschoot.
• De bewaarder. Wie zijn munten op een beurs laat staan, vertrouwt die beurs, net zoals je een bank vertrouwt. Of, zoals Sean Foley van de Macquarie-universiteit het tegen Al Jazeera zei: wat op een gecentraliseerde beurs staat, is maar zo veilig als die beurs zelf.
• Het herstel. Geld terughalen lukte alleen waar er een centrale partij was die kon ingrijpen. Dat is precies wat crypto wilde afschaffen.

Er zit ook een verschil met je bankrekening dat vaak vergeten wordt. In België is een spaartegoed tot 100.000 euro per persoon en per bank gewaarborgd. Voor crypto op een beurs bestaat zo’n wettelijke waarborg niet. Dat Binance alles vergoedt, is een belofte van Binance. Het is een geloofwaardige belofte: de beurs zegt het geld opzij te hebben gezet, en ze deed het in 2019 ook al eens, toen er 7.000 bitcoin verdwenen. Maar het blijft een belofte, en niet elke beurs heeft zo’n kas.

Wat kun je ermee als kmo?

Je hoeft geen cryptobeurs te zijn om hier iets uit te leren. De aanval begon, als de eerste analyse klopt, niet bij de crypto maar bij een gewone laptop van iemand met veel rechten. Die heb jij ook.

• De laptop van je beheerder is je kluis. Wie betalingen goedkeurt, servers beheert of software uitrolt, werkt best met een apart beheerdersaccount, een fysieke beveiligingssleutel en zo weinig mogelijk extra software op die machine.
• Wantrouw de droomjob. Groepen als TraderTraitor benaderen technische medewerkers met aantrekkelijke vacatures en vragen hen een testopdracht of een app te installeren. Spreek met je IT-mensen af dat zoiets nooit op een werktoestel gebeurt.
• Laat één handtekening nooit volstaan. Een grote betaling of een nieuwe begunstigde vraagt een tweede paar ogen, ook als het systeem technisch maar één goedkeuring nodig heeft.
• Bewaar je crypto? Ken het verschil. Op een beurs draag je het risico van die beurs. In een eigen wallet draag je het risico zelf: wie zijn herstelzin kwijt is, is zijn geld kwijt. Bij Bitget legde ik eerder uit hoe beurzen hun munten bewaren. Dit is geen beleggingsadvies, wel een herinnering dat „veilig” altijd betekent: veilig tegen wie.

Is crypto onveilig? De wiskunde hield stand. Wat faalde, is wat altijd faalt: een toestel, een mens, een proces. Wat de helft redde, is wat crypto juist wilde afschaffen: een bedrijf dat „stop” kan zeggen. Dat is geen argument tegen crypto. Het is een argument om te weten welk deel je eigenlijk vertrouwt.