NIEUWS

IN HET KORT: De cryptowereld is opgeschrikt door de grootste digitale roofoverval uit de geschiedenis. In een ongeëvenaard snelle en gestructureerde cyberaanval werd ongeveer 6,3 miljard dollar aan digitale activa ontvreemd uit de hot wallets van Binance, 's werelds grootste cryptobeurzen. Meerdere vooraanstaande blockchain-analysebureaus, waaronder TRM Labs, Chainalysis en Elliptic, wijzen met hoge mate van zekerheid naar TraderTraitor—de elitaire hackersunit van het Noord-Koreaanse regime.

Een Bliksemsnelle Roof via Tientallen Blockchains

Wat deze hack zo uniek en ontwrichtend maakt, is de chirurgische precisie en extreme snelheid waarmee de daders opereerden. Het overgrote deel van het astronomische bedrag werd in slechts 20 minuten tijd leeggetrokken uit Binance-portemonnees verspreid over ten minste tien verschillende blockchain-netwerken, waaronder Ethereum, Bitcoin, Solana, Tron en het XRP Ledger.

Volgens analyse van TRM Labs berustte de aanval niet op het kraken van de cryptografie zelf, maar op het compromitteren van de interne ondertekeningsinfrastructuur van Binance. De aanvallers wisten binnen een kort tijdsbestek geldige autorisaties en digitale handtekeningen te genereren. Op het Ethereum-netwerk maakten ze gebruik van geavanceerde technieken (zoals EIP-7702 delegaties) om de hot wallet van het platform te transformeren in een geautomatiseerde 'sweeper' die fondsen direct doorsluisde naar adressen onder controle van de hackers.

Stablecoin-bevriezingen en het Gewoonterecht van Laundering

Zodra de schaal van de inbreuk duidelijk werd, kwamen beveiligingsnetwerken en stablecoin-uitgevers op grote schaal in actie. Partijen zoals Tether, Circle, Ripple en decentralized finance-protocollen wisten snel te handelen en schorten transacties van verdachte adressen op. Hierdoor is naar schatting ruim 2,6 tot 3 miljard dollar aan gestolen fondsen bevroren op de blockchain.

Ondanks deze snelle tegenactie raceten de hackers tegen de klok. Een aanzienlijk deel van de gestolen activa werd bliksemsnel omgezet via gedecentraliseerde beurzen (DEXs) en liquidity pools naar on-chain activa die door geen enkele centrale uitgever bevroren kunnen worden, waaronder meer dan 420.000 Ethereum (ETH) en 18.000 Bitcoin (BTC).

Om het spoor van de resterende miljarden uit te wissen, maken de daders gebruik van geautomatiseerde witwas-scripts. Deze scripts voeren 24 uur per dag honderden kleine, gefragmenteerde transacties uit via zogenaamde peel chains, gedecentraliseerde mixers en cross-chain bridges. Doordat de fondsen worden opgesplitst in willekeurige bedragen met intervallen van soms slechts enkele seconden, is het handmatig of geautomatiseerd traceren extreem complex.

De Handtekening van TraderTraitor

De werkwijze vertoont sterke overeenkomsten met eerdere grootschalige aanvallen die worden toegeschreven aan TraderTraitor (ook bekend onder gelieerde groepen binnen de Lazarus-paraplu), zoals de miljardenhack op Bybit begin 2025. Noord-Koreaanse staatshackers hebben zich in de afgelopen jaren gespecialiseerd in het buitmaken van crypto-activa om de internationale economische sancties te omzeilen en staatsprojecten te financieren.

Binance heeft de geldopnames op meerdere netwerken tijdelijk stilgelegd om verdere schade te voorkomen en benadrukt dat het SAFU-noodfonds en de reserves worden ingezet om eventuele verliezen voor gebruikers op te vangen. Het incident onderstreept echter eens te meer dat in een tijdperk van geautomatiseerde cyberaanvallen de beveiliging van sleutelinfrastructuur even snel en dynamisch moet zijn als de dreigingen die erop afkomen.