Hoe kunnen op één dag miljarden uit een cryptowallet verdwijnen?

Rick Harmsen, CTO bij DataExpert B.V., legt uit hoe de aanval op Binance werkt en hoe gestolen cryptovaluta gevolgd kunnen worden.

Op 29 oktober 2026 verdwenen uit meerdere wallets van cryptoplatform Binance enorme bedragen. Binance schat de impact op circa 6,3 miljard dollar. On-chain tellingen van onderzoekers lagen op verschillende momenten tussen 5,5 en 5,9 miljard dollar. Binance meldt dat het geld van gebruikers veilig is en dat alle verliezen worden vergoed. Wat er precies is gebeurd, wordt nog onderzocht.

Bij een hack van een cryptowallet denken veel mensen aan criminelen die een beveiliging kraken. Op basis van de openbare gegevens lijkt er hier iets anders aan de hand: de blockchain voerde opdrachten uit die er geldig uitzagen.


De blockchain controleert de handtekening, niet wie erom vroeg.
 “Je kunt het vergelijken met een zwaar beveiligde bankkluis. Normaal gesproken bepaalt alleen de eigenaar wat er met het geld gebeurt. Maar als iemand erin slaagt een geldige opdracht namens die eigenaar te laten ondertekenen, hoeft die persoon de kluis niet open te breken”, legt Rick Harmsen uit.

Cryptovaluta worden beheerd via digitale portemonnees, wallets. Grote platformen zoals Binance gebruiken meerdere soorten. Een deel, de zogeheten hot wallets, worden gebruikt zodat klanten op elk moment kunnen opnemen. Die wallets zijn het doelwit geweest.

Volgens de reconstructie van beveiligingsbedrijf Blockaid, dat zelf beveiligingsproducten levert, werd gebruikgemaakt van EIP-7702, een mogelijkheid op het Ethereum-netwerk. Hiermee kan een gewone wallet via een ondertekende autorisatie de code van een smart contract uitvoeren. Er werden volgens Blockaid 50 van zulke autorisaties ingediend, elk met een ander volgnummer, de nonce. Eén ervan sloot aan op de actuele stand van de wallet. Dat is on-chain na te lezen.

“Zo’n autorisatie kun je, vereenvoudigd, vergelijken met een volmacht bij de notaris: je geeft iemand toestemming om namens jou te handelen. Bij cryptovaluta kan die toestemming ook naar een computerprogramma wijzen. De blockchain controleert alleen of de handtekening geldig is, niet wie erom heeft gevraagd of waarom”, aldus Harmsen.

Hoe de benodigde handtekeningen zijn verkregen, is niet vastgesteld. De eerste verklaring van Binance noemde een gecompromitteerde laptop zonder aanwijzingen voor een gelekte sleutel. Een latere update meldt dat het onderzoek aanvullende inbraakpunten aan het licht heeft gebracht.


Binnen enkele minuten grote bedragen verplaatst
Zodra de autorisatie van kracht was, kon het programma van de aanvaller de wallet leeghalen. Volgens Blockaid ging het in één transactie om circa 2,5 miljard dollar, en volgden binnen twaalf minuten tien andere wallets op meerdere netwerken. Niet al die transacties verliepen via dezelfde techniek, hoe dit plaatsvond is momenteel nog niet bevestigd.

De blockchain verwerkte alles volgens de geldende regels. Een definitief vastgelegde transactie kan doorgaans niet worden teruggedraaid. Een blockchain is te vergelijken met een openbaar digitaal kasboek: wat erin staat, blijft erin staan.

Voor sommige cryptovaluta, zoals de stablecoins USDT en USDC, kunnen de uitgevers tegoeden blokkeren. Tether en Circle hebben dat gedaan, en de totalen aan bevroren tegoeden lopen al op in de miljarden. Bij cryptovaluta zonder uitgever, zoals ether (ETH), is dat niet mogelijk.


Toch betekent dit niet dat gestolen cryptovaluta onvindbaar zijn.
“Transacties op openbare blockchains zijn juist heel transparant. Je ziet vaak wanneer cryptovaluta worden verplaatst en naar welk adres. De uitdaging is vaststellen wie erachter zit”, vertelt Harmsen.

“Criminelen proberen hun sporen te verhullen via verschillende wallets, cryptovaluta en diensten. Maar elke stap kan nieuwe aanknopingspunten opleveren. Met de juiste kennis en analysetechnieken kunnen we geldstromen reconstrueren en verbanden leggen tussen adressen en betrokken partijen.”

Volgens Harmsen is dat ook meteen de les: “Een blockchain laat zien waar het geld naartoe gaat, maar vertelt je niet automatisch wie erachter zit. Juist het combineren van transactiedata, digitale sporen en andere informatie maakt verbanden zichtbaar. En laat je niet leiden door de eerste verklaring. In één dag veranderde de uitleg van deze zaak meerdere keren, terwijl de chain hetzelfde bleef.”


Wat nog niet vaststaat
Over de oorzaak, de dader en het uiteindelijke bedrag is nog niets definitiefs bekend. Onderzoekspartijen zoals TRM Labs, linken de aanval naar TraderTraitor, Noord-Korea elite hacking unit. Binance heeft een gedetailleerde post-mortem aangekondigd zodra de feiten zijn geverifieerd.

Dit soort onderzoek is onderdeel van crypto investigations, een vakgebied waarin DataExpert organisaties en onderzoeksprofessionals ondersteunt met gespecialiseerde technologie, kennis en trainingen.


Disclaimer
Dit artikel is gebaseerd op publiek beschikbare informatie en onderzoeksresultaten van derden. De beschreven bevindingen weerspiegelen de informatie die beschikbaar was op het moment van publicatie. Omdat het onderzoek naar het incident nog loopt, kunnen nieuwe inzichten aanleiding geven tot andere conclusies.

DataExpert B.V. heeft het beschreven incident niet zelfstandig onderzocht. Verwijzingen naar externe onderzoeksresultaten betekenen niet dat DataExpert deze onafhankelijk heeft geverifieerd.



30 oktober 2026