Binance-hack: FBI wijst naar Noord-Korea en publiceert meer dan 600 adressen

De FBI heeft de diefstal van meer dan zes miljard dollar bij Binance officieel aan Noord-Korea toegeschreven en daarbij een lijst van adressen gepubliceerd die delen van de buit hebben gehouden. Voor beleggers is dat vooral een bericht over witwassen, en over de vraag wat er gebeurt als gemarkeerde munten ooit bij een gereguleerde exchange aankomen. Je eigen saldo bij Binance valt niet onder die lijst: de exchange zegt 90 procent van de ontbrekende tegoeden uit eigen middelen te hebben vervangen en de opnames weer te hebben geopend.

Wat er in het FBI-bericht van 31 oktober staat

De Amerikaanse federale politie bracht haar bericht op zaterdag 31 oktober 2026 uit, samen met de Secret Service en de fiscale opsporingsdienst IRS Criminal Investigation. Daarin staat volgens meerdere persbureaus dat Noord-Korea verantwoordelijk is voor de diefstal van meer dan zes miljard dollar aan virtuele vermogensbestanddelen bij de cryptobeurs Binance, gepleegd op of rond 29 oktober 2026. De dienst noemt de verantwoordelijke groep TraderTraitor.

Twee dingen in het bericht gaan verder dan de toeschrijving zelf. Ten eerste een lijst met adressen op drie blockchains waarlangs gestolen middelen hebben gelopen. Ten tweede het verzoek aan een hele reeks ondernemingen om transacties met die adressen te blokkeren. De FBI gaat ervan uit dat de aanvallers de buit verder bewegen via gedecentraliseerde financiële diensten en instant-wisseldiensten.

Tot die zaterdag was de toeschrijving een inschatting van particuliere analysebedrijven. TRM Labs en Chainalysis hadden het spoor al vroeg naar Noord-Korea getrokken, en wij hebben de stand van dat vermoeden op 30 oktober samengevat. Sinds 31 oktober staat er een dienst achter die de zaak onderzoekt.

TraderTraitor: hoe de FBI de groep aan Noord-Korea koppelt

TraderTraitor is de naam die Amerikaanse autoriteiten sinds 2022 gebruiken voor een door de staat gedragen Noord-Koreaanse aanvalscampagne tegen cryptobedrijven. Kenmerkend is niet de technische inbraak, maar de weg ernaartoe: valse vacatures, bewerkte sollicitatiedocumenten en handelssoftware, en contacten met medewerkers die over maanden worden opgebouwd. Dezelfde groep wordt volgens de autoriteiten ook verantwoordelijk gehouden voor de Bybit-diefstal van ongeveer 1,46 miljard dollar in 2025.

Het analysebedrijf Elliptic, dat de zaak sinds de avond van 29 oktober op de blockchain volgt, was voor de FBI tot dezelfde inschatting gekomen. De onderbouwing van het bedrijf rust op drie observaties. De gestolen middelen worden samen met de opbrengst van de Bitget-aanval gewassen, die Elliptic eveneens aan Noord-Korea toeschrijft. De aanvallers gebruiken dezelfde diensten als bij eerdere TraderTraitor-diefstallen bij BigONE, WOO X en AFX. En ze bedienden elf blockchains parallel in ongeveer drie uur, iets wat volgens Elliptic maar weinig actoren kunnen coördineren.

Belangrijk voor de context: een toeschrijving door een dienst is geen rechterlijk vonnis, en het is ook geen sanctiebesluit. Zo'n toeschrijving zegt welke kant het bewijs volgens de onderzoekers op wijst.

Meer dan 600 Ethereum-adressen, bijna 20 voor Bitcoin, één voor Solana

De lijst van de FBI omvat volgens meerdere vakmedia meer dan 600 adressen op Ethereum, bijna 20 adressen op Bitcoin en één enkel adres op Solana. Die verdeling is geen toeval, maar volgt de samenstelling van de buit.

Elliptic begroot de diefstal op 6,43 miljard dollar, Binance zelf noemt ongeveer 6,3 miljard, TRM Labs zo'n 6,36 miljard. De marge ontstaat door de koersen op het moment van waardering en doordat niet iedereen dezelfde uitstroom aan de aanval toerekent. Elliptic laat bijvoorbeeld uitdrukkelijk 169 miljoen dollar buiten beschouwing die na de opnamestop wegvloeide en die het bedrijf voor interne overboekingen van Binance houdt.

Volgens de uitsplitsing van Elliptic kwam op Ethereum 3,80 miljard dollar terecht, verdeeld over 186 verschillende tokens, waaronder 1,9 miljard USDT en 823 miljoen USDC. Op Bitcoin ging het om 18.270 BTC met een waarde van 1,48 miljard dollar. Via Tron liep 612,7 miljoen USDT, via het XRP Ledger 233 miljoen XRP. Ook Solana, NEAR, Base, Optimism, Arbitrum, Avalanche en Polygon waren getroffen. Vier posten maakten samen 74 procent van de diefstal uit: USDT op Ethereum, bitcoin, USDC en USDT op Tron.

Dat er op Ethereum meer dan 600 adressen staan en op Solana één, zegt dus minder over de blockchains dan over de techniek van de daders. Op Ethereum verdeelt een aanvaller buit in veel kleine stappen over contracten en hulpadressen. Eén enkele overboeking op Ethereum bewoog op 29 oktober om 20:24 UTC een waarde van 2,53 miljard dollar.

THORNodes, RPC-nodes en instant-wisseldiensten: tot wie het blokkadeverzoek zich richt

De geadresseerden van het verzoek zijn ongewoon concreet. De FBI, de Secret Service en IRS-CI hebben volgens CoinDesk particuliere ondernemingen aangesproken, waaronder uitdrukkelijk beheerders van THORNodes en beheerders van RPC-nodes, daarnaast instant-wisseldiensten, gedecentraliseerde financiële diensten, blockchain-analysebedrijven en andere dienstverleners voor virtuele waarden.

Een RPC-node is de server waarlangs een wallet of een app met een blockchain praat: hij neemt transacties aan en stuurt ze door naar het netwerk. Een THORNode is een node van het protocol THORChain, waarmee munten over blockchains heen te wisselen zijn zonder dat er een exchange tussen zit. Beide zijn geen financiële dienstverleners in klassieke zin, en beide zitten op een plek waar een overboeking in de praktijk te weigeren is voordat die in het netwerk belandt.

Daarin zit het eigenlijke nieuws van dit bericht. De autoriteiten wenden zich voorbij exchanges en stablecoin-uitgevers, die tegoeden kunnen bevriezen, tot de technische infrastructuur erachter. Wie een RPC-eindpunt beheert, vervult daarmee een functie die de wetgever tot nu toe nauwelijks heeft geregeld.

Een blokkadeverzoek is geen inbeslagname en geen sanctie

De belangrijkste zin over deze lijst gaat over wat zij niet oplevert. Het bericht is een verzoek aan ondernemingen, geen bevel, en bevat op grond van wat tot nu toe is gemeld geen sanctiebesluit van het Amerikaanse ministerie van Financiën waarmee de adressen op de SDN-lijst zouden komen, en het geeft niemand de bevoegdheid om bevroren tegoeden aan Binance of aan klanten terug te geven.

Dat is een verschil met praktische gevolgen. Een sanctievermelding verplicht elke onderneming met een Amerikaanse band om zaken met het adres na te laten, en zij werkt over het Amerikaanse recht heen door naar banken en betaaldienstverleners. Een verzoek van de FBI werkt daarentegen via compliance-afdelingen, via analysesoftware en via de beslissing van afzonderlijke beheerders. Wie het opvolgt, doet dat vrijwillig of omdat de eigen witwascontrole het toch al vereist.

Voor teruggave van de al bevroren middelen is een eigen weg nodig: beslagbeschikkingen, procedures in de landen van de betrokken uitgevers of civiele stappen. Dat deel van de zaak gaat maanden duren.

2,85 miljard dollar bevroren: waarom stablecoins anders liggen dan bitcoin

Elliptic heeft na eigen onderzoek 2,85 miljard dollar als bevroren of veiliggesteld geverifieerd, dat is 44 procent van de buit. Binance zelf spreekt van ongeveer drie miljard. Opvallend is de samenstelling: 94 procent van het bevroren bedrag bestaat uit stablecoins.

De reden zit in de bouwwijze. Een stablecoin als USDT of USDC is een betalingsbelofte van een onderneming, vastgelegd in een contract op een blockchain, en dat contract kent een blokkadefunctie. Tether, Circle en Ripple konden tegoeden op bepaalde adressen daarom met één druk op de knop stilleggen; de eerste USDT-blokkade liep nog op de avond van de aanval. Bij het protocol Arbitrum greep daarnaast de Security Council in, en bij Optimism heeft de governance volgens berichten middelen buiten het bereik van de aanvaller gebracht.

Native munten werken niet zo. Bij bitcoin, XRP, Solana en NEAR is er geen uitgever die een adres kan uitschakelen. Precies die tegoeden houdt de aanvaller volgens de telling van Elliptic nog vast: ongeveer 3,21 miljard dollar, waaronder 519.104 ETH met een waarde van ongeveer 1,16 miljard dollar en de 18.270 BTC met een waarde van ongeveer 1,41 miljard dollar.

Die censuurresistentie is hetzelfde kenmerk dat bitcoin voor beleggers aantrekkelijk maakt. Bij een diefstal werkt het tegen de benadeelden. Een blokkadelijst is daarom het enige instrument dat bij native munten iets uithaalt: je kunt de munten niet tegenhouden, alleen de deuren waardoor ze het gereguleerde financiële stelsel in willen.

EIP-7702: de delegatie waarmee Binance' eigen systemen ondertekenden

Binance had op de dag na de aanval een besmette laptop van een DevOps-engineer als mogelijke ingang genoemd en tegelijk verklaard dat er op dat moment geen aanwijzing was voor een weggelekte privésleutel. De analyse van Elliptic wijst erop dat de aanvaller geen sleutel nodig had, maar een functie die Ethereum pas sinds 2025 kent. Het technische verloop bij de hot wallet hebben we op de dag van de aanval in detail opgeschreven.

EIP-7702 maakt het mogelijk om een gewone rekening per ondertekening een contract als gemachtigde toe te wijzen. De rekening gedraagt zich daarna als een programmeerbare wallet. De functie is bedoeld voor gemak, bijvoorbeeld zodat een app kosten kan overnemen of meerdere stappen in één transactie kan bundelen. Volgens Elliptic droeg één enkele transactie op 29 oktober om 20:20 UTC 50 van zulke machtigingen en gaf daarmee de controle over de Binance-hot-wallet met de aanduiding „Binance 14" door aan een sweeper-contract, dat de tegoeden daarna zelfstandig weghaalde.

Een sweeper-contract is een programma dat inkomende of aanwezige tegoeden automatisch doorstuurt naar een doeladres. Binance-topman Richard Teng zei op 30 oktober dat de aanval „niet door één persoon is uitgevoerd". De eerste overboeking uit Binance-wallets liep volgens de tijdlijn van Elliptic op 29 oktober om 20:05 UTC via het XRP Ledger.

Voor beleggers is daaraan één punt opmerkelijk: de buit verliet de exchange niet omdat een blockchain faalde, maar omdat een goedkeuringsproces binnen het bedrijf werd omzeild. Bij een hardware wallet in je eigen hand ligt die goedkeuring bij jou, en zij ligt op een apparaat dat geen delegatie aanneemt die je niet op het display hebt bevestigd.

Aave, SunSwap en 546 overboekingen: het witwassen loopt geautomatiseerd

Wat de aanvallers sinds 30 oktober doen, verklaart waarom een lijst met 600 adressen snel veroudert. Elliptic heeft meerdere wegen gedocumenteerd waarlangs blokkeerbare stablecoins in niet-blokkeerbare munten worden omgezet.

434 miljoen USDT werd via gedecentraliseerde beurzen en market makers gewisseld in 160.451 ETH, met een rekenkundige korting van 12 tot 26 procent ten opzichte van de marktprijs. 59,9 miljoen USDT ging als onderpand in het leenprotocol Aave, waartegen de aanvallers 19.762 ETH leenden; Aave heeft de betrokken markten bevroren, de lening staat nog open. Via Tron werd 234 miljoen USDT op SunSwap gewisseld in 638 miljoen TRX, waarvan tussen 38 en 67 miljoen dollar de door Elliptic gevolgde adressen al heeft verlaten. De bitcoin-tegoeden lopen via een peel chain, waarbij bij elke stap een klein deel van een grote som wordt afgesplitst, verdeeld over 19 adressen; daarvan is naar de stand van Elliptic nog niets bij een dienstverlener aangekomen.

Bijzonder veelzeggend is het tempo. De belangrijkste Tron-waswallet zette vanaf 30 oktober 546 overboekingen af, met een mediane tussentijd van 96 seconden en een langste pauze van 39 minuten. Elliptic houdt dat voor software en schrijft uitdrukkelijk dat niet vast te stellen is of er AI-agenten bij betrokken zijn.

Chainalysis-topman Jonathan Levin zei tegen CoinDesk dat de aanvallers al „duizenden adressen" hadden gebruikt, en voegde toe: „Wij verwachten dat dat er in de komende weken tienduizenden worden." Ari Redbord, chief policy officer bij TRM Labs, rekent erop dat de buit wordt opgedeeld en maandenlang via kleinere beurzen wordt gesluisd; tegenover de Australische omroep ABC noemde hij de diefstal zelf een „bankroof, in dit geval met de snelheid van het internet". Beide bedrijven benadrukken dat de middelen in real time te volgen blijven.

Gemarkeerde munten: wanneer een storting bij een exchange blijft hangen

De vraag die beleggers in deze zaak echt raakt, is deze: kan het mij gebeuren dat munten op mijn rekening als belast gelden omdat ergens in hun voorgeschiedenis een van deze adressen opduikt?

De vakterm daarvoor is tainted coins: munten waarvan de na te gane herkomst een gemarkeerd adres raakt. De analysesoftware waarmee exchanges stortingen controleren, geeft daar een risicowaarde aan, en zij kijkt naast de directe afzender meerdere stations terug. Afhankelijk van de instelling is een indirecte verbinding over twee of drie tussenstappen al genoeg om een storting in de handmatige controle te laten lopen.

In de praktijk is het risico voor gewone kopers klein, maar het is niet nul. Wie bitcoin bij een gereguleerd platform koopt en daar bewaart, heeft met de voorgeschiedenis niets te maken. Wie daarentegen via gedecentraliseerde beurzen, instant-wisseldiensten of onderlinge handel inkoopt, neemt de voorgeschiedenis van de ontvangen munten mee. Een bedrag dat uit die richting komt en later bij een exchange wordt gestort, kan tijdelijk worden vastgehouden tot de herkomst is opgehelderd.

Realistisch ziet dat er zo uit: het platform vraagt om een herkomstbewijs, dus om aankoopbewijzen, rekeningafschriften of transactieoverzichten. Wie die stukken heeft, krijgt zijn tegoed in de regel vrij. Wie ze niet heeft, onderhandelt met een compliance-afdeling. Uit die mechaniek volgt het nuchtere advies om aankoopbewijzen te bewaren, los van deze zaak: dezelfde stukken heb je uiteindelijk ook nodig voor je belastingaangifte over crypto.

Welke verplichtingen een gereguleerd platform zelf heeft, hangt af van zijn vergunning; welke aanbieders onder EU-toezicht staan, staat in onze vergelijking van aanbieders.

FBI-blokkadelijst: 600 adressen zijn pas het begin van het spoor

De lijst van de FBI beschrijft een tussenstand van 31 oktober, en Chainalysis rekent nu al op tienduizenden adressen. Drie stappen zijn daaruit de moeite waard voor je eigen portefeuille.

1. Controleer waar je munten staan en wie daar onder toezicht valt. Een platform met een EU-vergunning valt onder het witwastoezicht en onder de plicht om klanttegoeden gescheiden te houden. Dat scheelt bij een faillissement en bij een inbraak.
2. Scheid langetermijnbezit en handelstegoed. Wat je jaren wilt houden, hoeft niet op een exchange te staan. De zaak Binance laat zien dat ook de grootste aanbieder een doelwit is; dat Binance de schade uit eigen middelen dekt, was een besluit van het bedrijf en geen aanspraak van klanten. Een wallet in eigen beheer is het alternatief.
3. Bewaar aankoopbewijzen voor elke positie. Herkomstbewijzen zijn het enige middel tegen een vastgehouden storting, en het zijn dezelfde stukken die je nodig hebt bij een overstap naar een andere aanbieder. Waar je tegen welke kosten koopt, laat onze vergelijking van aanbieders zien.

Het belangrijkste blijft open: of uit het verzoek een sanctievermelding voortkomt. Zet het Amerikaanse ministerie van Financiën de adressen op de SDN-lijst, dan verandert de situatie voor elke onderneming met een Amerikaanse band van vrijwillig naar verplicht. Tot dan beslist elke beheerder zelf, en precies dat maakt het succes van deze lijst moeilijk meetbaar.

De bronnen bij dit artikel: de on-chain-analyse van Elliptic met de uitsplitsing per blockchain en de tijdlijn van de aanval, en het verslag van de Australische omroep ABC over het FBI-bericht met de uitspraken van TRM Labs. Het bericht van de FBI zelf is via de website van de dienst gepubliceerd; fbi.gov weigert geautomatiseerde verzoeken.

(Per 1 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)