Binance-hack: de aanval begon met een nep-sollicitatiegesprek

De grootste diefstal in de geschiedenis van de cryptomarkt begon met een sollicitatiegesprek. Binance heeft op 3 november 2026 een eerste incidentrapport gepubliceerd over de hack van 29 oktober. Volgens dat rapport bereikten de aanvallers de hot wallets van de exchange niet met een gestolen sleutel, maar na maandenlang voorwerk: een gemanipuleerd softwarepakket in juni, een nep-sollicitatieprocedure in september en een interne AI-tool in oktober. Binance raamt de schade op meer dan 6,3 miljard dollar.

Voor klanten van de exchange verandert het rapport weinig aan de stand van zaken. Binance zegt ongeveer 98 procent van de getroffen tegoeden met eigen middelen te hebben aangevuld en zet de opnames stap voor stap weer open. Belangrijker is de methode. Dezelfde aanpak met valse vacatures en vergiftigde testopdrachten richt zich al jaren ook op ontwikkelaars, freelancers en particuliere beleggers, en met een paar vaste gewoonten houd je hem buiten de deur.

Incidentrapport van Binance: zo begon de hack van 6,3 miljard

Binance bracht het rapport dinsdag naar buiten via het eigen kanaal op X, aangevuld met een persgesprek met beveiligingschef Jimmy Su, waarover CoinDesk bericht. The Block noemt in zijn samenvatting van het rapport een bedrag van 6,34 miljard dollar. Beide media beschrijven dezelfde reeks in vier fasen, verspreid over vijf maanden.

Op 30 oktober had Binance de oorzaak nog kort omschreven als een gecompromitteerde laptop in het DevOps-team. Het nieuwe rapport legt uit hoe de aanvallers aan dat apparaat kwamen en waarom één enkele computer volstond. Co-CEO Richard Teng vatte het op X zo samen, vrij vertaald: het ging niet om één fout of één inbraak, de daders hadden maandenlang een campagne gevoerd.

De vier fasen in het kort

• Juni 2026: een engineer uit het wallet-DevOps-team installeert een gemanipuleerd Homebrew-pakket.
• September 2026: een tweede medewerker downloadt in het kader van een nep-sollicitatieprocedure een geprepareerde programmeeropdracht op zijn werkcomputer.
• 20 oktober 2026: via die computer en een interne AI-tool nemen de aanvallers de apparaten van twee wallet-engineers over.
• 29 oktober 2026, 20.05 uur UTC: met buitgemaakte inloggegevens starten ze een container met een kwaadaardig script, en de tegoeden stromen weg.

Nep-sollicitatie: de programmeeropdracht met zero-day-malware

De beslissende toegang ontstond in september. Volgens Su werd een software-engineer benaderd via een echt vacatureplatform. De afzender deed zich voor als projectleider. Daarna volgde een videogesprek met een zogenaamde HR-manager, die een socialemediaprofiel met privéfoto's deelde om vertrouwen te wekken. In een tweede gesprek verscheen een zogenaamde topman van het bedrijf.

Aan het eind lag er een programmeeropdracht, zoals die in technische sollicitatieprocedures gebruikelijk is. De engineer laadde die op zijn werkcomputer. Het bestand bevatte volgens Su zero-day-malware die de beveiliging van het apparaat omzeilde. Een zero-day-lek is een kwetsbaarheid die de maker van de beveiligingssoftware nog niet kent, waardoor er op het moment van de aanval ook geen detectie voor bestaat.

Het patroon is niet nieuw. De waarschuwing van de FBI van 3 september 2024 beschrijft precies deze werkwijze: de daders bestuderen professionele netwerken, bouwen in lange gesprekken vertrouwen op, treden op met meerdere personen en laten hun slachtoffers uiteindelijk code uitvoeren, bijvoorbeeld als sollicitatietest of als foutopsporing met onbekende pakketten.

Gemanipuleerd Homebrew-pakket: de eerste toegang in juni

Homebrew is een veelgebruikte pakketbeheerder voor macOS waarmee ontwikkelaars programma's via de opdrachtregel installeren. Volgens het rapport, zoals The Block het weergeeft, zocht een engineer uit het wallet-DevOps-team in juni een AI-tool om mee te programmeren en kwam hij daarbij uit bij een gemanipuleerde installatie.

Binance ontdekte de afwijking naar eigen zeggen, verving het apparaat en vernieuwde de betrokken inloggegevens. Toch wisten de aanvallers daarna wie er in het wallet-team werkte en welke rol de man had. Die kennis over personen viel niet te resetten. Het incident in juni was voor de daders dus geen mislukking: het leverde de plattegrond voor de tweede poging.

Interne AI-tool: de sprong van computer naar computer

Op 20 oktober zetten de aanvallers de in september besmette computer in. Via een interne AI-tool van Binance kwamen ze op de computers van twee engineers uit het wallet-team. Op een van die apparaten vonden ze een bevoegdheid om containers in de productieomgeving te starten. Een container is een afgeschermde softwareomgeving waarin een programma draait met precies de rechten die het zijn toegewezen.

Negen dagen later, op 29 oktober, gebruikten ze die bevoegdheid. Ze startten een container en lieten daarin een script draaien dat de aanval op de wallet-infrastructuur in gang zette. De AI-tool hielp volgens het rapport zowel bij de sprong tussen de computers als bij de toegang tot de signeeromgeving van de wallets.

EIP-7702 en de MPC-wallet: pas na ruim vier uur ingedamd

De tegoeden verlieten de exchange volgens CoinDesk vanaf 20.05 uur UTC. Pas op 30 oktober om 00.10 uur UTC was de aanval ingedamd. Su noemde de reden in het persgesprek: de aanvallers gebruikten EIP-7702, een uitbreiding van Ethereum uit de Pectra-upgrade waarmee een gewoon account tijdelijk de logica van een smart contract kan overnemen. Zo verschaften ze zich uitvoeringsrechten over een hot wallet.

Binance beveiligt zijn hot wallets met multi-party computation (MPC). De private key bestaat daarbij nooit op één plek; meerdere partijen maken elke handtekening samen. Dat beschermt tegen diefstal van één enkele sleutel. Bij Binance had het een keerzijde: volgens Su kon geen enkele sleutel afzonderlijk de verleende bevoegdheid weer intrekken, en daarom sleepte de indamming zich voort tot na middernacht.

Noord-Korea en TraderTraitor: wat de FBI toeschrijft en Pyongyang ontkent

De FBI schrijft de aanval toe aan de Noord-Koreaanse groep TraderTraitor. Binance spreekt in zijn rapport zelf van social engineering, malware en gecompromitteerde AI-tools en schrijft in 2026 al 57 vermoedelijk Noord-Koreaanse aanvalspogingen met vergelijkbare methoden te hebben afgeslagen.

Noord-Korea wijst de toeschrijving af. De zus van leider Kim Jong-un noemde de beweringen van de FBI maandag volgens The Block een "ernstige politieke provocatie". Harde aanwijzingen voor een andere dader zijn er tot nu toe niet; de toeschrijving blijft een inschatting van de Amerikaanse autoriteiten.

Bevroren, vergoed, SAFU gehalveerd: de stand van de klantgelden bij Binance

Volgens eigen opgave heeft Binance ongeveer 2,85 miljard dollar bevroren of onderschept en zo'n 98 procent van de getroffen tegoeden met eigen middelen aangevuld. Teng benadrukt dat gebruikers geen schade lijden. Sinds 3 november om 4.00 uur UTC zet de exchange de opnames in fasen weer open voor tientallen tokens op BNB Smart Chain, Ethereum, Solana, XRP Ledger, Sui, Arbitrum, Optimism, TRON en Base. De tokens met de grootste vraag van de afgelopen week kwamen als eerste aan de beurt. Daarna lagen de stortingen per uur volgens Binance boven de opnames.

Voor de vergoeding put Binance ook uit het SAFU-fonds, het noodfonds van de exchange voor verliezen van gebruikers. Volgens CoinDesk, op basis van gegevens van mempool.space, daalde de bitcoinvoorraad van dat fonds door vier transacties op 31 oktober van 15.000 naar ruim 7.500 BTC. Bij een bitcoinkoers van ongeveer 77.600 dollar op dinsdagmiddag volgens CoinGecko komt dat neer op zo'n 580 miljoen dollar. Binance heeft toegezegd het fonds weer aan te vullen tot ongeveer 1 miljard dollar, zonder een tijdstip te noemen. De exchange-token BNB noteerde op hetzelfde moment rond 700 dollar, 0,4 procent onder de vorige dag.

Als gevolgen noemt het rapport gedichte toegangswegen, opnieuw ingerichte of vervangen systemen, strengere apparaatcontroles en een uitgebreide, door AI ondersteunde detectie van afwijkend gedrag. Daarnaast laat Binance een onafhankelijke audit van de cyberbeveiliging uitvoeren.

Zo bescherm je je tegen nep-recruiters en malware in testopdrachten

Wat er is gebeurd: aanvallers benaderden in september 2026 een Binance-engineer via een vacatureplatform, voerden onder valse identiteiten videogesprekken en kregen hem zover dat hij een besmette programmeeropdracht op zijn werkcomputer opende. Op 29 oktober stroomde daarlangs meer dan 6,3 miljard dollar weg (incidentrapport van Binance, peildatum 3 november 2026).

Ben je getroffen? Als klant van Binance hoef je volgens de exchange geen verlies te dragen; je saldo wordt aangevuld en opnames komen in fasen terug. Getroffen kun je wel worden door dezelfde aanpak als je in de cryptosector werkt, code schrijft of solliciteert op vacatures met een cryptoachtergrond. Een signaal is een ongewoon snel, goed betaald aanbod dat uitmondt in een opdracht waarvoor je vreemde bestanden moet downloaden en uitvoeren.

1. Identiteit apart controleren: bel het bedrijf via een zelf opgezocht nummer of adres voordat je ingaat op een uitnodiging voor een tweede gesprek, en vertrouw nooit op contactgegevens uit het bericht van de recruiter.
2. Testopdrachten alleen afgeschermd: open programmeeropdrachten uit sollicitatieprocedures uitsluitend in een virtuele machine zonder toegang tot je wallets, wachtwoorden en bedrijfsaccounts, zoals de FBI aanraadt.
3. Geen seed phrase op apparaten met internet: bewaar herstelzinnen en private keys nooit op computer, telefoon of in de cloud; malware doorzoekt juist die plekken als eerste.
4. Software alleen uit de originele bron: installeer ontwikkeltools, AI-assistenten en browserextensies alleen via de link op de site van de maker en vergelijk bij pakketbeheerders naam en uitgever nauwkeurig.
5. Grotere bedragen offline: houd wat je niet verhandelt op een hardware wallet en gebruik voor tests, DeFi en airdrops een aparte wallet met een klein bedrag.

De basis van veilig bewaren lees je in onze gids crypto veilig bewaren, de geschikte apparaten vergelijkt de hardware wallet-vergelijking.

Social engineering tegen particuliere beleggers: de aanpak reikt veel verder dan exchanges

Social engineering staat voor aanvallen die bij de mens aangrijpen in plaats van bij de techniek: daders winnen het vertrouwen van hun slachtoffer en brengen het ertoe zelf de beslissende handeling uit te voeren. Bij Binance was dat het downloaden van een testopdracht. Bij particuliere beleggers is het meestal het goedkeuren van een transactie, het invoeren van de seed phrase of het installeren van een zogenaamd handige app.

Valse vacatures zijn daarbij een terugkerende route. De FBI noemt naast sollicitatietests ook zogenaamde investeringsaanbiedingen en verzoeken van bekende gezichten uit de sector, die werken met gestolen foto's en nagebouwde bedrijfssites. Wie cryptotegoeden beheert op dezelfde computer waarop hij ook vreemde bestanden opent, loopt in het klein hetzelfde risico als Binance in het groot.

De zaak laat ook zien dat goed sleutelbeheer alleen niet genoeg is. Binance gebruikte MPC en verving na het eerste incident in juni het apparaat. De aanval hield dat niet tegen, omdat de daders bevoegdheden in plaats van sleutels stalen en hun kennis over het team behielden. Voor beleggers betekent dat: scheid de apparaten waarmee je werkt en surft van het apparaat waarmee je ondertekent.

Binance-hack: één sollicitatiegesprek opende de weg naar 6,3 miljard

Het incidentrapport maakt van de recordhack een zaak van personeelsbeveiliging. Drie stappen helpen je de les daaruit toe te passen op je eigen tegoeden:

1. Aparte wallet voor tests: richt voor DeFi, airdrops en nieuwe toepassingen een eigen software wallet met een klein bedrag in. Geschikte apps vind je in de vergelijking van software wallets.
2. Langetermijnbezit offline houden: wat je niet verhandelt, hoort op een apparaat dat nooit vreemde code uitvoert. Modellen en prijzen staan in de hardware wallet-vergelijking.
3. Exchanges kiezen op vergunning: voor het saldo dat je op een handelsplatform laat staan, tellen een Europese vergunning, een reservebewijs en duidelijke regels voor vergoeding. Aanbieders met een MiCA-vergunning staan in de vergelijking van gereguleerde crypto-exchanges.

(Per 3 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)