Binance belooft verliezen te dekken na vermoedelijke miljardenhack
Binance houdt opnames stil na een vermoedelijke miljardenhack en belooft alle verliezen te dekken. Stortingen werken volgens de nieuwste verklaring normaal. Het cryptoplatform verwacht opnames binnen 48 uur te hervatten. Voor klanten draait het nu om toegang tot hun geld en om de vraag hoe snel de schade kan worden hersteld.
Ik vind die toezegging belangrijk. Tegelijk wil ik begrijpen wat erachter zit. Er zijn miljarden aan crypto verplaatst, een groot bedrag is bevroren en de technische oorzaak wordt nog onderzocht. Hoeveel uiteindelijk verloren gaat, staat daarmee nog open. Juist dat onderscheid helpt om deze onrustige nacht te begrijpen.
De gebeurtenis laat ook zien hoeveel macht een paar bedrijven binnen crypto hebben. De uitgevers van digitale dollars kunnen tegoeden blokkeren. Die mogelijkheid heeft hier vermoedelijk veel schade beperkt. Het herstel hangt vervolgens af van de beurs, die uitgevers en opsporingsdiensten samen.
Inhoud van dit artikel
Van verdachte transfers naar een volledige opnamepauze
Donderdagavond zagen onderzoekers grote bedragen vertrekken uit digitale portemonnees die aan Binance worden toegeschreven. Het gaat onder meer om zogeheten hot wallets. Daarin houdt een beurs crypto beschikbaar om dagelijkse betalingen en opnames te verwerken. Ze zijn verbonden met het internet, zodat transacties snel kunnen worden uitgevoerd.
Om 22.16 uur Nederlandse tijd meldde het platform dat het een mogelijk beveiligingsprobleem onderzocht. Toen was volgens de onderneming nog geen invloed op klanttegoeden vastgesteld. In de uren daarna volgden steeds ingrijpendere maatregelen.
Om 23.15 uur liet de beurs weten dat opnames zouden worden hervat zodra het beveiligingsprobleem was opgelost. Kort na middernacht werden ook handelsfuncties binnen Binance Alpha tijdelijk stilgelegd. Via dat onderdeel kunnen klanten onder meer bepaalde kleinere tokens kopen.
De belangrijkste toezegging volgde vrijdagnacht om 01.13 uur. Binance schreef dat het alle verliezen zal dekken en dat zowel stortingen als opnames uit voorzorg waren opgeschort. In een nieuwe verklaring om 05.36 uur Nederlandse tijd meldt het bedrijf dat stortingen normaal werken. Opnames blijven gepauzeerd terwijl de beveiliging van de opnamedienst wordt aangepakt. Hervatting wordt binnen 48 uur verwacht; dat is nog geen garantie.
Oprichter Changpeng Zhao had eerder al gezegd dat hij volledige dekking voor klanten verwachtte. Hij benadrukte daarbij dat hij de beurs niet meer bestuurt. Inmiddels komt de belofte van het bedrijf zelf, dat ook heeft aangegeven welke middelen het wil inzetten. De uitvoering moet nog volgen.
Waarom er verschillende miljardenbedragen rondgaan
Beveiligingsbedrijf Blockaid meldde aanvankelijk ongeveer 3,3 miljard dollar aan verdachte transfers. Onderzoeker Wazz kwam met een bredere telling over drie netwerken op minstens 5,57 miljard dollar. Binance schat de totale omvang inmiddels op ongeveer 6,3 miljard dollar. Ook dat is een voorlopige raming: hoeveel uiteindelijk verloren gaat, staat nog niet vast.
Die bedragen kun je niet optellen. Onderzoekers kunnen naar andere netwerken, portemonnees of momenten kijken. Bovendien kan hetzelfde geld meerdere keren worden verplaatst. Wie alle overschrijvingen achter elkaar optelt, loopt het risico dezelfde dollar dubbel te tellen. Een verzameling verdachte wallets kan ook een andere waarde laten zien doordat cryptokoersen intussen veranderen.
Daartegenover staat volgens de nieuwste bedrijfsverklaring ongeveer 3 miljard dollar aan bevroren tegoeden. Eerder in de nacht meldde Binance een geverifieerd totaal van 2,54 miljard dollar. Bevriezen voorkomt dat geld verder wordt verplaatst; het betekent nog niet dat het aan klanten is teruggegeven.
Ik zou daar nu geen rekensom van maken waarbij 3 miljard van 6,3 miljard wordt afgetrokken om een definitieve schade te presenteren. Daarvoor moeten eerst de totale buit, de terug te halen bedragen en eventuele dubbeltellingen vaststaan. Wel is duidelijk dat de blokkades een belangrijk deel van de vermoedelijke buit kunnen beschermen.
Hoe kan geld uit zulke grote wallets verdwijnen?
Een cryptotransactie moet digitaal worden ondertekend. Daarmee geeft de houder van een wallet toestemming om geld te verplaatsen. Rond die toestemming hebben grote partijen beveiligingssystemen gebouwd, vaak met meerdere controles.
Blockaid zag dat een betrokken wallet toestemming had gekregen om opdrachten via andere software uit te voeren. Die software kon vervolgens tokens en ether wegsluizen. In gewone taal: er lijkt een gevaarlijke machtiging te zijn gegeven waarmee geld kon worden verplaatst.
Hoe die machtiging tot stand kwam, is de centrale onderzoeksvraag. In een eerste toelichting vermoedt Blockaid dat de infrastructuur voor het ondertekenen van transacties is misbruikt. Daarbij kan een systeem een schadelijke opdracht goedkeuren zonder dat een aanvaller de geheime sleutel zelf heeft buitgemaakt. Het beveiligingsbedrijf benadrukt dat dit een voorlopige inschatting is.
Het eerste onderzoek van Binance wijst op een mogelijk gehackte laptop van een technisch medewerker. Daarmee zou een aanvaller toegang hebben gekregen tot software voor het verwerken van opnames. Het bedrijf heeft geen bewijs gevonden dat geheime walletsleutels zijn gelekt. De volledige aanval en de identiteit van de dader zijn nog niet vastgesteld. Verdachte transfers op meerdere netwerken bewijzen bovendien geen inbraak in die netwerken zelf.
Tether en Circle konden op de rem trappen
Een groot deel van de betrokken crypto bestaat uit stablecoins. Dat zijn tokens die doorgaans de waarde van een gewone munt volgen. USDT van Tether en USDC van Circle zijn gekoppeld aan de Amerikaanse dollar.
De uitgevers hebben de mogelijkheid om specifieke adressen te blokkeren voor hun tokens. Tether meldde meer dan 1,567 miljard USDT te hebben bevroren. Circle sprak over meer dan 800 miljoen USDC, in samenwerking met opsporingsdiensten. Ook Ripple meldde maatregelen rond zijn dollarstablecoin RLUSD.
Dat kan een aanvaller verhinderen om die tokens verder te verplaatsen of te verkopen. Bij bitcoin en gewone ether bestaat geen vergelijkbare centrale uitgever die dezelfde knop kan indrukken. Daarom telt snelheid: als een aanvaller stablecoins eerst omzet naar andere crypto, kan blokkeren lastiger worden.
Circle legt uit dat een blokkade een transactie niet terugdraait. Het geld staat daarmee nog niet terug bij de beurs of de klant. Daarvoor volgen aparte juridische en operationele stappen.
Dat is de eigenschap van stablecoins die hier zo duidelijk wordt: ze kunnen wereldwijd over een blockchain bewegen, terwijl de uitgever belangrijke controle behoudt. Voor slachtoffers kan die controle een uitkomst zijn. Wie stablecoins aanhoudt, moet ook begrijpen dat deze bevoegdheid onderdeel van het product is.
Kan Binance de rekening betalen?
Binance zegt alle verliezen te dekken met zijn SAFU-noodfonds en eigen bedrijfsmiddelen. Hoe groot de uiteindelijke rekening wordt en hoeveel uit elke bron komt, is nog niet duidelijk. Na het herstel belooft het bedrijf ook een bijgewerkt overzicht van zijn cryptoreserves. Een ruime voorraad in zichtbare wallets geeft op zichzelf geen volledig beeld van de financiële draagkracht.
Een beurs bewaart immers ook bezittingen van klanten. Dat geld staat tegenover verplichtingen aan diezelfde klanten. Voor de financiële draagkracht wil je weten hoeveel eigen middelen beschikbaar zijn, welke schulden er bestaan en hoeveel geld daadwerkelijk kan worden ingezet om schade op te vangen.
Ook de opnamepauze verdient een precieze uitleg. Het stilzetten van geldstromen kan nodig zijn om verdere diefstal te voorkomen. Zo'n maatregel is op zichzelf geen bewijs van een faillissement. Voor een klant blijft het praktische gevolg wel hetzelfde: je kunt je crypto tijdelijk niet weghalen.
Daarom zal herstel van vertrouwen vooral afhangen van de volgende stappen. Wordt de toegang veilig hersteld? Verschijnt er een onderbouwd schadebedrag? En wordt duidelijk hoe ieder tekort wordt aangevuld? Een verklaring dat klanttegoeden veilig zijn krijgt pas echt betekenis wanneer klanten weer over die tegoeden kunnen beschikken.
Waarom ook de rest van crypto dit voelt
Een grote cryptobeurs is een knooppunt voor handelaren, kredietverstrekkers en bedrijven die voortdurend koop- en verkooporders plaatsen. Als geld daar tijdelijk vastzit, kan dat elders invloed hebben op de handel. Partijen kunnen voorzichtiger worden, minder orders plaatsen of posities verkleinen.
Bij handel met geleend geld kan een koersdaling bovendien extra verkopen uitlokken. Onderpand wordt minder waard en posities kunnen gedwongen worden gesloten. Daardoor kan een beveiligingsincident doorwerken in munten die zelf helemaal niet bij de inbraak betrokken zijn.
Een concrete voorzorgsmaatregel kwam van leenplatform Aave. Dat meldde dat zijn eigen contracten niet waren geraakt, maar bevroor bepaalde markten voor nieuwe stortingen en leningen. Bestaande opnames en aflossingen bleven volgens de verklaring mogelijk. Dat laat zien hoe een incident bij één grote partij het gedrag van andere partijen beïnvloedt, zonder dat overal sprake hoeft te zijn van een hack.
Wat kunnen overheden hier doen?
Circle en Binance melden samenwerking met opsporingsdiensten. Welke instanties precies betrokken zijn en welke juridische stappen volgen, is nog niet duidelijk. Onderzoek, het vastzetten van geld en uiteindelijke teruggave zijn afzonderlijke onderdelen van het herstel.
Voor Europese beleggers is daarnaast belangrijk dat toezicht geen spaarverzekering voor crypto oplevert. Crypto valt niet onder de Nederlandse depositogarantie. De Europese cryptoregels stellen wel eisen aan de bewaring en scheiding van klantbezittingen. Welke bescherming een klant kan inroepen, hangt onder meer af van de juridische aanbieder en de omstandigheden van het incident.
Er is geen bevestigde reddingsoperatie door een overheid of centrale bank. De huidige toezegging om verliezen te dekken komt van de onderneming. Dat is een wezenlijk verschil met geld dat onder een wettelijke bankgarantie valt.
Waar ik de komende uren op let
Voor mij draait deze zaak uiteindelijk om de kwaliteit van de bewaring. Je kunt overtuigd zijn van de toekomst van crypto en tegelijk kritisch kijken naar de partij die jouw munten beheert. Bij een beurs vertrouw je op haar beveiliging, interne controles en financiële draagkracht. Bij eigen bewaring neem je een groot deel van die verantwoordelijkheid zelf over, inclusief het risico dat je toegang verliest.
De snelle bevriezingen en de toezegging om verliezen te dekken zijn betekenisvolle stappen. Het volgende bewijs moet komen uit veilig hervatte dienstverlening, een controleerbare schadeberekening en een uitleg van de beveiligingsfout. Tot die duidelijkheid er is, blijft vooral van belang wat klanten daadwerkelijk met hun geld kunnen doen.
Opmerkingen