Stel je één week voor met de grootste cryptodiefstal ooit, techaandelen die keihard onderuitgaan en een markt die rekent op een renteverhoging. Dan verwacht je dat Bitcoin een flinke klap krijgt. Dat gebeurde niet. Op moment van publicatie staat Bitcoin op $78.211, terwijl Binance net meer dan $6 miljard kwijtraakte aan Noord-Koreaanse hackers. Wij vinden dat eerlijk gezegd ongekend.
De markt
Bitcoin staat bijna $2.000 lager dan een week eerder, Ethereum noteert $2.288 en de Fear and Greed Index zakte van 50 naar 37. We zitten dus weer in angst. De Federal Reserve liet de rente staan tussen 3,75% en 4%, maar twee leden stemden voor een verhoging, onder wie gouverneur Lisa Cook. Volgens CME FedWatch ziet de markt zo'n 75% kans dat de rente in december alsnog omhoog gaat.
Op Wall Street ging het vooral bij tech mis. Alphabet gaat nog meer uitgeven aan AI-datacenters en stopt met het inkopen van eigen aandelen, waarna het aandeel 12% verloor. Intel zakte bijna 29% door tegenvallende verwachtingen. Beleggers vragen zich af of al die miljarden aan AI-investeringen zich ooit terugbetalen. De Nasdaq verloor 2% over de week, de derde verliesweek op rij. De Bitcoin ETF's zagen op één dag $643 miljoen uitstromen, met per saldo zo'n $200 miljoen over de hele week. Brent bleef duur met ruim $110 per vat. Gezien al die onrust houdt Bitcoin zich opvallend goed. [00:44]
De hack
In ongeveer twintig minuten werden de hot wallets van Binance op tien blockchains leeggetrokken. Hot wallets zijn verbonden met het internet, zodat de beurs withdrawals direct kan uitbetalen. Het grootste deel van het klantengeld staat in cold wallets, die veel lastiger bereikbaar zijn. Volgens TRM Labs is er $6,36 miljard gestolen, waaronder ruim 18.000 Bitcoin, zo'n 200.000 Ether en bijna $2,5 miljard aan USDT. Dat is ruim vier keer zoveel als bij de Bybit-hack, die tot dan toe het record had.
Het begon bij de laptop van een DevOps-engineer. Via die laptop kon de aanvaller opnames indienen alsof ze van Binance zelf kwamen. Er zijn volgens Binance geen private keys gelekt, en co-CEO Richard Teng benadrukt dat het om een complexe aanval ging en niet om één verkeerde klik. Op Ethereum maakte de aanvaller gebruik van een recente update waarmee een gewone wallet met één handtekening de besturing kan overdragen aan code. Met vijftig vooraf getekende volmachten veranderde hij hot wallets in stofzuigers die alles naar hem doorstuurden, zonder dat die volmachten langs de normale goedkeuringscontroles gingen. De FBI wijst TraderTraitor aan als dader, dezelfde Noord-Koreaanse groep die achter Bybit zat.
Binance vangt de klap zelf op met geld uit het SAFU-noodfonds, een verzekeringsfonds en eigen middelen. Inmiddels is zo'n 95% van het gat gedekt. Toen de withdrawals weer opengingen, haalden klanten in de eerste negen uur per saldo $3,64 miljard weg, ongeveer 2% van alle klantengelden. Een bank run bleef dus uit. [04:15]
Bevroren, niet terug
Ruim een uur na de aanval meldden de eerste stablecoin-uitgevers dat ze tokens hadden bevroren. Dat kan omdat er achter een stablecoin een bedrijf zit dat tokens kan blokkeren. Bij Bitcoin en Ether kan dat niet. Van de $3,4 miljard aan gestolen stablecoins is zo'n $2,7 miljard bevroren: Tether blokkeerde $1,8 miljard USDT en Circle vrijwel alle $800 miljoen aan gestolen USDC. Bevroren betekent wel dat de aanvaller er niet meer bij kan, maar niet dat het geld al terug is bij Binance.
De aanvaller probeerde de bevriezingen voor te zijn door via Uniswap en AAVE razendsnel naar Ether te wisselen. Zo bleef ongeveer $770 miljoen buiten bereik. Volgens Decrypt heeft hij nu voor zo'n $2,4 miljard aan Ether en Bitcoin in handen, en dat kan niemand bevriezen. [08:19]
De lange arm van de FBI
Terwijl de aanvaller geld witwast via onder meer het Tron-netwerk, publiceerde de FBI een lijst met adressen van de hackers. De dienst vraagt nu ook partijen die geen klantengeld beheren om die transacties te weigeren, zoals node-operators, wisseldiensten en DeFi-platforms. ThorChain zou al onder druk zijn gezet. Journalist Laura Shin vindt dat vergaand: wie zo'n dienst draait, loopt het risico op een aanklacht als er toch een transactie doorheen glipt. Dat raakt direct aan de zaak tegen Roman Storm van Tornado Cash, die opnieuw voor de rechter komt. Daar moet blijken of je als developer aansprakelijk bent voor wat anderen met je software doen. De aanvaller financierde zijn wallet volgens de eerste meldingen trouwens ook via Tornado Cash. [10:01]
De les
Dat Binance het gat dicht, vinden wij goed. Maar geen enkel bedrijf kan zulke gaten op lange termijn blijven vullen. Nederlanders hadden dit keer geluk, omdat Binance hier al niet meer actief was. De volgende keer kan het net zo goed een andere exchange zijn.
Ons belangrijkste advies is dan ook: bouw optionaliteit in en verklein je risk of ruin. Een verlies van 30% overleef je, 70% misschien ook nog wel, maar van 100% herstel je niet. Verdeel je vermogen daarom over meerdere exchanges, een custodian, self custody en eventueel een ETF. Gaat er dan ergens iets mis, dan ben je niet meteen alles kwijt. [12:42]