Binance Hack Explained: How Billions Disappeared and What It Means for Your Crypto

The world’s largest cryptocurrency exchange says customer funds are safe, even as an attacker has managed to move billions of dollars in crypto out of its wallets. That raises an understandable question: what does “safe” mean when you temporarily cannot withdraw your money?

Binance estimates the security incident’s impact at approximately $6.3 billion. The company says around $3 billion in affected assets has been frozen and promises to cover losses using its own resources and its SAFU emergency fund. According to its official explanation of the security incident, the investigation remains ongoing.

For users, the questions now extend beyond the amount stolen. How did the attacker gain access? Why can some cryptocurrencies be frozen? And how much reassurance does a compensation promise provide while withdrawals remain suspended?

This article reflects information available on the morning of Friday, October 30, 2026. The investigation and service availability may change.

What happened at Binance?

On Thursday evening, October 29, large amounts of digital assets moved from Binance wallets to addresses researchers associate with the attacker.

Estimates vary. In a Chainalysis statement published by Reuters, the blockchain analysis company reported at least $5.912 billion in confirmed theft at its stated measurement time. Multiple blockchains were involved, including Bitcoin, Ethereum and Tron.

Different figures do not necessarily mean the sources contradict each other. Researchers may include different transactions, examine different time periods or use different market prices.

The distinction between the total outflow and the eventual loss also matters. Some of the assets have been blocked. How much is actually recovered will help determine how much Binance ultimately needs to replace.

How can a compromised laptop provide access to billions?

Binance’s preliminary investigation suggests that a DevOps engineer’s laptop may have been compromised. Through that computer, the attacker allegedly accessed an internal software environment that allowed unauthorized withdrawal requests.

Binance says it has found no evidence that wallet private keys were leaked. A full technical reconstruction has yet to be published.

Both statements can be true. An attacker does not necessarily need to copy a secret key if they can access a system that signs transactions on the owner’s behalf.

Think of a payments department: someone does not need the vault code if they can get an authorized employee, or that employee’s system, to approve a payment. Security must therefore protect the keys and control who can request transactions, for what purpose and under which conditions.

That explains why the laptop matters as a possible entry point, but it is not a complete explanation. The central investigative question is which subsequent security controls the attacker managed to bypass.

What happened behind the scenes?

Blockchain intelligence company TRM Labs describes in its analysis of the Binance attack how an existing Ethereum wallet was authorized to execute software controlled by the attacker.

The attack allegedly used EIP-7702, an Ethereum feature that allows a regular wallet to delegate its behavior to a smart contract through a signed authorization. In this case, that authorization was reportedly used to drain the wallet repeatedly.

On other networks, TRM observed ordinary transfers carrying valid signatures. The company interprets this as evidence that the transaction-signing infrastructure had been compromised. This remains TRM’s analysis; Binance’s definitive technical explanation is still pending.

The broader lesson is straightforward: a valid digital signature proves that a transaction was technically authorized. It does not automatically prove that the legitimate owner intended to make that payment.

The wider question of excessive access is also explored in my article on AI cyberattacks and security permissions. That is a comparison of security controls, not evidence that AI caused the Binance attack.

The distinction between approving a transaction and intending it also runs through my earlier analysis of the Bybit exchange hack, which examines custody, transaction approval and the risks carried into Web3 gaming.

Was Bitcoin itself hacked?

The available findings point to an attack on Binance and its transaction systems. They do not demonstrate a breach of the Bitcoin network’s underlying security.

That distinction matters for users. Anyone keeping cryptocurrency on an exchange depends on that platform for custody and withdrawals. Holding bitcoin directly and maintaining a bitcoin balance with an exchange therefore involve different dependencies.

Self-custody transfers responsibility to the owner. It can reduce reliance on an exchange, but it requires careful management of private keys and recovery phrases. A lost recovery phrase, an incorrect transaction or a fraudulent authorization can also have serious consequences.

The choice concerns which risks someone can manage themselves and which they entrust to a service provider.

How can stolen cryptocurrency be frozen?

Cryptocurrencies are often discussed as though every transaction operates entirely beyond centralized control. The reality differs between assets and networks.

For stablecoins such as USDT and USDC, issuers can block certain addresses. According to Bitquery’s investigation into the stolen and frozen assets, these interventions helped immobilize a substantial portion of the proceeds. Bitcoin has no central issuer with an equivalent ability to freeze balances.

Bitquery also describes how the attacker exchanged stablecoins before restrictions took effect. The response becomes a race: investigators trace transactions while the attacker tries to move value into other assets.

Frozen funds are not the same as returned funds. A freeze prevents further movement; recovery and availability to customers are separate steps. The frozen amount therefore cannot simply be deducted from the damage as though the recovery process were already complete.

Are customer funds actually safe?

Binance promises to cover all losses using the SAFU fund and company resources. That is a public commitment to compensation. The announcement reviewed for this article does not yet provide a complete financial reconciliation or detailed treatment of consequential losses.

Customers need to distinguish between three things: their balance, their access to it and its market value.

An account might still display one bitcoin while withdrawals are temporarily unavailable. If the bitcoin price falls during that period, the same quantity may later be worth less. A trader who needs collateral elsewhere can also face difficulties when capital is temporarily inaccessible.

A promise to replace stolen cryptocurrency does not automatically establish whether price losses, missed trades or forced liquidations will be reimbursed. Those questions require separate terms and decisions.

When will Binance withdrawals resume?

Binance initially announced a temporary suspension of deposits and withdrawals. In a later update on service restoration, the company said deposits were operating normally while withdrawals remained paused.

The company expects withdrawal services to resume within 48 hours. Reporting on the statement also refers to the beginning of restoration. That does not establish that every asset and network will be fully available within that period.

For users, the actual withdrawal status in their account is therefore more useful than a general estimate. An announced reopening and a successfully completed withdrawal are different things.

Does proof of reserves show that Binance can cover everything?

Binance has announced that it will publish an updated Proof of Reserves. Such a disclosure can help establish whether a platform holds the customer assets it reports.

However, even Binance’s own explanation of Proof of Reserves acknowledges its limitations: it represents a snapshot in time, and standard checks do not verify every off-chain liability.

That makes the distinction between customer assets and company assets crucial. Cryptocurrency held for customers is not automatically money the business can freely use to absorb losses.

A convincing financial explanation therefore requires information about reserves, liabilities, recovered assets and the funding genuinely available for compensation.

Who is behind the attack?

TRM Labs attributes the attack with high confidence to TraderTraitor, a North Korean hacking group. The research company describes the approximately $6.36 billion theft as the largest known cryptocurrency heist, roughly four times the size of the February 2025 Bybit hack.

That remains TRM’s attribution. Binance did not identify an attacker in the announcement reviewed for this article.

The attacker’s eventual identification will not answer every security question. A platform must also withstand adversaries with the time, technical expertise and financial resources to execute several stages of an attack.

What does this billion-dollar theft mean for crypto’s future?

The attack exposes a tension: digital currencies can operate on public, distributed networks while users concentrate their assets with a single commercial custodian.

My assessment is that this will increase pressure on exchanges to demonstrate how their security works. Which systems can request payments? How are unusual transactions stopped? Can a compromised workstation expose wallets across several networks? How quickly can access be revoked?

The timing of incident disclosure matters too. My analysis of OpenAI’s breach reporting examines why affected parties may need an early warning before a complete technical investigation is ready.

For another practical example of the gap between announcing a fix and verifying protection, see my explanation of PHP security vulnerabilities and server updates. This does not establish any connection between those flaws and Binance.

Financially, several outcomes remain possible. Rapid service restoration, demonstrable asset coverage and successful recovery could help rebuild confidence. Prolonged withdrawal restrictions or unclear reserves could create further uncertainty. These are scenarios, not predictions about Binance’s solvency.

For readers in the Netherlands, De Nederlandsche Bank explains that cryptocurrency falls outside the Dutch deposit guarantee scheme. An exchange’s compensation promise therefore provides a different kind of assurance from the statutory protection attached to an eligible bank deposit.

What should users watch now?

The next meaningful developments will be successful withdrawals, a verifiable reserve disclosure, actual asset recovery and a technical report explaining which security controls have changed.

Meanwhile, Binance’s guidance on impersonation scams and supposedly “secure wallets” warns against messages urging users to move funds or disclose confidential information. Open the official app or website yourself, and never share a recovery phrase, private key or verification code with someone offering support.

The coming days should reveal how much of the damage can be reversed. For customers, the decisive test is concrete: can they withdraw their full balance again, and can Binance substantiate that the same is true for everyone?

Binance gehackt: hoe miljarden verdwenen en wat dit voor jouw crypto betekent

De grootste cryptobeurs ter wereld belooft dat klanttegoeden veilig zijn, terwijl een aanvaller voor miljarden aan cryptomunten uit haar wallets heeft kunnen halen. Dat roept een begrijpelijke vraag op: wat betekent ‘veilig’ als je jouw geld tijdelijk niet kunt opnemen?

Binance schat de impact van het beveiligingsincident op ongeveer 6,3 miljard dollar. Het bedrijf meldt dat circa 3 miljard dollar aan getroffen activa is bevroren en belooft verliezen met eigen middelen en het SAFU-noodfonds te dekken. Volgens de officiële toelichting op het beveiligingsincident loopt het onderzoek nog.

Voor gebruikers draait het inmiddels om meer dan het gestolen bedrag. Hoe kon de aanvaller binnendringen? Waarom kunnen sommige cryptomunten worden bevroren? En hoeveel zekerheid biedt een compensatiebelofte zolang opnames stilliggen?

Dit artikel beschrijft de beschikbare informatie op vrijdagochtend 30 oktober 2026. Het onderzoek en de dienstverlening kunnen veranderen.

Wat is er bij Binance gebeurd?

Op donderdagavond 29 oktober stroomden grote hoeveelheden digitale valuta uit wallets van Binance naar adressen die onderzoekers aan de aanvaller koppelen.

De precieze omvang verschilt per onderzoek. In een door Reuters gepubliceerde verklaring van Chainalysis noemt het analysebedrijf minstens 5,912 miljard dollar aan bevestigde diefstal op zijn meetmoment. Daarbij waren meerdere blockchains betrokken, waaronder Bitcoin, Ethereum en Tron.

Verschillende bedragen betekenen dus niet automatisch dat bronnen elkaar tegenspreken. Onderzoekers kunnen andere transacties meetellen, op verschillende momenten kijken of andere koersen gebruiken.

Het onderscheid tussen de totale uitstroom en het uiteindelijke verlies is bovendien essentieel. Een deel van de buit is geblokkeerd. Hoeveel daarvan werkelijk terugkomt, bepaalt mede hoeveel Binance uiteindelijk zelf moet aanvullen.

Hoe kan een gehackte laptop toegang geven tot miljarden?

Volgens Binances voorlopige onderzoek is mogelijk een laptop van een DevOps-engineer gecompromitteerd. Via die computer zou de aanvaller toegang hebben gekregen tot een interne softwareomgeving waarmee ongeautoriseerde opnames konden worden aangevraagd.

Binance zegt nog geen bewijs te hebben gevonden dat privésleutels van wallets zijn uitgelekt. De volledige technische reconstructie moet nog verschijnen.

Die twee mededelingen kunnen naast elkaar kloppen. Een aanvaller hoeft niet noodzakelijk een geheime sleutel te kopiëren wanneer hij toegang krijgt tot een systeem dat namens de eigenaar transacties kan laten ondertekenen.

Vergelijk het met een betaalafdeling: iemand hoeft de kluiscode niet te kennen als hij de bevoegde medewerker of diens systeem zover krijgt een betaling goed te keuren. De beveiliging moet daarom niet alleen de sleutels beschermen, maar ook controleren wie opdrachten mag geven, waarvoor en onder welke voorwaarden.

Dat verklaart waarom de laptop als toegangspunt belangrijk is, maar op zichzelf geen volledige verklaring vormt. De wezenlijke onderzoeksvraag is welke beveiligingslagen daarna konden worden gepasseerd.

Wat gebeurde er technisch achter de schermen?

Blockchainonderzoeker TRM Labs beschrijft in zijn analyse van de Binance-aanval hoe op Ethereum een bestaande wallet werd gemachtigd om software van de aanvaller uit te voeren.

Daarbij zou gebruik zijn gemaakt van EIP-7702, een Ethereum-functie waarmee een gewone wallet via een ondertekende autorisatie gedrag aan een smart contract kan delegeren. In dit geval zou de autorisatie zijn gebruikt om de wallet herhaaldelijk leeg te halen.

Op andere netwerken zag TRM gewone, geldig ondertekende overboekingen. Het bedrijf interpreteert dat als een aanwijzing dat de infrastructuur voor het ondertekenen van transacties was gecompromitteerd. Dit is de analyse van TRM; de definitieve technische verklaring van Binance ontbreekt nog.

De bredere les is duidelijk: een geldige digitale handtekening bewijst dat een transactie technisch is goedgekeurd. Zij bewijst niet automatisch dat de rechtmatige eigenaar die betaling daadwerkelijk wilde.

De bredere vraag over te ruime toegangsrechten bespreek ik ook in mijn artikel over AI-cyberaanvallen en beveiligingsrechten. Dat is een vergelijking van beveiligingsprincipes, geen aanwijzing dat AI deze Binance-aanval veroorzaakte.

Diezelfde spanning tussen een transactie goedkeuren en die werkelijk bedoelen komt terug in mijn eerdere analyse van de Bybit-hack en cryptobewaring. Dat artikel bespreekt ook de gevolgen voor Web3-gaming.

Is bitcoin zelf gehackt?

De beschikbare bevindingen wijzen op een aanval op Binance en zijn transactiesystemen. Ze tonen geen doorbraak van de beveiliging van het Bitcoin-netwerk zelf.

Voor gebruikers is dat onderscheid belangrijk. Wie cryptomunten op een handelsplatform bewaart, vertrouwt voor bewaring en opnames op dat platform. Het bezit van bitcoin en het aanhouden van een bitcointegoed bij een beurs brengen daardoor verschillende afhankelijkheden mee.

Zelf bewaren verplaatst die verantwoordelijkheid naar de eigenaar. Dat kan afhankelijkheid van een beurs verminderen, maar vraagt zorgvuldig sleutelbeheer. Een verloren herstelzin, verkeerde transactie of frauduleuze ondertekening kan ook daar ernstige gevolgen hebben.

De keuze gaat dus over welke risico’s iemand zelf kan beheersen en welke hij aan een dienstverlener toevertrouwt.

Hoe kun je gestolen crypto bevriezen?

Cryptovaluta worden vaak beschreven alsof alle transacties volledig buiten centrale controle vallen. De werkelijkheid verschilt per munt en netwerk.

Bij stablecoins zoals USDT en USDC kunnen uitgevers bepaalde adressen blokkeren. Volgens Bitquery’s onderzoek naar de gestolen en bevroren activa hielpen zulke ingrepen een aanzienlijk deel van de buit vast te zetten. Die bevoegdheid bestaat niet op dezelfde manier voor bitcoin, dat geen centrale uitgever heeft.

Bitquery beschrijft ook hoe de aanvaller stablecoins omwisselde voordat blokkades waren doorgevoerd. Daarmee wordt de reactie een race: onderzoekers volgen transacties, terwijl de aanvaller probeert vermogen in andere activa onder te brengen.

Bevroren geld is echter nog geen teruggestort geld. Een blokkade voorkomt verdere verplaatsing; terugvordering en beschikbaarheid voor klanten zijn vervolgstappen. Daarom mag het bevroren bedrag niet zonder meer van de schade worden afgetrokken alsof de afwikkeling al klaar is.

Zijn klanttegoeden werkelijk veilig?

Binance belooft alle verliezen te dragen met het SAFU-fonds en eigen bedrijfsmiddelen. Daarmee neemt de onderneming publiekelijk verantwoordelijkheid voor compensatie. De bekeken aankondiging bevat nog geen volledige afrekening of uitwerking van eventuele gevolgschade.

Voor klanten moeten drie zaken uit elkaar blijven: hun tegoed, de toegang daartoe en de marktwaarde ervan.

Een rekening kan bijvoorbeeld nog steeds één bitcoin tonen terwijl een opname tijdelijk onmogelijk is. Als de bitcoinprijs ondertussen daalt, kan diezelfde hoeveelheid later minder waard zijn. Ook een handelaar die elders onderpand nodig heeft, kan problemen krijgen wanneer vermogen tijdelijk vaststaat.

Een belofte om gestolen cryptomunten aan te vullen zegt daarom niet automatisch iets over vergoeding van koersverlies, gemiste transacties of gedwongen liquidaties. Daarvoor zijn afzonderlijke voorwaarden en besluiten nodig.

Wanneer kunnen gebruikers weer geld opnemen?

Binance meldde aanvankelijk een tijdelijke stop op stortingen en opnames. In een latere update over het herstel van de dienstverlening zegt het bedrijf dat stortingen normaal functioneren, terwijl opnames gepauzeerd blijven.

Het bedrijf verwacht binnen 48 uur de opnamedienst te hervatten. De berichtgeving over de verklaring spreekt ook over het beginnen van herstel. Dat biedt nog geen zekerheid dat iedere munt en ieder netwerk binnen die termijn volledig beschikbaar is.

Voor gebruikers is de daadwerkelijke opnamestatus in hun account daardoor belangrijker dan een algemene verwachting. Een aangekondigde heropening en een succesvol uitgevoerde opname zijn verschillende dingen.

Bewijst een overzicht van reserves dat Binance alles kan betalen?

Binance heeft een bijgewerkt Proof of Reserves aangekondigd. Zo’n reserveoverzicht kan helpen controleren of een platform de opgegeven klantactiva aanhoudt.

Maar zelfs Binances eigen uitleg over Proof of Reserves benoemt beperkingen: het betreft een momentopname en standaardcontroles verifiëren niet alle verplichtingen buiten de blockchain.

Dat maakt het onderscheid tussen klantvermogen en bedrijfsvermogen cruciaal. Cryptomunten die voor klanten worden bewaard, zijn niet automatisch vrij beschikbaar geld waarmee de onderneming verliezen kan opvangen.

Een overtuigende financiële onderbouwing vraagt daarom inzicht in reserves, verplichtingen, teruggewonnen activa en de daadwerkelijk beschikbare financiering voor compensatie.

Wie zit achter de aanval?

TRM Labs schrijft de aanval met hoge zekerheid toe aan TraderTraitor, een Noord-Koreaanse hackersgroep. Het onderzoeksbedrijf noemt de roof met circa 6,36 miljard dollar de grootste bekende cryptodiefstal, ongeveer vier keer de omvang van de Bybit-hack van februari 2025. Dat blijft een toeschrijving door TRM; Binance heeft in de bekeken aankondiging geen dader genoemd.

Voor de beveiligingsvraag maakt de uiteindelijke identiteit niet alles uit. Een platform moet ook bestand zijn tegen aanvallers die tijd, technische kennis en financiële middelen hebben om meerdere stappen achter elkaar uit te voeren.

Wat zegt deze miljardenroof over de toekomst van crypto?

Deze aanval legt een spanning bloot: digitale valuta kunnen op openbare, gedistribueerde netwerken draaien, terwijl gebruikers hun vermogen concentreren bij één commerciële bewaarder.

Mijn analyse is dat de druk daardoor zal toenemen om beveiliging aantoonbaar te maken. Welke systemen mogen betalingen aanvragen? Hoe worden uitzonderlijke transacties tegengehouden? Kan een compromis op één werkplek meerdere netwerken raken? En hoe snel kan een platform toegang intrekken?

Ook het moment van melden doet ertoe. Mijn analyse van OpenAI’s incidentmelding bespreekt waarom betrokkenen een eerste waarschuwing nodig kunnen hebben voordat het volledige technische onderzoek klaar is.

Het verschil tussen een aangekondigde oplossing en aantoonbare bescherming staat ook centraal in mijn uitleg over PHP-beveiligingslekken en serverupdates. Daarmee is geen verband tussen die kwetsbaarheden en Binance aangetoond.

Financieel zijn meerdere uitkomsten denkbaar. Snel herstel, aantoonbare dekking en daadwerkelijke terugvordering kunnen vertrouwen helpen herstellen. Langdurig geblokkeerde opnames of onduidelijke reserves kunnen juist tot extra onrust leiden. Dit zijn scenario’s, geen voorspellingen over Binances solvabiliteit.

Voor Nederlandse lezers geldt bovendien dat crypto volgens De Nederlandsche Bank buiten de Nederlandse depositogarantie valt. Een compensatiebelofte van een cryptobeurs biedt dus een andere vorm van zekerheid dan de wettelijke bescherming van een bankdeposito.

Waar moeten gebruikers nu op letten?

De eerstvolgende betekenisvolle signalen zijn succesvolle opnames, een controleerbaar reserveoverzicht, concrete terugvordering en een technisch rapport dat verklaart welke beveiliging is aangepast.

Ondertussen waarschuwt Binance in zijn uitleg over nepmedewerkers en ‘veilige wallets’ voor berichten die gebruikers aansporen geld te verplaatsen of geheime gegevens te delen. Open de officiële app of website zelf en deel nooit een herstelzin, privésleutel of verificatiecode met iemand die ondersteuning aanbiedt.

De komende dagen zal blijken hoeveel van de schade kan worden teruggedraaid. Voor klanten ligt de doorslaggevende toets bij iets concreets: kunnen zij hun volledige tegoed weer opnemen, en kan Binance onderbouwen dat dit voor iedereen geldt?