Op donderdag heeft een Binance-wallet een toestemming ondertekend die een aanvaller- gecontroleerd contract toestond deze te bedienen. Minder dan vier minuten later was ongeveer $2,5 miljard aan ether en tokens verdwenen.
Dat was slechts een deel van de ongeveer $6,3 miljard die Binance zegt gestolen te zijn over meerdere blockchains. Op Ethereum maakte de aanvaller gebruik van een functie genaamd EIP-7702, vernoemd naar het nummer van de Ethereum Improvement Proposal. Deze werd in mei 2025 geïmplementeerd als onderdeel van de Pectra-upgrade.
Om te begrijpen waarom het donderdag van belang was, beginnen we met wat een gewone Ethereum-portemonnee is.
<h2 id="wallet-gaat-eigen-koers-varen">Wallet gaat eigen koers varen</h2>
De meeste Ethereum-portefeuilles, van een browserportefeuille van een particuliere gebruiker tot een hot wallet van een exchange, worden beheerd door een privésleutel. De sleutel ondertekent transacties en de portemonnee verstuurt deze. Een gewone portemonnee kan geen eigen regels volgen, zoals een dagelijks bestedingslimiet of een lijst met goedgekeurde ontvangers.
Wallets die regels kunnen volgen zijn slimme contracten, een apart type account dat code uitvoert.
EIP-7702 stelt een gewone wallet in staat om die code te lenen. De wallet ondertekent een korte boodschap, een zogenaamde autorisatie, die verwijst naar een smart contract. Zodra de autorisatie wordt geaccepteerd, voert de wallet de code van dat contract uit alsof het de zijne is.
Iedereen kan de ondertekende machtiging aan het netwerk indienen, die blijft bestaan totdat een vervanging of annulering onchain wordt geregistreerd.
De functie was bedoeld om gewone wallets in staat te stellen betalingen te bundelen en iemand anders hun kosten te laten betalen. Binnen enkele weken na de lancering besloot marktmaker Wintermute <a href="https://www.coindesk.com/tech/2025/06/02/post-pectra-upgrade-malicious-ethereum-contracts-are-trying-to-drain-wallets-but-to-no-avail-wintermute" rel="noopener noreferrer nofollow">gevonden</a> dat de meeste EIP-7702-delegaties verwezen naar gekopieerde "sweeper"-scripts. Deze scripts sturen automatisch de fondsen van een wallet door naar een dief zodra de sleutel is gelekt.
De aanvaller gebruikte donderdag deze specifieke functie om een Binance-portemonnee met miljarden waarde een eigen sweeper te laten uitvoeren.
<h2 id="blockchain-spoor">Blockchain spoor</h2>
De hoofdportemonnee van de aanvaller, <a href="https://etherscan.io/address/0x7C8601d4645b93cea45F71e118A729332e6B5CA0" rel="noopener noreferrer nofollow">0x7C86…5CA0</a>, werd gefinancierd via de mengdienst Tornado Cash in kleine opnames vanaf woensdag, volgens een <a href="https://drk.vc/news/binance-14-eip-7702-drain" rel="noopener noreferrer nofollow">heropbouw van het netwerk</a>.
Op donderdagnamiddag UTC oefende de aanvaller de aanval op eigen wallets. Rond 16:00 UTC zette hij een sweeper-contract in, <a href="https://etherscan.io/address/0x63e842B054Bd624a465454D533C33F573e9c6fAe" rel="noopener noreferrer nofollow">0x63e8…6fAe</a>, waarvan de code alleen de wallet van de aanvaller toestaat deze te bedienen.
Om 20:20:59 UTC stuurde de aanvaller één <a href="https://etherscan.io/tx/0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b" rel="noopener noreferrer nofollow">transactie</a>. Het bevatte 50 machtigingen, elk ondertekend door de portefeuille die Etherscan aanduidt als “Binance 14” — een van de vele portefeuilles die aan Binance zijn gekoppeld — en elk wijzend naar de sweeper van Binance 14.
Binance 14 houdt een teller bij, een zogenaamde nonce, die wordt verhoogd telkens wanneer het een transactie verzendt. Elke ondertekende autorisatie moet overeenkomen met de teller van het account wanneer het netwerk deze verwerkt.
Maar Binance 14 was zoveel opnames aan het verwerken dat het nummer voortdurend veranderde. De aanvaller bereidde vervolgens 50 toestemmingen voor met opeenvolgende nummers, van 18.914.775 tot 18.914.824, waardoor de kwaadaardige transactie ruimte kreeg om binnen te komen terwijl de wallet bleef werken.
Gegevens van Etherscan geanalyseerd door CoinDesk tonen aan dat het netwerk de transactie met nummer 18.914.809 accepteerde en de andere 49 negeerde. Vijf transacties eerder in die Ethereum-block had Binance 14 transactie nummer 18.914.808 verzonden, waardoor 18.914.809 het volgende nummer werd.
Dit betekent dat iemand 50 geldige handtekeningen had verkregen die Binance 14 toestonden om de code van de aanvaller uit te voeren, elk gekoppeld aan een andere waarde van de transactieteller.<img src="https://cdn.sanity.io/images/s3y3vcno/production/f0067d8f854a81ef4d1285ed479726f8157db0e3-1920x1080.png?w=800&amp;fit=max&amp;auto=format" alt="Binance 14 ondertekende 50 permissies voor opeenvolgende nonces, en Ethereum accepteerde alleen degene die overeenkwam. (Shaurya Malwa/CoinDesk)" title="Binance 14 tekende 50 permissies voor opeenvolgende nonces, en Ethereum accepteerde alleen diegene die overeenkwam. (Shaurya Malwa/CoinDesk)">
Om 20:24:23 UTC riep de aanvaller de vegenmachine op via Binance 14. In één enkele <a href="https://etherscan.io/tx/0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3" rel="noopener noreferrer nofollow">transactie</a>, het verplaatste ongeveer 167.464 ETH en 63 tokens, waaronder ongeveer 1,6 miljard USDT, naar de aanvaller.
De overname eindigde daar niet. De eigen systemen van Binance bleven klantstortingen naar Binance 14 leiden, waarna de aanvaller deze opnieuw afroomde om 21:04 en 21:44 UTC.
De aanvaller maakte ook gebruik van de geleende code van Binance 14 om opdrachten te geven aan een aparte Binance smart wallet, Hot Wallet 34, en trok daar 823 miljoen USDC uit, <a href="https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history" rel="noopener noreferrer nofollow">TRM Labs</a> zei.
Binance 14 bleef bijna vier uur lang onder de kwaadaardige delegatie. Om 00:10:35 UTC vrijdag, de wallet <a href="https://etherscan.io/tx/0xafbf94c92a8d749988411669fa14d4f8866d9b4420b4ebd299f28e958dac7209" rel="noopener noreferrer nofollow">hebben de toestemming ingetrokken</a>, waarmee de code van de aanvaller wordt gewist.
<h2 id="de-oorsprong-van-de-handtekeningen">De oorsprong van de handtekeningen</h2>
De Ethereum-transacties bieden een gedetailleerd verslag van een onderdeel van een veel grotere diefstal. De aanvaller heeft ook 18.270 bitcoin verplaatst, honderden miljoenen XRP en fondsen op Solana, Tron en andere netwerken.
Die blockchains maken geen gebruik van EIP-7702, en de gestolen fondsen verlieten de wallets van Binance via gewone ondertekende transacties, aldus TRM Labs.
De gemeenschappelijke factor is dat de transacties geldige handtekeningen droegen van door Binance beheerde wallets. Hoe de aanvaller de bevoegdheid heeft verkregen om deze handtekeningen over verschillende blockchains te produceren, blijft onderwerp van onderzoek.<img src="https://cdn.sanity.io/images/s3y3vcno/production/81c876e0ffd52e97609651b373ade39179e340ea-1384x770.png?w=800&amp;fit=max&amp;auto=format" alt="De code van de aanvaller draaide bijna vier uur lang binnen Binance 14 voordat de wallet de delegatie opheef. (Shaurya Malwa/CoinDesk)" title="De code van de aanvaller draaide bijna vier uur lang binnen Binance 14 voordat de portemonnee de delegatie beëindigde. (Shaurya Malwa/CoinDesk)">
Binance's co-CEO Richard Teng <a href="https://x.com/_RichardTeng/status/2116072080525656150" rel="noopener noreferrer nofollow">zei vrijdag</a> dat voorlopige bevindingen wezen op een gecompromitteerde laptop van een DevOps-engineer, wat de aanvaller mogelijk in staat stelde toegang te krijgen tot een servicecontainer en ongeautoriseerde opnames te doen.
De aanvaller maakte niet eenvoudig gebruik van de bevoegdheden van één enkele engineer, en dit was geen enkele 'one-click' actie," schreef Teng op X. "Het betrof een complexer aanvalproces.
Hij gaf aan dat het onderzoek geen enkele persoon aansprakelijk heeft gesteld en geen bewijs heeft gevonden dat privésleutels van wallets zijn gelekt.
Binance verklaarde vervolgens op X dat onderzoekers aanvullende inbraakpunten hadden ontdekt naast de aanvankelijk vermoede laptop. De beurs identificeerde die toegangswegen niet en legde niet uit hoe de aanvaller de handtekeningen verkreeg die nodig zijn om overdrachten tussen de wallets te autoriseren.
Een mogelijkheid is dat de aanvaller de eigen ondertekeningsinfrastructuur van Binance heeft aangezet tot het produceren van de autorisaties. Binance heeft het volledige aanvalspad nog niet gepubliceerd.
Een EIP-7702-autorisatie specificeert de code die een account zal uitvoeren, zonder een betalingsontvanger of bestedingsbedrag vast te stellen. Het goedkeuren van kwaadaardige code kan daardoor de bestaande middelen van de wallet en alles wat later wordt gestort, blootstellen.
Binance heeft de totale schade geschat op $6,3 miljard en heeft toegezegd alle verliezen te dekken met behulp van haar SAFU-noodfonds en bedrijfsfondsen. Het bedrijf maakte vrijdag bekend dat ongeveer $3 miljard van de getroffen activa was bevroren.
<a href="https://coindesk.com/nl/tech/2026/10/30/here-s-how-one-ethereum-permission-let-an-attacker-drain-usd2-5-billion-from-binance" rel="noopener noreferrer nofollow">Bekijk dit artikel op CoinDesk</a>

Dit is hoe een Ethereum-upgrade hielp een deel van Binance’s verlies van $6 miljard te beperken

Table of Contents

Coindesk Nederlands

Other articles published on Oct 30, 2026

Join our free newsletter for daily crypto updates!