Inside-job-theorieën bij Binance slaan in voor reserve-rapport maandag

Sceptici plaatsen vraagtekens bij de timing van de audit van maandag

De twijfels richten zich op de volgorde van de gebeurtenissen, aangezien Binance in zijn update van 30 oktober aangaf dat het ongeveer 80% van de gestolen activa had gedekt en nog bezig was met het terugkopen van de resterende 20%. Het bedrijf was van plan om binnen 12 uur een eerste ‘proof-of-reserves’-momentopname uit te voeren, waarvan de resultaten op maandag 2 november beschikbaar zouden zijn.

Een ‘proof-of-reserves’-rapport is bedoeld om aan te tonen dat een beurs voldoende activa in bezit heeft om elk klantensaldo te dekken, maar critici stellen dat het uitvoeren ervan na de terugkoop verbergt hoe groot het tekort in eerste instantie was.

Vervolgens noemde de populaire handelaar Financelancelot de hack „absoluut een inside job“ en vroeg hij zich af hoe een aanvaller uit de oneindige mogelijkheden precies de juiste autorisaties had kunnen bemachtigen.

Tegelijkertijd beweerde iemand anders dat Binance „een hack in scène heeft gezet“ om een liquiditeitscrisis te verdoezelen, met het argument dat één gehackte laptop onmogelijk in 20 minuten transacties op tien blockchains had kunnen ondertekenen, en vergeleek de situatie met die van FTX vóór de ineenstorting.

Ten slotte verwees de bekende Solana-handelaar Ansem naar de liquidatiecrash van 10 oktober 2025, waarna hij verklaarde:

Mijn vertrouwen in Binance is verdwenen. Een nieuwe 10/10 komt langzaam in beeld.

Er moet echter duidelijk worden gemaakt dat geen van de bovengenoemde beweringen wordt ondersteund door hard bewijs, en Bitcoin.com News berichtte eerder al over hoe on-chain-speurders vraagtekens plaatsten bij delen van de eerste verklaring van Binance, die zich concentreerde op een gehackte laptop.

Wat het forensisch onderzoek daadwerkelijk aantoont

Onderzoekers wijzen op een externe aanvaller, terwijl ze ook aantonen waarom het verhaal over de laptop onvolledig leek. Blockchain-analysbedrijf TRM Labs schreef de diefstal toe aan de Noord-Koreaanse hackgroep Tradertraitor en schreef: „We komen met grote zekerheid tot dit oordeel.”

TRM was het ermee eens dat een verklaring op basis van phishing „Ethereum dekt, maar de andere blockchains onverklaard laat“. Hun inschatting is dat de aanvaller waarschijnlijk controle heeft verkregen over het ondertekeningssysteem van de hot wallet van Binance, waarmee over verschillende blockchains heen kon worden ondertekend.

TRM ontdekte ook dat de voorbereidingen minstens 36 uur eerder waren begonnen met opnames via Tornado Cash, en dat de aanvaller de code op testwallets had geoefend voordat hij Binance aanviel. Het grootste deel van het geld verliet in ongeveer 20 minuten vanaf 20:05 UTC tien blockchains.

Binance is inmiddels verder gegaan dan de laptop-theorie en heeft verklaard dat het aanvullende inbraakpunten heeft gevonden en dat er „geen bewijs is dat de privésleutels van de wallets zijn uitgelekt“. Co-CEO Richard Teng heeft gezegd dat alleen de eigen hot wallet van Binance is gehackt en dat het geld van klanten niet is aangetast.

Niet iedereen deelt de zekerheid van TRM over de toeschrijving; crypto-compliancebedrijf Elliptic stelt dat aan Noord-Korea gelieerde actoren waarschijnlijk verantwoordelijk waren, maar dat „geen enkele regering of wetshandhavingsinstantie de toeschrijving tot nu toe heeft bevestigd“.

Maandag is de echte test

Binance heeft aangegeven dat opnames binnen ongeveer 34 uur gefaseerd weer mogelijk zouden moeten zijn, gevolgd door het reservesrapport en een volledig technisch onderzoek achteraf. Deze bekendmakingen zullen bepalen of de geruchten over een ‘inside job’ zullen verstommen of juist aan kracht winnen.