Miljardenhack bij Binance: Bitcoin is 18 jaar, maar hoe volwassen is de cryptosector?

Maarten de Borst over Noord-Koreaanse hackers, de kwetsbaarheid van cryptoplatforms en de toekomst van digitaal geld.

Achttien jaar geleden, op 31 oktober 2008, publiceerde Satoshi Nakamoto de whitepaper die de basis legde voor Bitcoin. De belofte: digitaal geld overmaken zonder tussenkomst van banken. Precies achttien jaar later wordt de cryptowereld opgeschrikt door een miljardenhack bij Binance, een van de grootste cryptobeurzen ter wereld.

De aanval legt een pijnlijke tegenstelling bloot. Niet het Bitcoinnetwerk zelf, maar een handelsplatform werd getroffen. Bovendien wijzen onderzoekers naar Noord-Koreaanse hackers. Wat zegt dit over de veiligheid van cryptobezittingen, de rol van tussenpersonen en de toekomst van digitaal geld?

In dit uitgebreide interview deelt Maarten de Borst, management consultant bij Numbers en docent van de masterclass De toekomst van geld: crypto, compliance en disruptie, zijn visie op de hack, de kwetsbaarheid van cryptoplatforms en de gevolgen voor financiële professionals.

In dit interview:
✔  Waarom de grootste kwetsbaarheid niet bij Bitcoin zelf, maar bij cryptoplatforms ligt
✔  Wat de Binance-hack blootlegt over tegenpartijrisico, beveiliging en toezicht
✔  Hoe MiCAR, stablecoins en de digitale euro de toekomst van geld veranderen

“Regelgeving maakt crypto veiliger door de tussenpersoon sterker te maken, precies de partij die Bitcoin overbodig wilde maken.”
– Maarten de Borst, management consultant bij Numbers

De miljardenhack die Bitcoins oorspronkelijke belofte bevestigt

Maarten, bij de recente cyberaanval op Binance werden cryptobezittingen ter waarde van miljarden dollars getroffen. Tegelijkertijd viert Bitcoin vandaag, 31 oktober, zijn achttiende verjaardag. Wat zegt deze hack over de ontwikkeling van een technologie die juist bedoeld was om financiële tussenpersonen overbodig te maken?

“Eigenlijk bevestigt deze hack waar Bitcoin achttien jaar geleden voor waarschuwde. Het Bitcoin-netwerk zelf is niet gehackt, en dat is in al die jaren ook nooit gebeurd. Het geld is gestolen bij een van die trusted third parties waar Satoshi Nakamoto, grondlegger van Bitcoin, voor waarschuwde. Zoals het er nu op lijkt is er binnen twintig minuten ruim zes miljard dollar gestolen door een gecompromitteerde laptop van één engineer. Dat is precies het risico dat Satoshi in 2008 wilde wegnemen.”

“Er zit ook een ongemakkelijke kant aan. De meeste mensen gebruiken crypto niet zoals het bedoeld is. Ze beheren hun bitcoin niet zelf, maar parkeren die bij een beurs. Daarmee hebben we de bank opnieuw uitgevonden, alleen in een ander jasje. En met minder toezicht.
En wat de schade beperkte, waren opnieuw die tussenpersonen: stablecoin-uitgevers als Tether en Circle bevroren miljarden, en Binance vergoedt de verliezen uit eigen middelen. Dat is geen decentralisatie, dat is ouderwetse risicobeheersing.”

“De les is dus niet dat de technologie faalt. De zwakke plek zit altijd waar mensen en systemen samenkomen. Wie professioneel met crypto werkt, moet daarom niet alleen naar de blockchain kijken, maar vooral naar wie de sleutels beheert. Of, zoals de oude crypto-wijsheid luidt: ‘not your keys, not your coins’. En die les is nog nooit zo duur geweest.”

“We hebben de bank opnieuw uitgevonden, alleen in een ander jasje. En met minder toezicht.”

Noord-Korea: cybercriminaliteit als staatsstrategie

Volgens blockchainonderzoekers wijzen sterke aanwijzingen naar de Noord-Koreaanse hackersgroep TraderTraitor en Lazarus, die ook verantwoordelijk worden gehouden voor eerdere grote cryptodiefstallen. Het regime zou de opbrengsten onder meer gebruiken om zijn wapenprogramma’s te financieren. Hoe is Noord-Korea uitgegroeid tot zo’n dominante speler in internationale cryptocybercriminaliteit?

“Ik maak me hier oprecht zorgen om. Crypto wordt vaak nog gezien als een ver-van-de-bed-show. Een internetmuntje voor nerds. ‘Ik heb geen crypto, dus dit raakt mij niet’. Maar het raakt iedereen. Noord-Korea is door sancties grotendeels afgesneden van het internationale financiële systeem. Het regime is daarom op zoek gegaan naar geld dat via internet bereikbaar is, en dat vond het in crypto. Daar staan miljarden in de wallets van bedrijven die vanaf elke plek ter wereld aan te vallen zijn. Hacken is in Noord-Korea geen bijbaantje van een paar criminelen. Het is een geolied staatsprogramma met de knapste koppen op aarde. Volgens schattingen van de VN komt ongeveer veertig procent van het geld voor de massavernietigingswapens van het land uit cybercriminaliteit.”

“Vorig jaar stal Noord-Korea ruim twee miljard dollar, ongeveer zestig procent van alle cryptodiefstal wereldwijd. Daar zit maanden voorbereiding achter. Een veelgebruikte methode is om nep-IT’ers te laten solliciteren bij cryptobedrijven. Binance gaf vorig jaar zelf aan dat het dagelijks cv’s van Noord-Koreaanse kandidaten weggooit. Dat een gecompromitteerde laptop van één engineer nu genoeg was voor de grootste roof ooit, past precies in dat patroon.”

“Hacken is in Noord-Korea geen bijbaantje van een paar criminelen. Het is een geolied staatsprogramma met de knapste koppen op aarde.”

En wat zegt deze miljardenroof over de kwetsbaarheid van de mondiale financiële infrastructuur?

“Dat de zwakke plek bij mensen en processen zit, niet bij de technologie. Dat geldt trouwens net zo goed voor banken: Noord-Korea probeerde in 2016 al bijna een miljard dollar via SWIFT weg te halen bij de centrale bank van Bangladesh. Het verschil is dat crypto grote bedragen concentreert bij een paar partijen die 24 uur per dag open zijn, en dat geld daar in minuten de wereld rond gaat. Daar staat iets tegenover: juist omdat de blockchain transparant is, konden onderzoekers de route live volgen en was binnen enkele uren ongeveer drie miljard dollar bevroren. Bij een klassieke bankroof lukt dat zelden zo snel.”

“Voor financials is de les dat cybersecurity geen IT-onderwerp meer is, maar een integriteitsrisico. Wie zijn klanten grondig screent maar niet zijn eigen medewerkers en leveranciers, heeft de voordeur op slot en de achterdeur wagenwijd open.”

Wie beheert werkelijk je cryptogeld?

Een belangrijk uitgangspunt binnen de cryptowereld is, zoals je net ook aangaf, ‘not your keys, not your coins’. Toch bewaren veel beleggers hun cryptogeld bij grote handelsplatforms. Wie heeft in de praktijk de controle over deze bezittingen?

“Het platform, zonder twijfel. Wie zijn bitcoin bij een beurs bewaart, heeft zelf geen private key. Die sleutels liggen bij de beurs. Wat je in de app ziet, is een regel in de administratie: een vordering op het platform, geen bitcoin die op jouw naam op de blockchain staat. In die zin lijkt het op een bankrekening, alleen zonder depositogarantiestelsel.”

“Hoe sterk die vordering is, hangt af van waar het platform onder toezicht staat. Onder de Europese MiCA-regels moet een vergunninghoudende partij de cryptobezittingen van klanten juridisch én op de blockchain gescheiden houden van haar eigen vermogen. Ze moet per klant precies bijhouden wat van wie is en is aansprakelijk als er door haar toedoen iets verloren gaat. Gaat zo’n partij failliet, dan vallen de bezittingen van klanten buiten de boedel. Bij FTX in 2022 zag je wat er gebeurt als die scheiding ontbreekt: klanten werden gewone schuldeisers in een faillissement.”

“En hier wordt het pijnlijk. Binance heeft geen MiCA-vergunning en mag sinds 1 juli geen nieuwe diensten meer aanbieden aan klanten in de EU. Dat Binance belooft alle schade te vergoeden, is daarom vooral een commerciële toezegging en geen wettelijke plicht onder Europees recht. Mijn advies aan iedereen, particulier of professional: kijk eerst in het ESMA-register of je platform een vergunning heeft. Dat is de minimale due diligence.”

Welke risico’s lopen beleggers wanneer ze hun cryptogeld bij een handelsplatform bewaren?

“Het eerste risico zien we nu live: hacks. Een beurs is één groot doelwit waar miljarden bij elkaar staan. Gaat het daar mis, dan raakt het alle klanten tegelijk, ook als ze zelf niets fout hebben gedaan. Direct daaraan gekoppeld is het liquiditeitsrisico. Binance heeft na de hack de opnames stilgezet. Je bezit staat er dan nog wel, laten we daar vanuit gaan, maar je kunt er niet bij, en dat is precies op het moment dat je dat het liefst zou willen.”

“Het tweede risico is tegenpartijrisico. Je bent afhankelijk van de integriteit en de solvabiliteit van het platform. Bij FTX bleek in 2022 dat klantgeld stilletjes werd gebruikt voor eigen doeleinden. Toen het bedrijf omviel, stonden klanten in de rij met alle andere schuldeisers. Zonder streng toezicht kun je als klant simpelweg niet controleren wat er met je bezittingen gebeurt.”

“Het derde risico is regelgeving. Een platform zonder vergunning kan van de ene op de andere dag zijn diensten in jouw land moeten beperken. Europese Binance-klanten hebben dat deze zomer al gemerkt, toen Binance noodgedwongen de EU moest verlaten.”

Wil dat zeggen dat iedereen zijn crypto zelf moet bewaren?

“Nee. Zelf bewaren verschuift het risico naar jezelf. Raak je je sleutel kwijt of trap je in een phishingbericht, dan is er geen ‘wachtwoord vergeten’ knop, geen helpdesk en geen vergoeding. De echte vraag is dus niet óf je iemand vertrouwt, maar wie. Kies een partij met een vergunning, gescheiden bewaring en aantoonbare beveiliging, en spreid je risico.”

Welke maatregelen kunnen cryptobezitters nemen om hun risico’s te beperken?

“Begin bij de keuze van het platform. Controleer in het register van ESMA, de Europese toezichthouder, of je beurs een MiCA-vergunning heeft. Dat kost twee minuten en is de belangrijkste stap. Zet daarnaast niet al je eieren in één mandje: wie zijn crypto over meerdere vergunde partijen verdeelt, verliest bij een hack of faillissement nooit alles.”

“Houd op een beurs alleen wat je actief verhandelt. Wat je voor de lange termijn aanhoudt, kun je beter zelf bewaren in een hardware wallet: een fysiek apparaatje dat je sleutels offline bewaart. Bewaar je backup goed.”

“Beveilig je account zoals je je bankrekening zou beveiligen. Gebruik tweestapsverificatie via een authenticator-app of een fysieke beveiligingssleutel zoals een Yubikey, niet via sms. Zet een whitelist aan, zodat opnames alleen naar door jou goedgekeurde adressen kunnen gaan.”

“Wees ten slotte nu extra alert. Na een grote hack volgen altijd oplichters die zich voordoen als het platform, met berichten als ‘uw account is getroffen, log hier in’. Een serieus platform vraagt nooit om je herstelzin of wachtwoord. Wie daarom vraagt, is per definitie een oplichter.”

“De echte vraag is dus niet óf je iemand vertrouwt, maar wie.”

Maakt strengere regelgeving crypto werkelijk veiliger?

De hack roept ook vragen op over de veiligheid en het toezicht op cryptoplatforms. Kan strengere regelgeving, zoals MiCAR, gebruikers daadwerkelijk beter beschermen tegen dit soort incidenten? Of blijft er een fundamenteel spanningsveld bestaan tussen decentralisatie, gebruiksgemak en veiligheid?

“MiCAR beschermt gebruikers zeker beter, maar niet tegen alles. De regels zorgen ervoor dat een platform klantgeld gescheiden houdt van eigen vermogen, precies bijhoudt wat van wie is en aansprakelijk is als het door eigen toedoen misgaat. Daarnaast moeten vergunde partijen onder DORA, de Europese wet voor digitale weerbaarheid, hun IT-risico’s net zo serieus aanpakken als banken. Een scenario als FTX, waarbij klantgeld ongemerkt verdwijnt, wordt daarmee veel moeilijker.”

“Maar regelgeving maakt een hack niet onmogelijk. Ook banken worden aangevallen. Wat MiCAR wel doet, is de lat hoger leggen en de rekening neerleggen waar die hoort: bij het platform, niet bij de klant. En regels beschermen alleen wie binnen het systeem blijft. Binance heeft geen Europese vergunning, dus juist bij dit incident valt de Europese gebruiker terug op de goede wil van het platform in plaats van op de wet.”

“Het spanningsveld dat je noemt, is echt. Dit wordt in de blockchain-wereld vaak vergeleken met een driehoek: decentralisatie, gebruiksgemak en veiligheid. Je kunt er twee tegelijk hebben, maar nooit alle drie. Zelf bewaren is decentraal en kan veilig zijn, maar is niet gebruiksvriendelijk. Het kost moeite. Een beurs is makkelijk, maar daarmee geef je de decentralisatie op. MiCAR kiest bewust voor die tweede route: de regels richten zich op de tussenpersonen, want volledig gedecentraliseerde diensten vallen er grotendeels buiten.”

“Als we na achttien jaar de balans opmaken, zou je dus kunnen zeggen dat de ironie compleet is. Regelgeving maakt crypto veiliger door de tussenpersoon sterker te maken, precies de partij die Bitcoin overbodig wilde maken. Maar de vraag is of dit erg is. Voor de meeste mensen is een goed gereguleerde tussenpersoon gewoon de verstandigste keuze. Maar laten we dan ook eerlijk zijn: dat is niet meer de revolutie van 2008, dat is de volwassenwording van een nieuwe financiële sector.”

Van Bitcoin naar stablecoins en de digitale euro

Achttien jaar na de introductie van Bitcoin is de cryptomarkt sterk veranderd. Cryptovaluta zijn uitgegroeid tot een beleggingscategorie, terwijl banken, bedrijven en toezichthouders steeds nadrukkelijker betrokken raken. Wat zegt deze ontwikkeling over de toekomst van geld?

“Dat Bitcoin de euro niet gaat vervangen, maar dat de technologie erachter de manier verandert waarop we geld gebruiken. Bitcoin zelf is vooral een belegging geworden, een soort digitaal goud, en geen betaalmiddel voor de dagelijkse boodschappen. De echte verandering zit in wat er dankzij die technologie mogelijk werd: geld dat dag en nacht, in seconden en wereldwijd kan worden overgemaakt en dat je kunt programmeren.”

“We zien dat nu op drie niveaus tegelijk. Private partijen hebben inmiddels zo’n driehonderd miljard dollar aan stablecoins in omloop, digitale munten die één op één aan een bestaande valuta zijn gekoppeld. Banken doen inmiddels ook mee. Vanuit Amsterdam werkt een consortium van tientallen Europese banken, waaronder ING, aan een eigen euro-stablecoin. Eerder deze maand kregen ze een vergunning. En de ECB test de digitale euro: de pilot begint in 2027 en de introductie staat gepland voor 2029, als de wetgeving rond is.”

“Daarom is dit uiteindelijk ook een geopolitiek vraagstuk. Bijna alle stablecoins zijn nu aan de dollar gekoppeld. Als het geld van de toekomst digitaal wordt, moet Europa ervoor zorgen dat de euro daar ook een plek in heeft. Anders betalen we straks digitaal in dollars, en dan gaat het niet meer alleen over technologie, maar over monetaire soevereiniteit.”

Welke kennis hebben CFO’s, controllers, accountants en compliance professionals nodig om de kansen en risico’s goed te beoordelen?

“Ze hoeven geen programmeurs te worden, maar ze moeten wel de juiste vragen kunnen stellen. Die hack laat precies zien welke vragen dat zijn. Wie beheert de sleutels? Heeft de partij een vergunning? Zijn klantbezittingen gescheiden van het eigen vermogen? Wie die vragen niet kan stellen, kan een cryptopositie of een cryptopartij niet beoordelen, of het nu gaat om de eigen treasury, een klant of een overnamekandidaat.”

“Daarnaast verschilt de benodigde kennis per rol. De CFO moet strategisch kunnen inschatten wat stablecoins, tokenisatie en straks de digitale euro betekenen voor betalingsverkeer, treasury en financiering. De controller en de accountant moeten weten hoe je crypto verwerkt en waardeert: onder IFRS is dat meestal geen geld of financieel instrument, maar een immaterieel actief of voorraad. Ze moeten ook weten hoe je controleert of een bezit er echt is. Voor compliance gaat het om MiCA, sanctiescreening, de travel rule bij cryptotransfers en de nieuwe Europese rapportageplicht DAC8. Daarvoor is ook basiskennis nodig van blockchainanalyse, want de route van het geld is openbaar als je weet hoe je deze moet lezen.”

“Het belangrijkste is misschien wel de houding. Veel financials denken nog steeds dat crypto een niche is die hen niet raakt. Maar de blootstelling komt via de achterdeur binnen: via klanten, leveranciers, betaalpartners en investeringen. Wie dit nu leert begrijpen, kan straks meepraten als de beslissing valt. Wie wacht, krijgt een voldongen feit voorgelegd.”

“Voor financials is de les dat cybersecurity geen IT-onderwerp meer is, maar een integriteitsrisico.”

De toekomst van geld: crypto, compliance en disruptie

Crypto, DeFi, CBDC’s en tokenized assets veranderen het financiële speelveld. Ontdek wat deze ontwikkelingen betekenen voor finance, risico en compliance en krijg grip op de kansen, risico’s en regelgeving rond de toekomst van geld. Essentiële kennis voor iedere professional.

Verdieping: 18 jaar Bitcoin – vier historische mijlpalen

31 oktober 2008 | De geboorte van het idee
Onder het pseudoniem Satoshi Nakamoto verschijnt de whitepaper Bitcoin: A Peer-to-Peer Electronic Cash System. Hierin wordt een digitaal betalingssysteem beschreven waarmee gebruikers rechtstreeks transacties kunnen uitvoeren, zonder tussenkomst van banken.

3 januari 2009 | Het Bitcoinnetwerk gaat van start
Het eerste blok van de Bitcoin-blockchain, het genesis block, wordt aangemaakt. Daarmee wordt de basis gelegd voor een decentraal netwerk waarin transacties worden vastgelegd en gecontroleerd.

12 januari 2009 | De eerste Bitcoin-transactie
Satoshi Nakamoto verstuurt 10 bitcoin naar programmeur Hal Finney. Het is de eerste bekende Bitcoin-transactie tussen twee personen.

22 mei 2010 | Twee pizza’s voor 10.000 bitcoin
Programmeur Laszlo Hanyecz betaalt 10.000 bitcoin voor twee pizza’s, de eerste bekende commerciële aankoop met Bitcoin. Deze dag staat bekend als Bitcoin Pizza Day.

Lees ook: Van roebel naar stablecoin: hoe Rusland een parallel financieel systeem bouwt

Maak kennis met Maarten de Borst

Maarten de Borst is management consultant bij Numbers, een boutique advieskantoor met focus op de financiële sector en overheid. Hij is auteur van drie boeken, is docent bij Sijthoff Accountants Academy en Alex van Groningen en werkt als adviseur bij de Politie Eenheid Amsterdam. In 2020 werd hij verkozen tot een van de jonge talenten van het FD. Maarten heeft een achtergrond in de bancaire sector, waar hij heeft gewerkt bij ING, ABN Amro en Moneyou.
Lees meer over zijn expertise en cursussen.