29. oktober 2026 tappet en angriper Binance for omtrent $ 6,15 milliarder på 31 minutter, et av de største tyveriene i kryptohistorien, eller rettere sagt, internettets historie.
Binance anslo først tapene til $ 6,3 milliarder; blokkjedeanalyseselskapet BitOKs sporing av transaksjon for transaksjon fastslår dem til $ 6,15 milliarder fordelt på ni blokkjeder.
Angriperen stjal aldri Binances private nøkler. I stedet fikk de Binances egne systemer til å godkjenne tyveriet. Denne guiden følger ranet trinn for trinn og forklarer hvert tekniske begrep underveis. Alle tidspunkter er i UTC.
Det grunnleggende: hvordan en børs flytter penger
Hot wallets er børsens lommebøker på nettet, holdt tilkoblet slik at uttak går raskt ut.
Signering. Hver overføring må godkjennes med lommebokens private nøkkel, et hemmelig tall. Børser bruker automatiske systemer for å signere tusenvis av utbetalinger hver dag.
Nonces er en Ethereum-lommeboks telleverk for transaksjoner. En travel lommeboks nonce stiger hele tiden.
Frysbare coins. Stablecoin-utstedere som Tether (USDT) og Circle (USDC) kan fryse adresser. Ingen kan fryse native coins som BTC, ETH eller TRX.
28. oktober: forberedelse før hacken
Hver blokkjede-transaksjon koster et lite gebyr. For å finansiere lommebøkene sine uten å etterlate spor brukte angriperen Tornado Cash, en “mikser” som blander mynter fra mange brukere slik at uttak ikke kan knyttes til innskudd.
Seks Tornado Cash-uttak finansierte operatørens lommebok og to medhjelpere.
29. oktober, 02:28–16:47 UTC: to generalprøver
Før angriperen gikk løs på Binance, øvde vedkommende på egne lommebøker, omtrent som en innbruddstyv som tester en lås hjemme hos seg selv først.
Verktøyet var en smartkontrakt: et program som ligger på Ethereum og gjør akkurat det koden tilsier. Denne var laget for å tømme enhver lommebok som gir tillatelse til å handle på dens vegne. (Ethereums EIP-7702-funksjon muliggjør denne typen tillatelser; mer om dette under.)
- 02:28 — angriperen publiserer en testversjon av tømmeprogrammet.
- 13:51–14:24 — første generalprøve. De setter inn små mengder USDT og USDC på to av egne lommebøker, gir testprogrammet tillatelse over dem, og utløser det. Begge lommebøker tømmes. Verktøyet fungerer.
- 15:59 — de publiserer endelig versjon, den som senere brukes på Binance.
- 16:20–16:47 — andre generalprøve, samme test med den endelige versjonen.
Den siste versjonen hadde én ekstra egenskap: Den kunne få en lommebok til å gjøre hva som helst, ikke bare sende tokens. Denne natten gjorde det at den kunne be en Binance-lommebok utbetale 823 millioner USDC. Et så spesialisert verktøy tilsier at angriperen allerede kjente til hvordan Binances lommebøker var satt opp.
“Forskjellen mellom de to versjonene var avgjørende. Hovedkontrakten inkluderte en funksjon som kunne utføre vilkårlige kall på vegne av en lommebok som hadde delegert kontroll til den. Angriperen brukte senere denne funksjonen til å tømme 823 millioner USDC fra en Binance smart wallet,” forklarte BitOK.
29. oktober, 20:04 UTC: 31 minutters tapping
Fra 20:04:52 til 20:35:53 tømte angriperen Binance hot wallets på XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum og Avalanche. Utbyttet inkluderte:
- 18 270,2 BTC,
- 197 540 ETH,
- 2,49 milliarder USDT,
- 823 millioner USDC,
- 233,46 millioner XRP,
- 970 522 SOL og dusinvis av andre tokens.
Hver overføring ble signert av Binances egne lommebøker. BitOK avslørte dem med typiske trekk: gebyrer som var 2 til 2,7 ganger høyere enn normalt, transaksjonsformater Binances utbetalingsprogramvare ikke bruker, og på Ethereum – falske overføringer lagt inn mellom ekte kundeutbetalinger.
Angriperen kom seg inn på en DevOps-ingeniørs bærbare PC, og brukte deretter en servicecontainer (et pakket program som kjører inni Binances systemer) for å sende inn falske uttaksordre.
20:20 UTC: 50-nøkkel-trikset
Dette var nattens smarteste trekk. Målet var en travel Ethereum hot wallet kalt Binance 14.
Planen. Med EIP-7702 kan en lommebok signere en tillatelse som gjør at en smartkontrakt kan opptre på dens vegne. Dersom Binance 14 signerte en som navnga angriperens kontrakt, ville angriperen kontrollere lommeboken.
Problemet. En tillatelse virker bare hvis den har lommebokens nåværende transaksjonsnummer, altså nonce. Binance 14 betalte kunder hele tiden, så nummeret endret seg stadig. En tillatelse med feil nummer blir rett og slett ignorert.
Trikset. Klokken 20:20:59 fikk angriperen Binances signeringssystem til å signere 50 forespørsler samtidig, hver med et ulikt nummer. Tenk på det som å prøve 50 nøkler i en lås på samme tid: bare én trenger å passe. Det gjorde én. Nå tok Binance 14 imot ordre fra angriperens kontrakt, men fortsatte å fungere som normalt, slik at penger fortsatte å strømme inn.
Utbetalingen. Noen få minutter senere tømte én enkelt transaksjon 65 forskjellige tokens til en verdi av mer enn $ 2,2 milliarder, inkludert 1,615 milliarder USDT og 167 464 ETH. Klokken 20:41 og 20:59 fikk kontrakten også en annen Binance-lommebok til å sende ut 823 millioner USDC.
Binance 16. En annen hot wallet ble ranet på en enklere måte. Binances system tok imot ni falske overføringer, som den signerte og sendte ut sammen med ekte kundeutbetalinger. De inneholdt 28 005,6 ETH og 55,7 millioner USDT.
20:30–21:14 UTC: Kappløpet mot ikke-frysbare coins
På Ethereum forlot 500 millioner USDT hovedmottaksadressen i løpet av seks minutter. Mellom 20:34 og 21:09 vekslet angriperen 435 millioner USDT til ETH på Uniswap, en desentralisert børs drevet av kode. De satte også inn 60 millioner USDT i Aave, en utlånsprotokoll, og lånte 19 762 ETH mot denne sikkerheten, og lot den frysbare sikkerheten stå igjen.
På Tron forlot 612,7 millioner USDT Binance-Hot 7-lommeboken. I 16 handler på SunSwap, Trons viktigste desentraliserte børs, byttet angriperen 234 millioner USDT mot 638,2 millioner TRX.
Kappløpet om å fryse midler
For å fryse USDT trengte Tether tre godkjenninger fra sin multisignatur-lommebok, en løsning som krever flere godkjenninger. Hver frysing tok opptil 2 minutter og 36 sekunder, og ventende forespørsler var synlige på blokkjeden. Angriperen kunne se at en frysing var på vei og flytte midlene først: én lommebok flyttet 130 millioner USDT bare 48 sekunder før det ble frosset. Men på én adresse nølte angriperen og mistet nesten 175 millioner USDT.
Alle 823 millioner USDC lå fortsatt på én adresse og ble frosset i én transaksjon.
| Frosset av Tether og Circle | Beløp |
|---|---|
| Ethereum USDT | $ 1,38 milliarder |
| Ethereum USDC | $ 823 millioner |
| Tron USDT | $ 378,7 millioner |
| Avalanche USDt | $ 8,4 millioner |
| Totalt | $ 2,59 milliarder |
Andre utstedere frøs USD1, XAUt, PAXG, wBETH og FDUSD, og BEAMs utsteder brant 984 millioner stjålne tokens. Arbitrum Security Council, en 12-medlems beredskapsgruppe, beslagla 8 426 ETH og 74,56 millioner ARB.
Totalt ble omtrent $ 2,79 milliarder frosset, brent eller beslaglagt. Likevel hadde 669 millioner USDT allerede blitt til ETH og TRX.
21:43–00:10 UTC: Lommeboken som stadig ble ranet
Binance 14 var fortsatt under angriperens kontroll.
- 21:43:59 — en rutinemessig Binance-overføring sender 200 millioner USDT til Binance 14. Tolv sekunder senere tømmes kontoen. USDT havner på en allerede frosset adresse, men nesten 370 ETH unnslipper.
- 22:39 — et nytt uttak tar 128,49 ETH.
- 23:56 — 2 961,91 ETH overføres et minutt etter ankomst.
- 00:10:35, 30. oktober — Binance stopper til slutt overleveringen.
Angriperen hadde kontroll over lommeboken i nesten fire timer.
Hvor de 18 270 BTC tok veien
Klokken 20:20:06 flyttet 11 transaksjoner 18 270,2 BTC fra en Binance hot wallet, hvor man betalte dobbelt vanlig gebyr. Myntene ble fordelt på 19 adresser, hvorav 17 hver holdt 1000 BTC. Per 30. oktober hadde ingen blitt flyttet. Bitcoins offentlige blokkjede gjør at de kan spores, men ingen kan fryse dem.
30. oktober, 04:02: Bitget-forbindelsen
BitOKs største funn: Stjålne Binance-midler havnet på samme Ethereum-adresse som allerede samlet inn midler fra Bitget-hacket i september 2026.
Angriperen flyttet TRX og USDT gjennom THORChain, en protokoll som bytter coins mellom blokkjeder, og mottok ETH på 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Den adressen hadde allerede mottatt ETH som kunne spores til Bitget-hacket. Den kom fra Bitcoin-adresser på Bitgets publiserte liste over angriper-lommebøker, aktive siden 23. oktober, og begynte som ZEC, en coin som aldri er stjålet fra Binance.
Innen 06:20 hadde den tatt imot åtte utbetalinger koblet til Bitget (349,46 ETH) og fem koblet til Binance (13,63 ETH), og deretter sendt de blandede midlene videre til nye lommebøker. En delt adresse alene identifiserer ikke hvem som står bak noen av hackene.
Var det Nord-Korea
Begge angrepene innebar å bryte seg inn i interne systemer uten å stjele private nøkler, og Bitget ga Nord-Korea skylden for sitt hack. BitOK påpeker også trekk de forbinder med nordkoreanske grupper: øvelser, finansiering via Tornado Cash, øyeblikkelig bytte ut av frysbare tokens og forberedelser i arbeidstiden UTC+9.
“Den nylig identifiserte delte hvitvaskingsadressen er sterkere bevis på operasjonell overlapping enn likheter i taktikk alene. BitOK vurderer at de to tyveriene kan være koblet til samme nordkoreanske gruppe, og at én aktør kontrollerte de observerte hvitvaskingsstrømmene. Dette er fortsatt en analytisk vurdering, ikke et bevis på identiteten til hver deltaker i virkeligheten,” uttalte BitOK.
Binances respons
Binance stanset uttak fra sine hot wallets for Bitcoin og Tron rundt 20:36, mens innskudd fortsatte. Plattformen lovet å dekke alle kundetap fra sitt SAFU-krisefond og egne midler.
I markedet ble $ 1,58 milliarder i belånte posisjoner likvidert på 24 timer, ifølge Coinglass.
Hva holder angriperne nå
I skrivende stund 06:20, 30. oktober, knytter BitOK angriperen til:
- 197 460 ETH,
- 18 270,2 BTC,
- 233,46 millioner XRP,
- omtrent 970 500 SOL,
- 675,9 millioner TRX,
- og 1,61 millioner AVAX.
ETH, BTC, XRP og SOL alene var verdt rundt $ 2,95 milliarder.
Angriperne kapret systemet som signerer uttak fra Binance. BitOK delte lærdommer kryptobransjen kan ta med seg fra Binance-hacket.
“Hendelsen hos Binance viser hvorfor kun sikkerhet på private nøkler ikke er tilstrekkelig. Børser må også ha kontroll over signaturmyndighet, beskyttelse mot mistenkelige uttaksforespørsler, rask tilbakekalling av kompromitterte tillatelser, og kontinuerlig overvåking av aktivabevegelser på tvers av nettverk.”
