Binance ramt af et rekordstort sikkerhedsbrud. Kryptovaluta til en værdi af 6,3 milliarder dollar blev flyttet fra børsen. Er det det største kryptohack i historien?
Den 29. oktober 2026 blev Binance ramt af en omfattende sikkerhedshændelse. Kryptovaluta til en anslået værdi af 6,3 milliarder dollar blev flyttet fra 17 af børsens hot wallets i et angreb, der omfattede flere blockchain-netværk og fandt sted over mindre end fire timer. Binance har bekræftet hændelsen og lovet at dække alle tab med midler fra SAFU-fonden og børsens egne aktiver. Omkring 3 milliarder dollar er ifølge oplysningerne blevet indefrosset.
Den foreløbige undersøgelse peger på, at angriberen muligvis fik adgang til den interne infrastruktur via en kompromitteret computer tilhørende en DevOps-ingeniør. Der er dog ingen tegn på, at private nøgler er blevet lækket.
Binance: Hvad skete der helt præcist den 29. oktober?
Ifølge oplysninger fra blockchain-analysevirksomhederne Bitquery og TRM Labs begyndte de første udgående overførsler fra Binances hot wallets omkring kl. 20:04 UTC den 29. oktober. I løbet af de følgende timer blev aktiver flyttet gennem flere netværk.
Nogle af de vigtigste tidspunkter i forløbet:
20:04 UTC - De første udgående overførsler fra Binances hot wallets blev registreret.
20:20:06 UTC - Cirka 18.270 BTC blev overført til angriberens adresser.
20:20:59 UTC - 50 EIP-7702-autorisationer knyttet til Binance 14 blev registreret.
20:24 UTC - Den primære række af overførsler af ETH og ERC-20-tokens fandt sted.
20:26 UTC - Yderligere ETH blev overført.
20:40-20:41 UTC - Flere overførsler af ETH og USDC blev registreret.
23:56 UTC - Det tidsrum for udgående overførsler, som Bitquery analyserede, sluttede.
02:23 UTC den 30. oktober - Binance offentliggjorde en erklæring, hvor børsen anslog værdien af de flyttede aktiver til cirka 6,3 milliarder dollar.
I alt blev 17 hot wallets berørt. Bitquery identificerede aktivitet på ni blockchain-netværk, mens TRM Labs rapporterede om ti. Blandt de berørte netværk var Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base og Polygon.
Det er vigtigt at skelne mellem to forskellige dele af angrebet: overførslen af BTC til angriberens adresser og EIP-7702-autorisationerne, der blev anvendt i forbindelse med Ethereum-wallets. Der er tale om forskellige tekniske mekanismer, selvom begge indgik i den samme sikkerhedshændelse.
Hvilke kryptovalutaer blev stjålet fra Binance?
En stor del af de sporede transaktioner fandt sted på Ethereum-netværket. Ifølge de tilgængelige data omfattede overførslerne blandt andet følgende aktiver:
USDT: 1.615.409.499 USDT - cirka 1,615 milliarder dollar
USDC: 780.177.060 USDC - cirka 780 millioner dollar
ETH: cirka 195.470 ETH - cirka 442 millioner dollar
wBETH: 29.934 wBETH - cirka 74,6 millioner dollar
RLUSD: 62.597.240 RLUSD - cirka 62,6 millioner dollar
XAUt: 11.372 XAUt - cirka 45,6 millioner dollar
UNI: 6.189.796 UNI - cirka 41,2 millioner dollar
ENA: 198.369.717 ENA - cirka 37 millioner dollar
PEPE: cirka 7,18 billioner PEPE - cirka 35,3 millioner dollar
USD1: 27.760.802 USD1 - cirka 27,7 millioner dollar
LINK: 2.263.172 LINK - cirka 25 millioner dollar
AAVE: 127.853 AAVE - cirka 16,2 millioner dollar
Dette er kun en oversigt over en del af overførslerne på Ethereum. Den omfatter ikke hele den aktivitet på tværs af flere blockchains, som indgik i angrebet. Beløbene skal derfor ikke lægges oven i det anslåede samlede beløb på 6,3 milliarder dollar som et separat tab.
18.270 BTC, svarende til cirka 1,4 milliarder dollar. Angriberen fordelte bitcoin på 19 wallets
En af de mest opsigtsvækkende dele af hændelsen var overførslen af cirka 18.270,2 BTC. Ifølge analysen blev disse bitcoin flyttet gennem 11 transaktioner og derefter fordelt på 19 forskellige wallets.
Fordelingen var bemærkelsesværdigt systematisk:
17 wallets modtog præcis 1.000 BTC hver.
Én wallet modtog 832,5 BTC.
Én wallet modtog 437,7 BTC.
Ifølge de tilgængelige oplysninger var ingen af disse bitcoin blevet flyttet videre fra modtageradresserne frem til kl. 04:23 UTC den 30. oktober.
Det er særligt interessant, fordi bitcoin adskiller sig fra centraliserede stablecoins. Der findes ingen central udsteder, som kan indefryse BTC på samme måde, som eksempelvis Tether eller Circle kan indefryse deres stablecoins. Hvis angriberen kontrollerer de private nøgler til disse adresser, er mulighederne for at få aktiverne tilbage derfor betydeligt mere begrænsede. En eventuel tilbageførsel kan i praksis kræve samarbejde fra kryptobørser og andre mellemmænd, hvis angriberen forsøger at flytte eller veksle aktiverne.
Angriberen vekslede en del af stablecoins til ETH og TRX. Hvad lykkedes det at redde?
Ifølge Bitquery vekslede angriberen stablecoins til en anslået værdi af cirka 729 millioner dollar til ETH og TRX, inden nogle af de berørte adresser blev indefrosset.
I løbet af denne proces voksede angriberens beholdning af ETH til omkring 490.361 ETH sammenlignet med en oprindelig beholdning på cirka 200.630 ETH. Det betyder, at mængden af ETH blev omkring 2,4 gange større.
Kl. 03:54 UTC den 30. oktober blev det anslået, at omkring 3,1 milliarder dollar stadig befandt sig i angriberens wallets. På det tidspunkt var der ikke registreret overførsler til kryptobørser eller mixere.
TRM Labs offentliggjorde tidligere et estimat, der pegede på mere end 420.000 ETH og 18.270 BTC med en samlet værdi på cirka 2,4 milliarder dollar.
Forskellene mellem estimaterne skyldes blandt andet tidspunktet for analyserne, hvilke netværk der blev medregnet, og hvilke metoder virksomhederne anvendte. Tallene bør derfor ikke betragtes som direkte sammenlignelige øjebliksbilleder af præcis den samme aktivbeholdning.
Hvordan fik angriberen kontrol over Binances wallets?
Den foreløbige undersøgelse peger på, at angriberen muligvis udnyttede en kompromitteret computer tilhørende en DevOps-ingeniør hos Binance.
Ifølge det formodede hændelsesforløb fik angriberen adgang til en servicecontainer i børsens interne infrastruktur. Herfra kunne der igangsættes uautoriserede udbetalingstransaktioner.
Binance har oplyst, at man ikke har fundet tegn på, at private nøgler er blevet lækket. Det betyder, at angrebet ifølge de oplysninger, der hidtil er offentliggjort, ikke ser ud til at have handlet om at bryde blockchains kryptografiske sikkerhed. Problemet ser i stedet ud til at være opstået i den interne infrastruktur og i måden, hvorpå transaktioner kunne autoriseres.
En central del af angrebet var brugen af EIP-7702, en Ethereum-standard, der gør det muligt for en almindelig wallet-adresse midlertidigt at delegere bestemte funktioner til smart contract-kode, samtidig med at adressen bevarer sin identitet og sine aktiver.
I forbindelse med hændelsen blev der registreret 50 autorisationer knyttet til Binance 14. De var signerede og forberedt til efterfølgende nonce-værdier. Det gjorde det muligt at anvende kode kontrolleret af angriberen og automatisere overførsler fra de berørte wallets.
Det er vigtigt at understrege, at EIP-7702 i sig selv ikke er en sårbarhed. Standarden er en del af Ethereums funktionalitet. Problemet opstod i måden, hvorpå den blev udnyttet i kombination med den kompromitterede infrastruktur.
Binance har meddelt, at virksomheden vil offentliggøre en mere detaljeret teknisk rapport om hændelsen.
Hvem står bag angrebet på Binance? Sporene peger mod Nordkorea
Ifølge TRM Labs peger den tekniske analyse med høj sikkerhed på den nordkoreanske hackergruppe TraderTraitor. Chainalysis har også peget på Nordkorea og identificeret ligheder med angrebet på Bybit i februar 2025.
TraderTraitor er en gruppe, der er blevet sat i forbindelse med flere omfattende angreb på kryptobranchen. Nordkoreanske hackergrupper har gennem flere år været involveret i operationer, hvor kryptovaluta stjæles for at finansiere regimets aktiviteter.
Der er dog stadig et vigtigt forbehold: Der er endnu ikke fremlagt nogen officiel bekræftelse fra de retshåndhævende myndigheder af, hvem der står bag angrebet.
Hvor mange midler lykkedes det at indefryse? Binance oplyser cirka 3 milliarder dollar
Ifølge Binances seneste udmelding er aktiver til en værdi af omkring 3 milliarder dollar blevet indefrosset.
Andre analysevirksomheder har fremlagt lidt lavere estimater:
Bitquery anslog det indefrosne beløb til cirka 2,7 milliarder dollar.
TRM Labs rapporterede ligeledes om cirka 2,7 milliarder dollar.
Flere aktører bidrog til indsatsen, herunder Tether, Circle, Ripple, World Liberty Financial og andre samarbejdspartnere. Arbitrum Security Council deltog også i tiltagene.
Forskellene mellem estimaterne kan skyldes tidspunktet for analyserne, hvilke blockchain-netværk der blev omfattet, og hvordan virksomhederne definerede indefrosne aktiver.
Det er også vigtigt at huske, at indefrosne aktiver ikke automatisk betyder, at pengene er blevet returneret til Binance. Der kan være behov for yderligere juridiske og tekniske tiltag, før aktiverne kan tilbageføres.
Hvordan reagerede Binance? SAFU, dækning af tab og midlertidigt suspenderede udbetalinger
Binance bekræftede officielt hændelsen i en udmelding, der blev offentliggjort den 30. oktober kl. 02:23 UTC.
Børsen lovede at dække samtlige tab ved hjælp af SAFU-fonden og egne midler. SAFU står for Secure Asset Fund for Users og er en særlig fond, som Binance har oprettet for at beskytte brugerne i ekstraordinære situationer.
Som en del af sikkerhedsforanstaltningerne iværksatte Binance flere tiltag:
Indbetalinger og udbetalinger blev midlertidigt suspenderet.
Autorisationer knyttet til de berørte adresser blev tilbagekaldt.
Børsen begyndte at samarbejde med retshåndhævende myndigheder og virksomheder, der arbejder med blockchain-analyse.
Binance lovede at opdatere sin Proof of Reserves-dokumentation.
I en senere præcisering oplyste børsen, at indbetalinger igen var tilgængelige, mens udbetalingerne fortsat var sat på pause, mens infrastrukturen blev genopbygget og kontrolleret. Binance forventede, at udbetalingerne kunne genoptages inden for cirka 48 timer.
Binance Proof of Reserves under lup. Dækker reserverne stadig 100 % af kundernes saldi?
CoinDesk bemærkede, at de wallets, hvorfra aktiverne blev flyttet, indgik i Binances reserveopgørelse for oktober.
Før hændelsen viste børsen en dækning på 100 % af kundernes ETH-forpligtelser. Fjernelsen af cirka 204.500 ETH kunne reducere denne dækning til omkring 94 %, hvis midlerne ikke blev erstattet. Lignende konsekvenser kunne gøre sig gældende for USDC og andre altcoins.
Det betyder dog ikke, at Binance er insolvent. Børsen har erklæret, at den vil dække tabene med egne midler og SAFU-fonden. Den opdaterede Proof of Reserves-opgørelse bliver vigtig for at vise, om reserverne igen fuldt ud dækker forpligtelserne over for kunderne.
Hvordan reagerede kryptomarkedet? Bitcoin faldt under 77.000 dollar
Nyheden om angrebet kom på et tidspunkt, hvor stemningen på kryptomarkedet allerede var svag. Bitcoin faldt til omkring 76.400-76.500 dollar og nåede dermed det laveste niveau i cirka seks uger.
Ethereum blev handlet i intervallet omkring 2.170-2.200 dollar, mens BNB faldt med mere end 8 % over 24 timer.
Ifølge data fra CoinDesk nåede likvideringerne på futuresmarkedet op på cirka 1,57 milliarder dollar. Investorer med lange positioner blev særligt hårdt ramt:
Bitcoin: cirka 522 millioner dollar i likvideringer.
Ethereum: cirka 361 millioner dollar i likvideringer.
Det er dog ikke muligt at tilskrive hele kursfaldet udelukkende til hændelsen på Binance. Amerikanske teknologivirksomheders aktier viste også svaghed. Angrebet forværrede imidlertid den negative stemning og øgede bekymringerne om sikkerheden på kryptobørser.
Det største kryptohack i historien? Binance overgår Bybit og Ronin
Hvis estimatet på 6,3 milliarder dollar bekræftes, vil hændelsen på Binance overgå flere af de største hacks i kryptobranchens historie.
Blandt de vigtigste sammenligninger er:
LuBian: Cirka 127.426 BTC forsvandt i december 2020. Hændelsen blev fremhævet af Arkham i august 2025, og aktiverne havde på daværende tidspunkt en værdi på omkring 3,5 milliarder dollar. Det var dog ikke et klassisk hack af en kryptobørs, og LuBian har ikke offentligt bekræftet hændelsen.
Bybit: Cirka 1,5 milliarder dollar blev stjålet i februar 2025.
Ronin Network: Et af de største angreb mod en blockchain-bro, som fandt sted i 2022.
Poly Network: Et omfattende angreb i 2021.
Binance Bridge: En hændelse i 2022.
Coincheck: Et stort tyveri af kryptovaluta i 2018.
Mt. Gox: Et af de mest kendte kollaps i kryptohistorien, som begyndte i 2014.
Det er vigtigt at huske, at beløbene ikke er fuldt sammenlignelige. I Binances tilfælde er rekordestimatet baseret på den oplyste økonomiske størrelse af hændelsen. Det betyder ikke nødvendigvis, at samtlige 6,3 milliarder dollar er permanent tabt.
Er europæiske kryptobørser med MiCA-licens et mere sikkert valg?
Hændelsen på Binance rejser igen spørgsmålet om, hvordan brugere bør vælge kryptobørser, og hvilke sikkerhedskrav der bør stilles til platforme, som håndterer kundernes aktiver.
MiCA-forordningen betyder, at udbydere af kryptotjenester, der opererer i EU, skal opfylde krav til blandt andet organisation, tilsyn og kundebeskyttelse. En MiCA-tilladelse indebærer derfor et tydeligere regelsæt og formelle krav til virksomhedens drift.
Det betyder dog ikke, at en MiCA-licens eliminerer risikoen for hackerangreb. Den indebærer heller ikke, at kundernes kryptovaluta er beskyttet på samme måde som bankindskud.
En licens kan give brugerne større gennemsigtighed og et tydeligere regelsæt at forholde sig til, men den er ingen garanti for teknisk sikkerhed.
Hvad betyder Binance-hændelsen for sikkerheden på kryptomarkedet?
Angrebet viser, at sikkerheden i kryptobranchen ikke kun handler om blockchains kryptografi. Interne systemer, adgangskontroller, signeringsprocesser og håndteringen af private nøgler er også afgørende.
Hændelsen fremhæver flere vigtige problemstillinger:
Blockchain-sikkerhed kontra infrastruktursikkerhed: Selv hvis en blockchain fungerer efter hensigten, kan kompromitteret intern infrastruktur gøre det muligt at gennemføre uautoriserede transaktioner.
Proof of Reserves har sine begrænsninger: Regelmæssige opgørelser over reserver er vigtige, men de skal opdateres efter større hændelser for at give et retvisende billede af børsens aktiver og forpligtelser.
Stablecoins kan indefryses, bitcoin kan ikke: Centraliserede udstedere af stablecoins kan i visse tilfælde blokere aktiver, mens BTC ikke har nogen central udsteder, der kan gøre det samme.
Tilbageførsel af aktiver er afgørende: Den endelige vurdering af hændelsens omfang afhænger af, hvor meget der rent faktisk kan tilbageføres, om reserverne bliver genoprettet, og hvad den fulde tekniske rapport viser.
Binance har lovet at dække tabene, men markedets tillid vil i høj grad afhænge af, hvor gennemsigtigt børsen håndterer genopretningen, og hvilke sikkerhedsforbedringer der bliver indført efter angrebet.