Binance rammet av en rekordstor sikkerhetshendelse. Kryptovaluta verdt 6,3 milliarder dollar ble tappet fra børsen. Er dette det største kryptohacket i historien?
29. oktober 2026 ble verdens største kryptovalutabørs, Binance, rammet av en omfattende sikkerhetshendelse. Angriperne klarte å få tilgang til 17 hot wallets og overføre kryptovaluta verdt rundt 6,3 milliarder dollar i løpet av mindre enn fire timer. Angrepet omfattet flere blokkjedenettverk. Binance bekreftet hendelsen og opplyste at alle tap kundene måtte bli påført, ville bli dekket gjennom SAFU-fondet og selskapets egne midler. Ifølge selskapet er verdier for rundt 3 milliarder dollar allerede blitt fryst.
Ifølge den foreløpige etterforskningen kan angrepet ha startet med at en DevOps-ingeniørs bærbare PC ble kompromittert. Det foreligger foreløpig ingen beviser for at angriperne fikk tilgang til lommebøkenes private nøkler.
Binance: Hva skjedde egentlig 29. oktober?
Ifølge data fra Bitquery ble de første utgående transaksjonene registrert 29. oktober kl. 20:04 UTC. I løpet av de neste timene ble store mengder kryptovaluta overført ut av Binances lommebøker. De viktigste hendelsene var følgende:
20:04 UTC - De første utgående transaksjonene fra Binances lommebøker ble registrert.
20:20:06 UTC - Rundt 18 270 BTC ble overført til angriperen.
20:20:59 UTC - Det ble registrert 50 EIP-7702-autorisasjoner knyttet til Binance 14-adressen.
20:24 UTC - Den viktigste bølgen av overføringer av ETH og ERC-20-tokener startet.
20:26 UTC - Ytterligere ETH-overføringer fant sted.
20:40-20:41 UTC - Flere overføringer av ETH og USDC ble registrert.
23:56 UTC - Ifølge Bitquery ble den overvåkede perioden med utgående transaksjoner avsluttet.
30. oktober kl. 02:23 UTC - Binance publiserte en offisiell uttalelse og anslo at hendelsen omfattet verdier på rundt 6,3 milliarder dollar.
Angrepet rammet 17 hot wallets og flere blokkjedenettverk. Bitquery identifiserte aktivitet på ni nettverk, mens TRM Labs oppga ti. Disse omfatter Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base og Polygon.
Det er viktig å skille mellom Bitcoin-overføringen og EIP-7702-autorisasjonene. Dette er to forskjellige hendelser som inngår i samme angrep, men som har ulik teknisk betydning.
Hvilke kryptovalutaer ble stjålet fra Binance?
En stor del av de identifiserte overføringene fant sted på Ethereum-nettverket. Ifølge Bitquery ble blant annet følgende verdier overført til angripernes adresser:
USDT - 1 615 409 499 tokener, til en verdi av rundt 1,615 milliarder dollar.
USDC - 780 177 060 tokener, til en verdi av rundt 780 millioner dollar.
ETH - rundt 195 470 ETH, til en verdi av omtrent 442 millioner dollar.
wBETH - 29 934 tokener, til en verdi av rundt 74,6 millioner dollar.
RLUSD - 62 597 240 tokener, til en verdi av rundt 62,6 millioner dollar.
XAUt - 11 372 tokener, til en verdi av rundt 45,6 millioner dollar.
UNI - 6 189 796 tokener, til en verdi av rundt 41,2 millioner dollar.
ENA - 198 369 717 tokener, til en verdi av rundt 37 millioner dollar.
PEPE - rundt 7,18 billioner tokener, til en verdi av omtrent 35,3 millioner dollar.
USD1 - 27 760 802 tokener, til en verdi av rundt 27,7 millioner dollar.
LINK - 2 263 172 tokener, til en verdi av rundt 25 millioner dollar.
AAVE - 127 853 tokener, til en verdi av rundt 16,2 millioner dollar.
Disse tallene omfatter bare overføringene som ble identifisert på Ethereum-nettverket. De inkluderer ikke alle verdiene som ble flyttet gjennom de ulike blokkjedenettverkene, og representerer derfor ikke det samlede økonomiske omfanget av hendelsen. Summene må derfor ikke legges til Binances anslag på 6,3 milliarder dollar.
18 270 BTC, tilsvarende rundt 1,4 milliarder dollar. Angriperen fordelte bitcoinene på 19 lommebøker
En av de mest bemerkelsesverdige delene av hendelsen var overføringen av rundt 18 270,2 BTC til adresser kontrollert av angriperne. Ifølge Bitquery skjedde dette gjennom 11 transaksjoner. Deretter ble bitcoinene fordelt på 19 forskjellige lommebøker.
Fordelingen var som følger:
17 lommebøker mottok nøyaktig 1 000 BTC hver.
Én lommebok mottok rundt 832,5 BTC.
Én lommebok mottok rundt 437,7 BTC.
Per 30. oktober kl. 04:23 UTC hadde ingen av disse bitcoinene blitt overført videre.
Dette er en viktig forskjell sammenlignet med stablecoins. Bitcoin har ingen sentral utsteder som kan fryse bestemte adresser. Derfor avhenger muligheten for å få tilbake de stjålne BTC-ene først og fremst av om angriperne forsøker å veksle dem på sentraliserte børser eller gjennom OTC-formidlere som kan oppdage mistenkelige transaksjoner og nekte å gjennomføre dem.
Angriperen vekslet deler av stablecoin-beholdningen til ETH og TRX. Hva klarte man å redde?
Ifølge Bitquery vekslet angriperen stablecoins til en verdi av rundt 729 millioner dollar til ETH og TRX før enkelte adresser ble fryst.
Resultatet var at angriperens lommebøker samlet opp rundt 490 361 ETH. Dette var omtrent 2,4 ganger mer enn den opprinnelige beholdningen på rundt 200 630 ETH.
Per 30. oktober kl. 03:54 UTC lå det fortsatt verdier for rundt 3,1 milliarder dollar i angripernes lommebøker. Det var på dette tidspunktet ikke registrert overføringer til kryptobørser eller miksingstjenester.
TRM Labs presenterte et tidligere anslag med andre tall. Ifølge selskapets analyse kontrollerte angriperne over 420 000 ETH og 18 270 BTC, med en samlet verdi på rundt 2,4 milliarder dollar.
Forskjellene skyldes sannsynligvis tidspunktet for datainnsamlingen, metodene som ble brukt, og hvilke nettverk som inngikk i analysen. Ulike anslag betyr derfor ikke nødvendigvis at ett av dem er feil.
Hvordan fikk angriperen kontroll over Binances lommebøker?
Ifølge den foreløpige etterforskningen kan angrepet ha startet med at en DevOps-ingeniørs bærbare PC ble kompromittert. Angriperne skal ha klart å få tilgang til en tjenestekontainer i selskapets interne infrastruktur og bruke denne til å initiere uautoriserte uttak.
Binance opplyste at det foreløpig ikke finnes beviser for at lommebøkenes private nøkler ble lekket.
Dette er viktig fordi det ikke var snakk om å bryte blokkjedens kryptografi. Angriperne trengte ikke å kompromittere sikkerhetsmekanismene i Bitcoin eller Ethereum. I stedet utnyttet de tilgangen til Binances interne systemer.
EIP-7702-mekanismen har fått særlig oppmerksomhet i analysene av hendelsen. Denne Ethereum-standarden gjør det mulig for en vanlig lommebokadresse midlertidig å delegere utførelsen av transaksjoner til kode fra en smartkontrakt, samtidig som adressen og saldoen beholdes.
Det ble registrert 50 EIP-7702-autorisasjoner knyttet til Binance 14-adressen. Disse var signert og klargjort for påfølgende nonce-verdier. Dette gjorde det mulig for kode kontrollert av angriperne å gjennomføre en rekke overføringer.
Det er viktig å understreke at EIP-7702 i seg selv ikke er en sikkerhetssårbarhet. Det er en funksjon i Ethereum-protokollen som også kan brukes til helt legitime formål. Problemet lå i hvordan angriperne klarte å utnytte autorisasjonene.
Binance har lovet å publisere en teknisk rapport om hendelsen. Den skal bidra til å gi en mer detaljert forståelse av hvordan angrepet ble gjennomført, og hvilke sikkerhetsmekanismer som gjorde det mulig.
Hvem står bak angrepet på Binance? Sporene peker mot Nord-Korea
Ifølge TRM Labs er det med høy grad av sikkerhet den nordkoreanske hackergruppen TraderTraitor som står bak angrepet. Analysen fra Chainalysis peker også i retning av Nord-Korea.
TraderTraitor er en gruppe som knyttes til nordkoreanske cyberoperasjoner, og som tidligere har vært forbundet med angrep mot kryptovalutasektoren.
Analytikere har også pekt på likheter med angrepet på Bybit i februar 2025, da kryptovaluta verdt rundt 1,5 milliarder dollar ble stjålet.
Det er likevel viktig å huske at dette er vurderinger fra analysefirmaer. Myndighetene har foreløpig ikke offisielt bekreftet at en bestemt gruppe står bak angrepet.
Hvor mye klarte man å fryse? Binance oppgir rundt 3 milliarder dollar
Ifølge Binances siste offentlige uttalelse har selskapet klart å fryse verdier for rundt 3 milliarder dollar.
Bitquery anslår den fryste summen til rundt 2,7 milliarder dollar. TRM Labs oppgir også et beløp i samme størrelsesorden.
Flere selskaper og samarbeidspartnere i kryptosektoren deltok i arbeidet med å fryse midlene, blant annet:
Tether
Circle
Ripple
World Liberty Financial
Arbitrum Security Council
andre samarbeidspartnere
Forskjellene mellom anslagene kan skyldes tidspunktet for datainnsamlingen, hvilke nettverk som ble overvåket, og metodene som ble brukt.
Det er også viktig å understreke at fryste midler ikke automatisk betyr at de allerede er tilbakeført til Binance. Frysing hindrer videre overføringer, men en faktisk tilbakeføring kan kreve ytterligere tekniske og juridiske tiltak.
Hvordan reagerte Binance? SAFU, dekning av tap og stans i uttak
Binance bekreftet offisielt hendelsen 30. oktober kl. 02:23 UTC. Selskapet opplyste at alle tap kundene måtte bli påført, ville bli dekket gjennom SAFU-fondet og selskapets egne midler.
SAFU, eller Secure Asset Fund for Users, er et reservefond opprettet av Binance for å beskytte brukerne. Formålet er å gi ekstra beskyttelse i ekstraordinære situasjoner.
Selskapet innførte også flere andre tiltak:
innskudd og uttak ble midlertidig stanset;
autorisasjoner knyttet til de berørte adressene ble tilbakekalt;
selskapet startet samarbeid med politimyndigheter og blokkjedeanalysefirmaer;
Binance lovet å publisere en oppdatert Proof of Reserves-rapport.
Senere presiserte Binance at innskudd igjen var tilgjengelige, mens uttak fortsatt var stanset frem til gjenoppbyggingen og kontrollen av systemene var fullført. Selskapet forventet at uttakene skulle bli gjenopptatt innen rundt 48 timer.
Binances Proof of Reserves under lupen. Dekker reservene fortsatt 100 % av kundenes saldoer?
Hendelsen har også reist spørsmål om Binances Proof of Reserves-system.
Ifølge observasjoner fra CoinDesk var enkelte av lommebøkene som var involvert i angrepet, inkludert i selskapets oversikt over reserver for oktober. Før hendelsen dekket Binances ETH-reserver 100 % av forpliktelsene overfor kundene.
Uttaket av rundt 204 500 ETH fra disse lommebøkene kan bety at dekningsgraden falt til omtrent 94 %, dersom Binance ikke har erstattet de manglende midlene.
Et tilsvarende spørsmål kan oppstå for USDC og andre altcoins.
Dette betyr ikke automatisk at Binance er insolvent eller ute av stand til å tilbakebetale kundenes eiendeler. Selskapet har lovet å dekke tapene, og derfor er en oppdatert Proof of Reserves-rapport så viktig.
Rapporten skal vise om Binance har erstattet de manglende eiendelene, og om kundenes saldoer igjen er fullt ut dekket.
Hvordan reagerte kryptomarkedet? Bitcoin falt under 77 000 dollar
Sikkerhetshendelsen hos Binance la et betydelig press på kryptomarkedet.
Bitcoin-prisen falt til rundt 76 400-76 500 dollar og nådde dermed sitt laveste nivå på seks uker. Ethereum falt til rundt 2 170-2 200 dollar. BNB mistet mer enn 8 % av verdien sin i løpet av 24 timer.
Ifølge CoinDesk nådde det samlede volumet av likvideringer i futuresmarkedene rundt 1,57 milliarder dollar. Det var særlig tradere som hadde satset på stigende priser, som ble rammet.
Likvideringer av BTC-posisjoner utgjorde rundt 522 millioner dollar.
Likvideringer av ETH-posisjoner utgjorde rundt 361 millioner dollar.
Samtidig kan ikke hele markedsnedgangen tilskrives Binance-hendelsen alene. Amerikanske teknologiaksjer var også under press, noe som kan ha forverret markedssentimentet ytterligere.
Angrepet på Binance bidro imidlertid til økt usikkerhet på et tidspunkt da investorenes risikovilje allerede var i ferd med å avta.
Det største kryptohacket i historien? Binance passerer Bybit og Ronin
Hvis Binances anslag på 6,3 milliarder dollar blir bekreftet, vil dette være en av de største sikkerhetshendelsene i kryptovalutasektorens historie.
Til sammenligning:
LuBian - rundt 127 426 BTC. Bitcoinene ble overført fra lommebøker knyttet til miningpoolen LuBian i desember 2020. Saken ble kjent offentlig gjennom Arkham Intelligence i august 2025. Verdien av eiendelene var da rundt 3,5 milliarder dollar. Dette var ikke et typisk kryptobørshack, og LuBian har ikke offentlig bekreftet hendelsen.
Bybit - rundt 1,5 milliarder dollar. Angrepet i februar 2025 var et av de største kjente hackerangrepene mot en kryptobørs.
Ronin Network - 2022. Angriperne stjal kryptoeiendeler verdt rundt 625 millioner dollar.
Poly Network - 2021. Angriperne overførte eiendeler verdt rundt 611 millioner dollar, hvorav en stor del senere ble returnert.
Binance Bridge - 2022. Under sikkerhetshendelsen ble det opprettet BNB-tokener til en verdi av rundt 570 millioner dollar.
Coincheck - 2018. Kryptobørsen ble frastjålet NEM-tokener verdt rundt 530 millioner dollar.
Mt. Gox - 2014. En av de mest kjente kollapsene i kryptovalutaenes historie, der rundt 850 000 BTC gikk tapt.
Disse hendelsene kan ikke sammenlignes direkte, ettersom de skiller seg fra hverandre både når det gjelder angrepenes tekniske karakter, tidspunktet for verdsettelsen av eiendelene og de faktiske økonomiske tapene.
Også i Binance-saken er det viktig å skille mellom anslaget på 6,3 milliarder dollar og beløpet som til slutt vil gå permanent tapt. En del av eiendelene er allerede fryst, og Binance har lovet å dekke alle tap kundene måtte bli påført.
Er europeiske kryptobørser med MiCA-lisens et tryggere valg?
Hendelsen hos Binance reiser igjen spørsmålet om hvilken børs europeiske brukere bør benytte når de handler med kryptovaluta.
MiCA-forordningen innfører felles krav til tilbydere av kryptoeiendelstjenester i EU. Disse omfatter organisatoriske og operative krav, tilsyn, kundebeskyttelse og forpliktelser knyttet til oppbevaring av eiendeler.
En MiCA-tillatelse innebærer at selskapet må oppfylle bestemte regulatoriske standarder og operere innenfor det europeiske tilsynsrammeverket.
Det betyr likevel ikke at en børs med MiCA-lisens er beskyttet mot hackerangrep. Ingen tillatelse kan garantere at selskapets interne infrastruktur, de ansattes enheter eller systemene for håndtering av lommebøker er fullstendig sikre.
MiCA gir brukerne ytterligere regulatorisk beskyttelse og større åpenhet, men dette må ikke forveksles med en garanti for teknisk sikkerhet eller en ordning for innskuddsgaranti tilsvarende den som gjelder for bankinnskudd.
Hva betyr Binance-hendelsen for sikkerheten i kryptomarkedet?
Binance-saken viser at sikkerheten til kryptovalutaer ikke bare avhenger av blokkjedeteknologien. Selv om Bitcoin og Ethereum fungerer nøyaktig som de skal, kan den interne infrastrukturen til en sentralisert børs bli et mål for angrep.
Hendelsen gir grunnlag for flere viktige konklusjoner:
Blokkjedenes sikkerhet og børsenes sikkerhet er to forskjellige ting. Angripere trenger ikke å bryte seg inn i selve blokkjeden dersom de klarer å kompromittere børsens interne systemer.
Proof of Reserves gir ikke i seg selv full beskyttelse. Dokumentasjon av reserver bidrar til å kontrollere at eiendelene finnes, men utelukker ikke operasjonelle eller tekniske sikkerhetsrisikoer.
Stablecoins kan fryses. Tether og Circle kan under bestemte omstendigheter blokkere bestemte adresser som inneholder deres tokener. Bitcoin har ingen tilsvarende sentral mekanisme.
Regulering reduserer enkelte risikoer, men fjerner dem ikke fullstendig. MiCA stiller krav til tjenesteleverandører, men kan ikke utelukke alle mulige cyberangrep.
Den endelige betydningen av Binance-hendelsen kan først vurderes når det blir klart hvor mye av eiendelene som er gjenopprettet, om selskapets reserver er fullt ut gjenopprettet, og hva den lovede tekniske rapporten fra Binance viser.