Binance drabbades av en rekordstor säkerhetsincident. Kryptotillgångar värda 6,3 miljarder dollar fördes bort från börsen. Är detta den största kryptohacken i historien?
Den 29 oktober 2026 drabbades Binance av en omfattande säkerhetsincident. Kryptotillgångar till ett uppskattat värde av 6,3 miljarder dollar fördes bort från 17 av börsens hot wallets i en attack som omfattade flera blockkedjenätverk och pågick i mindre än fyra timmar. Binance har bekräftat incidenten och lovat att täcka samtliga förluster med medel från SAFU-fonden och börsens egna tillgångar. Omkring 3 miljarder dollar har enligt uppgifter frysts. Den preliminära utredningen pekar på att angriparen kan ha fått tillgång till den interna infrastrukturen genom en komprometterad dator som tillhörde en DevOps-ingenjör. Det finns dock inga belägg för att privata nycklar har läckt.
Binance: Vad hände egentligen den 29 oktober?
Enligt uppgifter från blockkedjeanalysföretagen Bitquery och TRM Labs började de första utflödena från Binances hot wallets omkring kl. 20:04 UTC den 29 oktober. Under de följande timmarna flyttades tillgångar genom flera nätverk.
Några av de viktigaste händelserna i tidslinjen:
20:04 UTC - De första utflödena från Binances hot wallets registrerades.
20:20:06 UTC - Cirka 18 270 BTC överfördes till angriparens adresser.
20:20:59 UTC - 50 EIP-7702-auktoriseringar kopplade till Binance 14 registrerades.
20:24 UTC - Den huvudsakliga serien av överföringar av ETH och ERC-20-token genomfördes.
20:26 UTC - Ytterligare ETH överfördes.
20:40-20:41 UTC - Ytterligare överföringar av ETH och USDC registrerades.
23:56 UTC - Det utflödesfönster som analyserats av Bitquery avslutades.
02:23 UTC den 30 oktober - Binance publicerade ett uttalande där den uppskattade värdet av de bortförda tillgångarna till cirka 6,3 miljarder dollar.
Totalt berördes 17 hot wallets. Bitquery identifierade aktivitet i nio blockkedjenätverk, medan TRM Labs rapporterade tio. Bland de berörda nätverken fanns Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base och Polygon.
Det är viktigt att skilja mellan två olika delar av attacken: överföringen av BTC till angriparens adresser och EIP-7702-auktoriseringarna som användes i samband med Ethereum-plånböckerna. Det handlar om olika tekniska mekanismer, även om båda ingick i samma säkerhetsincident.
Vilka kryptovalutor stals från Binance?
En stor del av de spårade transaktionerna genomfördes på Ethereum-nätverket. Enligt tillgängliga data omfattade överföringarna bland annat följande tillgångar:
USDT: 1 615 409 499 USDT - cirka 1,615 miljarder dollar
USDC: 780 177 060 USDC - cirka 780 miljoner dollar
ETH: cirka 195 470 ETH - cirka 442 miljoner dollar
wBETH: 29 934 wBETH - cirka 74,6 miljoner dollar
RLUSD: 62 597 240 RLUSD - cirka 62,6 miljoner dollar
XAUt: 11 372 XAUt - cirka 45,6 miljoner dollar
UNI: 6 189 796 UNI - cirka 41,2 miljoner dollar
ENA: 198 369 717 ENA - cirka 37 miljoner dollar
PEPE: cirka 7,18 biljoner PEPE - cirka 35,3 miljoner dollar
USD1: 27 760 802 USD1 - cirka 27,7 miljoner dollar
LINK: 2 263 172 LINK - cirka 25 miljoner dollar
AAVE: 127 853 AAVE - cirka 16,2 miljoner dollar
Det här är endast en sammanställning av en del av överföringarna på Ethereum. Den omfattar inte hela den multikedjeaktivitet som ingick i attacken. Beloppen ska därför inte adderas till den uppskattade totalsumman på 6,3 miljarder dollar som en separat förlust.
18 270 BTC, motsvarande cirka 1,4 miljarder dollar. Angriparen fördelade bitcoin på 19 plånböcker
En av de mest uppmärksammade delarna av incidenten var överföringen av cirka 18 270,2 BTC. Enligt analysen flyttades dessa bitcoin genom 11 transaktioner och fördelades därefter på 19 olika plånböcker.
Fördelningen var anmärkningsvärt systematisk:
17 plånböcker fick exakt 1 000 BTC vardera.
En plånbok fick 832,5 BTC.
En plånbok fick 437,7 BTC.
Enligt tillgängliga uppgifter hade ingen av dessa bitcoin överförts vidare från mottagaradresserna fram till kl. 04:23 UTC den 30 oktober.
Detta är särskilt intressant eftersom bitcoin skiljer sig från centraliserade stablecoins. Det finns ingen central utgivare som kan frysa BTC på samma sätt som exempelvis Tether eller Circle kan frysa sina stablecoins. Om angriparen kontrollerar de privata nycklarna till dessa adresser är möjligheterna att återfå tillgångarna därför betydligt mer begränsade. Återvinning kan i praktiken kräva samarbete från kryptobörser och andra mellanhänder om angriparen försöker flytta eller växla tillgångarna.
Angriparen växlade en del av stablecoins till ETH och TRX. Vad lyckades man rädda?
Enligt Bitquery växlade angriparen stablecoins till ett uppskattat värde av cirka 729 miljoner dollar mot ETH och TRX innan vissa av de berörda adresserna frystes.
Under denna process ökade angriparens innehav av ETH till omkring 490 361 ETH, jämfört med ett ursprungligt innehav på cirka 200 630 ETH. Det innebär att mängden ETH blev ungefär 2,4 gånger större.
Vid kl. 03:54 UTC den 30 oktober uppskattades omkring 3,1 miljarder dollar fortfarande finnas kvar i angriparens plånböcker. Vid den tidpunkten hade inga överföringar till kryptobörser eller mixers registrerats.
TRM Labs publicerade tidigare en uppskattning som pekade på mer än 420 000 ETH och 18 270 BTC, med ett sammanlagt värde på cirka 2,4 miljarder dollar.
Skillnaderna mellan uppskattningarna beror bland annat på när analyserna genomfördes, vilka nätverk som inkluderades och vilka metoder företagen använde. Det är därför viktigt att inte behandla siffrorna som direkt jämförbara ögonblicksbilder av exakt samma tillgångsbalans.
Hur fick angriparen kontroll över Binances plånböcker?
Den preliminära utredningen pekar på att angriparen kan ha utnyttjat en komprometterad dator som tillhörde en DevOps-ingenjör på Binance.
Enligt den misstänkta händelsekedjan fick angriparen tillgång till en tjänstekontainer i börsens interna infrastruktur. Därifrån kunde obehöriga uttagstransaktioner initieras.
Binance har uppgett att man inte har hittat några belägg för att privata nycklar har läckt. Det innebär att attacken, utifrån den information som hittills presenterats, inte verkar ha handlat om att angriparen knäckt blockkedjornas kryptografiska säkerhet. I stället tycks problemet ha uppstått i den interna infrastrukturen och i hur transaktioner kunde auktoriseras.
En central del av attacken var användningen av EIP-7702, en Ethereum-standard som gör det möjligt för en vanlig plånboksadress att tillfälligt delegera vissa funktioner till smartkontraktskod, samtidigt som adressen behåller sin identitet och sina tillgångar.
I samband med incidenten registrerades 50 auktoriseringar kopplade till Binance 14. De var signerade och förberedda för efterföljande nonce-värden. Detta gjorde det möjligt att använda angriparkontrollerad kod och automatisera överföringar från de berörda plånböckerna.
Det är viktigt att understryka att EIP-7702 i sig inte är en sårbarhet. Standarden är en del av Ethereums funktionalitet. Problemet uppstod i hur den utnyttjades i kombination med den komprometterade infrastrukturen.
Binance har meddelat att man kommer att publicera en mer detaljerad teknisk rapport om incidenten.
Vem ligger bakom attacken mot Binance? Spåren pekar mot Nordkorea
Enligt TRM Labs pekar den tekniska analysen med hög säkerhet mot den nordkoreanska hackergruppen TraderTraitor. Även Chainalysis har pekat på Nordkorea och identifierat likheter med attacken mot Bybit i februari 2025.
TraderTraitor är en grupp som kopplats till flera omfattande attacker mot kryptobranschen. Nordkoreanska hackergrupper har under flera år varit involverade i operationer där kryptotillgångar stjäls för att finansiera regimens verksamhet.
Det finns dock fortfarande en viktig reservation: någon officiell bekräftelse från brottsbekämpande myndigheter om vem som ligger bakom attacken har inte presenterats.
Hur mycket pengar lyckades man frysa? Binance uppger cirka 3 miljarder dollar
Enligt Binances senaste uttalande har omkring 3 miljarder dollar i tillgångar frysts.
Andra analysföretag har presenterat något lägre uppskattningar:
Bitquery uppskattade det frysta beloppet till cirka 2,7 miljarder dollar.
TRM Labs rapporterade också omkring 2,7 miljarder dollar.
Flera aktörer bidrog till insatserna, däribland Tether, Circle, Ripple, World Liberty Financial och andra samarbetspartner. Även Arbitrum Security Council deltog i åtgärderna.
Skillnaderna mellan uppskattningarna kan bero på tidpunkten för analysen, vilka blockkedjenätverk som omfattades och hur företagen definierade frysta tillgångar.
Det är också viktigt att komma ihåg att frysta tillgångar inte automatiskt innebär att pengarna har återförts till Binance. Det kan krävas ytterligare juridiska och tekniska åtgärder innan tillgångarna kan återlämnas.
Hur reagerade Binance? SAFU, ersättning för förluster och tillfälligt stoppade uttag
Binance bekräftade officiellt incidenten i ett uttalande som publicerades den 30 oktober kl. 02:23 UTC.
Börsen lovade att täcka samtliga förluster med hjälp av SAFU-fonden och egna medel. SAFU står för Secure Asset Fund for Users och är en särskild fond som Binance har inrättat för att skydda användarna vid extraordinära händelser.
Som en del av säkerhetsåtgärderna vidtog Binance flera åtgärder:
Insättningar och uttag stoppades tillfälligt.
Auktoriseringar kopplade till de berörda adresserna återkallades.
Börsen började samarbeta med brottsbekämpande myndigheter och företag som arbetar med blockkedjeanalys.
Binance lovade att uppdatera sin Proof of Reserves-dokumentation.
I en senare förklaring uppgav börsen att insättningar redan var tillgängliga igen, medan uttagen fortfarande var pausade under återuppbyggnaden och kontrollen av infrastrukturen. Binance zapowiadało wznowienie wypłat w ciągu około 48 godzin.
Proof of Reserves Binance pod lupą. Czy rezerwy nadal pokrywają 100% sald klientów?
CoinDesk zwrócił uwagę, że portfele źródłowe wykorzystane w ataku znajdowały się w październikowym zestawieniu rezerw Binance.
Przed incydentem giełda wykazywała 100-procentowe pokrycie zobowiązań wobec klientów w ETH. Usunięcie około 204 500 ETH mogłoby obniżyć ten wskaźnik do około 94%, jeśli środki nie zostałyby uzupełnione. Podobne konsekwencje mogły dotyczyć USDC i innych altcoinów.
Nie oznacza to jednak, że Binance jest niewypłacalne. Giełda zadeklarowała, że pokryje straty z własnych środków i funduszu SAFU. Kluczowe znaczenie będzie miała aktualizacja Proof of Reserves, która pokaże, czy rezerwy ponownie w pełni pokrywają zobowiązania wobec klientów.
Jak zareagował rynek kryptowalut? Bitcoin spadł poniżej 77 000 dolarów
Informacje o ataku pojawiły się w okresie słabszego sentymentu na rynku kryptowalut. Bitcoin spadł w okolice 76 400-76 500 dolarów, osiągając najniższy poziom od około sześciu tygodni.
Ethereum było notowane w przedziale około 2 170-2 200 dolarów, natomiast BNB stracił ponad 8% w ciągu 24 godzin.
Według danych CoinDesk likwidacje na rynku kontraktów futures wyniosły około 1,57 miliarda dolarów. Najmocniej ucierpieli inwestorzy posiadający pozycje długie:
Bitcoin: około 522 milionów dolarów likwidacji.
Ethereum: około 361 milionów dolarów likwidacji.
Nie można jednak przypisywać całego spadku wyłącznie incydentowi na Binance. Słabo zachowywały się również amerykańskie akcje spółek technologicznych. Atak dodatkowo pogłębił jednak negatywny sentyment i zwiększył obawy dotyczące bezpieczeństwa giełd kryptowalutowych.
Den största kryptohacken i historien? Binance går om Bybit och Ronin
Om uppskattningen på 6,3 miljarder dollar bekräftas skulle incidenten på Binance överträffa flera av de största hackningarna i kryptobranschens historia.
Bland de viktigaste jämförelserna finns:
LuBian: Cirka 127 426 BTC försvann i december 2020. Händelsen uppmärksammades av Arkham i augusti 2025 och tillgångarna värderades då till omkring 3,5 miljarder dollar. Det rörde sig dock inte om en klassisk börshackning, och LuBian har inte offentligt bekräftat incidenten.
Bybit: Cirka 1,5 miljarder dollar stals i februari 2025.
Ronin Network: En av de största attackerna mot en blockkedjebrygga, som inträffade 2022.
Poly Network: En omfattande attack 2021.
Binance Bridge: En incident 2022.
Coincheck: En stor stöld av kryptotillgångar 2018.
Mt. Gox: En av de mest kända börskollapserna i kryptohistorien, som inleddes 2014.
Det är viktigt att komma ihåg att beloppen inte är helt jämförbara. I Binances fall bygger rekorduppskattningen på den deklarerade ekonomiska omfattningen av incidenten. Det betyder inte att samtliga 6,3 miljarder dollar nödvändigtvis är permanent förlorade.
Är europeiska kryptobörser med MiCA-licens ett säkrare alternativ?
Incidenten på Binance väcker återigen frågor om hur användare bör välja kryptobörser och vilka säkerhetskrav som bör ställas på plattformar som hanterar kundernas tillgångar.
MiCA-förordningen innebär att kryptotjänsteleverantörer som är verksamma inom EU måste uppfylla krav på bland annat organisation, tillsyn och kundskydd. Ett tillstånd enligt MiCA innebär därför ett tydligare regelverk och formella krav på verksamheten.
Det betyder däremot inte att en MiCA-licens eliminerar risken för hackerattacker. Inte heller innebär den att kundernas kryptotillgångar omfattas av samma skydd som bankinsättningar.
En licens kan ge användarna större transparens och ett tydligare regelverk att förhålla sig till, men den är ingen garanti för teknisk säkerhet.
Vad innebär Binance-incidenten för säkerheten på kryptomarknaden?
Attacken visar att säkerheten i kryptobranschen inte enbart handlar om blockkedjornas kryptografi. Även interna system, åtkomstkontroller, signeringsprocesser och hanteringen av privata nycklar är avgörande.
Incidenten lyfter fram flera viktiga frågor:
Blockkedjesäkerhet kontra infrastruktursäkerhet: Även om en blockkedja fungerar som avsett kan en komprometterad intern infrastruktur göra det möjligt att genomföra obehöriga transaktioner.
Proof of Reserves har sina begränsningar: Regelbundna rapporter om reserver är viktiga, men de måste uppdateras efter större incidenter för att ge en rättvisande bild av börsens tillgångar och skulder.
Stablecoins kan frysas, bitcoin kan inte: Centraliserade stablecoin-utgivare kan i vissa fall blockera tillgångar, medan BTC inte har någon central utgivare som kan göra detsamma.
Återvinning av tillgångar är avgörande: Den slutliga bedömningen av incidentens omfattning beror på hur mycket som faktiskt kan återföras, om reserverna återställs och vad den fullständiga tekniska rapporten visar.
Binance har lovat att täcka förlusterna, men marknadens förtroende kommer i hög grad att bero på hur transparent börsen hanterar återhämtningen och vilka säkerhetsförändringar som införs efter attacken.