Hur kunde hackare stjäla 6,3 miljarder dollar från Binance?

Vad hände den 29 oktober?

Under kvällen den 29 oktober 2026 (UTC) lämnade kryptotillgångar för omkring 6,3 miljarder dollar Binances heta plånböcker, de plånböcker som är kopplade till nätet för att kunna betala ut uttag. Binance anger 6,34 miljarder dollar, TRM Labs 6,36 miljarder och Elliptic 6,43 miljarder, beroende på vilka kurser man räknar med. Det är den största kryptostölden som har registrerats. Det tidigare rekordet var Bybit, med ungefär 1,5 miljarder dollar i februari 2025.

Binance har lovat att täcka förlusterna med skyddsfonden SAFU och bolagets egna pengar, och uppgav den 3 november att 98 procent av reserverna var återställda. Uttagen pausades och öppnades igen i steg från den 1 november.

Steg för steg: så tog sig angriparna in

Det mesta vi vet kommer från Binances första utredning, publicerad den 3 november. Utredningen pågår, så detaljer kan ändras.

Juni: ett förfalskat utvecklarverktyg

Det började redan i juni. En ingenjör som arbetade med drift av plånbokssystemet letade efter ett AI-verktyg för kodning och installerade en manipulerad version av Homebrew, ett vanligt verktyg för att installera program på Mac. Datorn byttes ut, men då visste angriparna redan vem ingenjören var och vilka kollegorna var.

September: jobbintervjun

I september kontaktades en annan mjukvaruingenjör på en jobbsajt av en falsk projektchef. I första intervjurundan, ett videosamtal, delade en falsk HR-person ett konto i sociala medier med privata bilder och videor för att verka äkta. I andra rundan hörde en person av sig som påstod sig vara vd för ett bolag som inte fanns. Ingenjören fick ett arbetsprov att ladda ner, och det hamnade på jobbdatorn.

När provet installerades byttes filen för verktyget pyenv ut mot en kopia som bara var 70 byte större än originalet: 3 414 byte i stället för 3 344. Kopian kopplade upp sig mot en server som angriparna styrde. Skadeprogrammet var okänt sedan tidigare, och datorns säkerhetsskydd upptäckte det inte.

20 oktober: ett internt AI-verktyg

Från den datorn använde angriparna ett internt AI-verktyg för att ta kontroll över två datorer till: den första ingenjörens nya dator och datorn hos en tredje ingenjör som arbetade med plånboksmjukvaran. På den första fanns en token som gav rätt att driftsätta containrar. Binance har inte berättat hur AI-verktyget användes.

29 oktober: signeringstjänsten

Mellan kl. 17.15 och 19.56 UTC loggade angriparna in på den tredje ingenjörens dator med den förstes stulna inloggningsuppgifter, startade en container och körde ett skript. Det gav dem tillgång till en intern tjänst som signerar plånbokstransaktioner, och därmed kunde de skapa transaktioner vid sidan av det vanliga uttagsflödet och dess kontroller.

Mellan kl. 20.05 och 20.09 UTC lämnade 233,46 miljoner XRP, värda omkring 296 miljoner dollar, fem heta plånböcker. Sedan följde bitcoin, ether, stablecoins som USDT och USDC och tillgångar på flera andra kedjor. De sista obehöriga överföringarna gick strax före midnatt.

Varför räckte det inte att pausa uttagen?

Ethereum har sedan uppgraderingen Pectra i maj 2025 en funktion som heter EIP-7702. Den låter en vanlig plånbok lämna över delar av sina befogenheter till ett smart kontrakt, men bara om plånboken själv signerar det. Angriparna använde Binances egen signeringstjänst för att ta fram de signaturerna och gav sitt eget kontrakt delvis rätt att agera för en av Binances heta plånböcker.

Den behörigheten fanns på blockkedjan, oberoende av Binances egna system, så att pausa uttagen tog inte bort den. För att ta bort den måste plånboken själv signera en ny transaktion. Binances plånböcker använder MPC, där nyckeln är uppdelad i delar som aldrig sätts ihop. Det fanns alltså ingen enskild nyckel att använda direkt, och det krävdes ett särskilt förfarande. Delegeringen var aktiv från omkring kl. 20.20 UTC och togs bort kl. 00.10 den 30 oktober, nästan fyra timmar senare.

Flera säkerhetsforskare påpekar att EIP-7702 inte är felet i sig. Delegeringen krävde giltiga signaturer, och dem fick angriparna från Binances egen tjänst. Funktionen gjorde det däremot lättare att tömma plånboken i ett svep, och svårare att stoppa.

Vem ligger bakom, och var är pengarna?

FBI pekade den 31 oktober ut Nordkorea och gruppen TraderTraitor. Blockkedjeanalysföretagen TRM Labs och Chainalysis hade redan dragit samma slutsats. Nordkorea förnekar inblandning, och Binance har själv inte pekat ut någon.

Tether och Circle frös stablecoins för omkring 1,8 miljarder dollar inom ungefär en timme. Enligt Binance hade omkring 2,85 miljarder dollar frysts eller stoppats den 3 november. Resten flyttas fortfarande mellan adresser och tjänster, och FBI räknar med fler försök att tvätta pengarna.

Vad kan ett vanligt företag lära sig?

Binance är en kryptobörs, men vägen in var en vanlig arbetsdator. Samma metoder fungerar mot vilket företag som helst där några personer har nycklar till något viktigt: kunddata, betalningar, produktionsmiljön eller webbplatsen.

• Kör aldrig arbetsprov, demoprojekt eller filer från rekryterare och okända kontakter på en dator som har åtkomst till jobbet. Använd en separat dator eller en virtuell maskin.
• Installera utvecklarverktyg bara från källor ni har kontrollerat, och se till att ni märker när filer i verktygen ändras.
• Ge tokens och behörigheter så kort livslängd och så smal räckvidd som möjligt. En token som kan driftsätta något ska inte ligga kvar på en vanlig arbetsdator.
• Låt det som kan flytta pengar eller data kräva godkännande från mer än en person, och logga allt.
• Behandla interna AI-verktyg med åtkomst till system som vilket annat konto som helst: begränsa vad de kan göra och följ upp hur de används.
• Se till att nödstoppet stoppar allt. Behörigheter utanför era egna system, som en delegering på en blockkedja eller en OAuth-koppling, måste gå att dra tillbaka snabbt.

Binance har bytt ut de drabbade datorerna, återkallat inloggningar och tokens, byggt om plånbokssystemet och AI-verktyget och kontrollerat alla anställdas datorer. En fullständig rapport har inte publicerats än.