Den 29. oktober 2026 blev omkring $6,15 milliarder drænet fra Binance på 31 minutter af en hacker – et af de største tyverier i kryptoens og internettets historie.
Binance estimerede først tabet til $6,3 milliarder, men blockchain-analysefirmaet BitOKs gennemgang af hver enkelt transaktion medlems det til $6,15 milliarder på tværs af ni blockchains.
Hackerne stjal aldrig Binances private nøgler. I stedet fik de Binances egne systemer til at godkende overførslerne. Guiden her følger kuppet trin for trin og forklarer de tekniske begreber undervejs. Alle tidspunkter er angivet i UTC.
Sådan fungerer pengeoverførsler hos en børs
Hot wallets er en børs’ online wallets, der altid er forbundet, så udbetalinger hurtigt kan effektueres.
Signering. Hver overførsel skal godkendes med en wallet’s private nøgle – et hemmeligt tal. Børser bruger automatiske systemer til at signere tusindvis af udbetalinger dagligt.
Nonces er en Ethereum wallets transaktions-tæller. På en aktiv wallet stiger nonce konstant.
Frysbare coins. Stablecoin-udstedere som Tether (USDT) og Circle (USDC) kan fryse adresser. Ingen kan fryse native coins som BTC, ETH eller TRX.
28. oktober: Forberedelse før hacket
Alle transaktioner på blockchain koster et lille gebyr. For at finansiere sine wallets uden at efterlade spor brugte hackeren Tornado Cash – en mixer, der blander mange brugeres coins, så hævninger ikke kan spores til indbetalinger.
Seks udtræk fra Tornado Cash finansierede operatørens wallet samt to hjælperes.
29. oktober, 02:28–16:47 UTC: To prøvekørsler
Inden hackeren angreb Binance, testede de metoden på egne wallets – ligesom en indbrudstyv måske tester et dirkeværktøj derhjemme først.
Værktøjet var et smart contract-program, der ligger på Ethereum og gør præcis, hvad koden dikterer. Dette var designet til at tømme enhver wallet, der havde givet det tilladelse til at handle på walletens vegne. (Ethereums funktion EIP-7702 muliggør denne slags tilladelser; mere om det senere.)
- 02:28 — Hackeren offentliggør en test-version af udtømningsprogrammet.
- 13:51–14:24 — første generalprøve. Hackeren sætter små mængder USDT og USDC ind i to af deres egne wallets, giver testprogrammet tilladelse, og aktiverer det. Begge wallets tømmes – værktøjet virker.
- 15:59 — endelig version udgives, den der senere bruges på Binance.
- 16:20–16:47 — anden generalprøve, samme test med endelig version.
Slutversionen havde én ekstra evne: den kunne få en wallet til at udføre hvad som helst, ikke kun sende tokens. Det gjorde det muligt i løbet af natten at beordre en Binance-wallet til at frigive 823 mio. USDC. Et så specifikt værktøj indikerer, at hackeren allerede kendte til Binances opsætning af wallets.
“Forskellen mellem de to versioner var afgørende. Den primære kontrakt indeholdt en funktion, der kunne udføre vilkårlige handlinger på vegne af en wallet, som havde delegeret kontrol til den. Den funktion blev senere brugt til at tømme 823 mio. USDC fra en Binance smart wallet,” forklarede BitOK.
29. oktober, 20:04 UTC: 31-minutters dræning
Fra 20:04:52 til 20:35:53 tømte hackeren Binances hot wallets på XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum og Avalanche. Byttet omfattede:
- 18.270,2 BTC,
- 197.540 ETH,
- 2,49 mia. USDT,
- 823 mio. USDC,
- 233,46 mio. XRP,
- 970.522 SOL og snesevis af andre tokens.
Alle overførsler blev signeret af Binances egne wallets. BitOK kunne afsløre transaktionerne på grund af deres kendetegn: gebyrer der var 2 til 2,7 gange højere end normalt, transaktionsformater Binances udbetalingssoftware ikke anvender samt – på Ethereum – falske overførsler imellem reelle kundeudbetalinger.
Hackeren kom ind via en DevOps-ingeniørs bærbare computer, og brugte derefter en service-container (et pakket program i Binances system) til at indsende falske udbetalingsordrer.
20:20 UTC: 50-nøgler-tricket
Det var nattens mest geniale træk. Målet var en travl Ethereum hot wallet kaldet Binance 14.
Planen. Med EIP-7702 kan en wallet signere en adkomst – altså en godkendelse – der lader et smart contract-program handle på dens vegne. Hvis Binance 14 underskrev én, hvor hackerens kontrakt var angivet, ville hackeren have kontrol.
Udfordringen. En adkomst virker kun, hvis den indeholder wallet’ens aktuelle transaktionsnummer – dens nonce. Binance 14 udbetalte konstant til kunder, så tallet blev hele tiden opdateret. En adkomst med et forkert nummer ignoreres simpelthen.
Tricket. Kl. 20:20:59 fik gerningsmanden Binances underskriftssystem til at underskrive 50 slips på én gang, hver med et forskelligt nummer. Forestil dig at prøve 50 nøgler i en lås på samme tid: kun én behøver at passe. Én gjorde. Binance 14 adlød nu ordrer fra gerningsmandens kontrakt, men fungerede stadig normalt, så pengene fortsatte med at strømme ind.
Udbyttet. Få minutter senere tømte én transaktion 65 forskellige tokens til en samlet kurs på over 2,2 milliarder dollar, herunder 1,615 milliarder USDT og 167.464 ETH. Kl. 20:41 og 20:59 fik kontrakten også en anden Binance wallet til at sende 823 millioner USDC ud.
Binance 16. En anden hot wallet blev tømt på mere simpel vis. Binances system blev fodret med ni falske overførsler, som det underskrev og sendte ud sammen med rigtige kundebetalinger. De bar 28.005,6 ETH og 55,7 millioner USDT.
20:30–21:14 UTC: Kapløbet mod coins der ikke kan fryses
På Ethereum forlod 500 millioner USDT hovedmodtageradressen på kun seks minutter. Mellem 20:34 og 21:09 vekslede gerningsmanden 435 millioner USDT til ETH på Uniswap, en decentral børs drevet af kode. Vedkommende satte også 60 millioner USDT ind på Aave, et udlånsprotokol, og lånte 19.762 ETH imod det, mens den frysbare sikkerhed blev efterladt.
På Tron blev 612,7 millioner USDT overført fra Binance-Hot 7 wallet. Gerningsmanden byttede i 16 handler på SunSwap, Trons vigtigste decentraliserede børs, 234 millioner USDT til 638,2 millioner TRX.
Kapløbet om at fryse
For at fryse USDT krævede Tether tre godkendelser fra sin multisignatur wallet, hvilket kræver flere underskrifter. Hver blokering tog op til 2 minutter og 36 sekunder, og ventende anmodninger kunne ses on-chain. Gerningsmanden kunne dermed se en blokering på vej og nå at flytte først: en wallet flyttede 130 millioner USDT blot 48 sekunder inden den blev frosset. Men ved en adresse tøvede gerningsmanden og mistede næsten 175 millioner USDT.
Alle 823 millioner USDC lå stadig på én adresse og blev frosset med én transaktion.
| Frosset af Tether og Circle | Beløb |
|---|---|
| Ethereum USDT | $1,38 mia. |
| Ethereum USDC | $823 mio. |
| Tron USDT | $378,7 mio. |
| Avalanche USDt | $8,4 mio. |
| I alt | $2,59 mia. |
Andre udstedere frøs USD1, XAUt, PAXG, wBETH og FDUSD, og BEAM’s udsteder brændte 984 millioner stjålne tokens. Arbitrum’s sikkerhedsråd, en nødgruppe på 12 medlemmer, beslaglagde 8.426 ETH og 74,56 millioner ARB.
I alt blev omkring 2,79 milliarder dollar frosset, brændt eller beslaglagt. Alligevel var 669 millioner USDT allerede omdannet til ETH og TRX.
21:43–00:10 UTC: Walleten der blev ved med at blive tømt
Binance 14 var stadig under gerningsmandens kontrol.
- 21:43:59 — en rutinemæssig Binance-overførsel sender 200 millioner USDT til Binance 14. Tolv sekunder senere tømmer kontrakten den. USDT havner på en allerede frosset adresse, men næsten 370 ETH slipper væk.
- 22:39 — endnu en tømning tager 128,49 ETH.
- 23:56 — 2.961,91 ETH fjernes et minut efter ankomsten.
- 00:10:35, 30. oktober — Binance afbryder endelig forbindelsen.
Gerningsmanden havde kontrol over wallet’en i næsten fire timer.
Hvor de 18.270 BTC blev af
Kl. 20:20:06 flyttede 11 transaktioner 18.270,2 BTC fra en Binance hot wallet, hvor der blev betalt dobbelt så høj gebyr som normalt. Coins blev fordelt på 19 adresser – 17 af dem rummer 1.000 BTC hver. I oktober 30 var ingen af dem blevet flyttet. Bitcoins offentlige hovedbog gør dem sporbare, men ingen kan fryse dem.
30. oktober, 04:02: Forbindelsen til Bitget
BitOK’s største fund: stjålne Binance-midler nåede samme Ethereum-adresse, som allerede havde samlet indtægter fra Bitget-hacket i september 2026.
Gerningsmanden flyttede TRX og USDT via THORChain, en protokol der bytter coins på tværs af blockchains, og modtog ETH på adressen 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Adressen havde allerede modtaget ETH, der kan spores til Bitget-hacket. Det kom fra Bitcoin-adresser på Bitgets offentliggjorte liste over angriber-wallets, aktive siden 23. oktober, og startede som ZEC, en coin der aldrig er blevet stjålet fra Binance.
Klokken 06:20 havde adressen modtaget otte udbetalinger, der kunne forbindes til Bitget (349,46 ETH) og fem fra Binance (13,63 ETH), hvorefter de blandede midler blev sendt videre til nye wallets. En delt adresse identificerer dog ikke, hvem der står bag nogen af hackene.
Var det Nordkorea?
Begge angreb involverede at bryde ind i interne systemer uden at stjæle private nøgler, og Bitget gav Nordkorea skylden for sit hack. BitOK fremhæver også træk, som associeres med nordkoreanske grupper: forberedelser, Tornado Cash-finansiering, øjeblikkelige swaps af tokens der kan fryses, og aktiviteter i arbejdstiden for tidszonen UTC+9.
“Den nyligt identificerede fælles hvidvaskningsadresse er stærkere bevis for driftsmæssigt overlap end ligheder i taktik alene. BitOK vurderer, at de to tyverier kan være forbundet til samme nordkoreanske gruppe, og at én aktør kontrollerede de observerede strømme af vaskede midler. Det er stadig en analytisk vurdering, ikke bevis for den reelle identitet på alle involverede,” sagde BitOK.
Binances svar
Binance satte udbetalinger fra sine Bitcoin- og Tron-hot wallets på pause omkring 20:36, mens indbetalinger fortsatte. Selskabet lovede at dække alle kundetab via sin SAFU-nødfond og egne midler.
På tværs af markedet blev $1,58 milliarder i gearede positioner afviklet på 24 timer, ifølge Coinglass.
Hvad holder gerningsmændene nu?
Klokken 06:20 den 30. oktober havde BitOK forbundet gerningsmanden til:
- 197.460 ETH,
- 18.270,2 BTC,
- 233,46 millioner XRP,
- omkring 970.500 SOL,
- 675,9 millioner TRX,
- og 1,61 millioner AVAX.
ETH, BTC, XRP og SOL var alene cirka $2,95 milliarder værd.
Gerningsmændene overtog systemet, der underskriver Binances udbetalinger. BitOK delte erfaringer fra Binance-hacket, som branchen kan lære af.
“Binance-hændelsen viser, hvorfor sikkerhed omkring private nøgler ikke er tilstrækkeligt. Børser har også brug for kontrol med underskriftsrettigheder, sikkerhedsforanstaltninger mod mistænkelige udbetalingsanmodninger, hurtig annullering af kompromitterede tilladelser og løbende overvågning af aktivbevægelser på tværs af netværk.”
