// Sisältö
Ethereum-verkkoon rekisteröitiin 29. lokakuuta 2026 kello 20.20.59 UTC transaktio, jonka kulu oli 14,46 dollaria. Se ei siirtänyt rahaa lainkaan, arvokentässä on nolla. Hyökkääjä oli harjoitellut kuviota samana päivänä omilla lompakoillaan ja siirtänyt kerrallaan kahdesta kuuteen dollaria. Kolme ja puoli minuuttia myöhemmin Binancen kuumasta lompakosta, jonka analyytikot tuntevat nimellä Binance 14, lähti 167 464 ethereä ja 1,6 miljardia dollaria USDT-stablecoineja. Aamuun mennessä pörssi arvioi vahingoksi noin 6,3 miljardia dollaria. Ulkopuoliset analyytikot laskevat toistaiseksi vähemmän, 5,3–5,9 miljardia. Edellinen ennätys, Bybit-pörssin varkaus helmikuussa 2025, oli noin 1,5 miljardia.
Silti koko ei ole tapauksen oudoin piirre. Lähes puolet saaliista, noin 3 miljardia, pysäytettiin muutamassa tunnissa. Sen eivät tehneet poliisi eivätkä “lohkoketju itse”, vaan kourallinen yrityksiä, joilla on jäädytysnappi. Kryptovaluutat keksittiin nimenomaan siksi, ettei kenelläkään olisi sellaista.
Neljätoista dollaria maksanut valtakirja
Pörssi säilyttää asiakkaiden rahoja kahdenlaisissa lompakoissa. Kylmät lompakot ovat offline-tilassa ja sisältävät pääosan varannosta. Kuumat lompakot ovat koko ajan verkossa: päivittäiset nostot kulkevat niiden kautta, joten niissä on aina käyttösaldo. Maailman suurimmassa pörssissä se saldo on miljardeja.
Hyökkäyksen avain oli EIP-7702-niminen ominaisuus. Se tuli Ethereumiin 7. toukokuuta 2025 Pectra-päivityksen mukana. Yksinkertaistaen se on valtakirja: tavallinen lompakko antaa ulkopuoliselle ohjelmalle luvan toimia puolestaan. Ominaisuus suunniteltiin helpottamaan elämää, jotta useita toimintoja voisi niputtaa yhteen napsautukseen tai antaa jonkun muun maksaa kulut. Valtuutuksen voi allekirjoittaa vain lompakko itse. Se pysyy voimassa, kunnes omistaja peruuttaa sen.
14,46 dollarin transaktio oli juuri tällainen valtuutus. Siinä oli 50 valtuutusta, ja jokainen luovutti Binance 14:n “imuri”-ohjelmalle, jonka hyökkääjä oli ottanut käyttöön neljä tuntia aiemmin. Yksi viidestäkymmenestä toimi. Kuvittele šekkivihko, jossa valtuutus kelpaa vain yhdelle tietylle numerolle merkitylle šekille. Kuuma lompakko kirjoittaa näitä “šekkejä” taukoamatta, joten seuraavaa numeroa on vaikea arvata. Viisikymmentä allekirjoitusta peräkkäin näyttää keinolta varmistaa, että yksi osuu kohdalleen.
Imuri tyhjensi Binance 14:n yhdellä toimenpiteellä ja jätti jäljelle yhden etherin. Seuraavien 12 minuutin aikana rahaa virtasi samaan osoitteeseen vielä kymmenestä pörssin kuumasta lompakosta neljässä verkossa. Näin lohkoketjujen tietoturvayritys Blockaid rekonstruoi hyökkäyksen.
Miten hyökkääjä sai lompakon allekirjoituksen, on yhä epäselvää. Binancen alustavan selvityksen mukaan kaikki alkoi DevOps-insinöörin, eli palvelimia ja ohjelmistojulkaisuja hoitavan työntekijän, murretusta kannettavasta. Sen kautta tunkeutuja pääsi palvelukontille ja lähetti sieltä luvattomia nostoja. Pörssin mukaan se ei ole löytänyt todisteita siitä, että yhdenkään lompakon yksityinen avain olisi vuotanut. Jos tämä pitää paikkansa, varas ei koskaan tarvinnut avainta. Hän sai pörssin oman järjestelmän allekirjoittamaan valtuutuksen puolestaan.
// Aikajana
- Binance 14 -lompakon 50 valtuutusta sisältävä transaktio lähtee matkaan, kulu 14,46 dollaria.
- Binance 14:stä lähtee yhdellä toimenpiteellä 167 464 ETH, 1,6 miljardia USDT:tä ja noin 60 muuta tokenia.
- Yhä valtuutetun lompakon kautta vedetään 780 miljoonaa USDC:tä pörssin viereisestä lompakosta.
- Circle jäädyttää yli 800 miljoonaa USDC:tä, Tether yli 1,567 miljardia USDT:tä.
- Binance keskeyttää talletukset ja nostot, arvioi vahingoksi 6,3 miljardia dollaria ja nimeää todennäköiseksi syyksi murretun insinöörin kannettavan.
Nappi, jota bitcoinilla ei ole
USDT:tä ja USDC:tä kutsutaan stablecoineiksi. Ne ovat digitaalisia dollareita, joita liikkeelle laskee kaksi yksityistä yritystä, Tether ja Circle, ja kumpikin lupaa lunastaa tokeninsa dollarilla. Yksi niiden ominaisuuksista mainitaan harvoin: liikkeeseenlaskija voi estää minkä tahansa osoitteen verkossa. USDC:n ehdoissa Circle varaa itselleen nimenomaisesti oikeuden estää siirrot osoitteeseen ja osoitteesta. Tetherillä on sama kyky.
Sinä yönä ne käyttivät sitä. Tetherin toimitusjohtaja Paolo Ardoino kirjoitti yrityksen jäädyttäneen yli 1,567 miljardia USDT:tä. Circlen toimitusjohtaja Jeremy Allaire kertoi, että yli 800 miljoonaa USDC:tä oli estetty yhteistyössä viranomaisten kanssa. Ripple pysäytti noin 200 miljoonaa dollaria stablecoiniaan, World Liberty Financial noin 27 miljoonaa. Jopa Arbitrum, verkko, jota yleensä kuvataan hajautetuksi, jäädytti 74,56 miljoonaa ARB-tokenia turvallisuusneuvostonsa päätöksellä.
// 29. lokakuuta yö numeroina
Etherin ja bitcoinin kohdalla tilanne oli toinen. Ei liikkeeseenlaskijaa, ei nappia. Analytiikkayritys Glassnode laski varastettujen varojen joukossa olleen 17 985 bitcoinia, noin 1,45 miljardin dollarin arvosta. Myös ensimmäisessä tyhjennyksessä viety eetteri jäi hyökkääjälle. Kukaan maailmassa ei voi perua oikealla avaimella allekirjoitettua siirtoa. Varkaalle tämä on bitcoinin paras ominaisuus. Miten hyökkääjä pääsi pörssin erillisiin bitcoin-lompakoihin, Binance ei ole vielä kertonut. Palvelukontin teoria, jossa järjestelmä itse allekirjoitti nostot, selittäisi sen.
Pelastaja, jolla on veto-oikeus
Tilanne on oikeastaan älytön. Kryptohistorian suurimman varkauden melkein puolet pysäytettiin työkaluilla, joita “oikealla” kryptovaluutalla ei pitäisi olla. Bitcoin toimi täsmälleen niin kuin sen luoja tarkoitti: allekirjoitettu siirto on lopullinen. Digitaaliset dollarit toimivat kuin pankki.
Nappi, joka vei varkaalta pois puolitoista miljardia, toimii ketä tahansa vastaan. Sen painaa yritys, ei tuomioistuin. Se vie minuutteja. USDT:n haltija ei omista dollaria tilillä vaan Tetherin lupauksen lunastaa token, ja lupaukseen kuuluu varaus. Monen mielestä vaihtokauppa on järkevä: pankitkin estävät epäilyttäviä siirtoja. Stablecoin vain muistuttaa enemmän pankkitiliä kuin taskussa olevia käteisiä, ja tämä yö osoitti eron paremmin kuin mikään luento.
Mitä tämä tarkoittaa Binancen asiakkaille
Pörssin oman ilmoituksen mukaan Binancella on yli 335 miljoonaa rekisteröityä käyttäjää. Hyökkäysyönä se keskeytti talletukset ja nostot, eikä se ollut 30. lokakuuta aamuun mennessä kertonut, milloin ne jatkuvat. Binancen perustaja Yi He lupasi pörssin “kattavan kaikki hakkerointitappiot” SAFU-vakuutusrahastostaan ja omista varoistaan. Perustaja Changpeng Zhao seurasi varkautta lähes katsojana. “Se näyttää kyllä Binanceen kohdistuneelta hakkeroinnilta”, hän kirjoitti X:ssä ja totesi samassa viestissä, ettei enää johda pörssiä mutta odottaa käyttäjien varojen korvautuvan täysin.
SAFU-rahasto on helmikuusta 2026 lähtien ollut bitcoinina, 15 000:ssa bitcoinissa. 30. lokakuuta kurssilla se on noin 1,2 miljardia dollaria. Jos pörssin oma arvio pitää paikkansa, vahingon jäädyttämätön osa, noin 3,3 miljardia, on lähes kolme kertaa suurempi. Suurin osa aukosta täytyy siis paikata pörssin omilla rahoilla. Rahastolla itsellään on muuten vähemmän bitcoineja kuin hyökkääjä vei.
Markkinat reagoivat heti, vaikka teknologiayhtiöiden heikot tulokset painoivat niitä myös. Bitcoin putosi alle 77 000 dollarin, kuuden viikon pohjalle. Pörssin oma token BNB menetti yli 8 prosenttia vuorokaudessa.
Tekijästä ei ole tietoa. Lohkoketjuetsivä ZachXBT ja yritys Blockaid nimesivät todennäköiseksi syylliseksi Pohjois-Korean, mutta kukaan ei ole vielä virallisesti yhdistänyt hyökkäystä siihen. FBI sen sijaan yhdisti Bybit-varkauden Pohjois-Koreaan. Blockaidin mukaan hyökkääjä rahoitti ensimmäiset toimet Tornado Cashin kautta, sekoittimen, joka hämärtää siirtojen jäljen. Binance lupaa yksityiskohtaisen teknisen jälkikatsauksen, kun tosiasiat on varmennettu.
Vuosia kryptoyhteisö on kiistellyt siitä, tarvitseeko raha pysäytysnappia. Yhdessä yössä sellainen pelasti noin 3 miljardia. Kiista todennäköisesti siirtyy nyt toisaalle: kuka päättää ja millä säännöillä, milloin nappia painetaan?
