// Innhold
Klokken 20.20.59 UTC den 29. oktober 2026 landet en transaksjon med en avgift på 14,46 dollar på Ethereum-nettverket. Den flytter ingen penger. Verdifeltet står på null. Tidligere samme dag hadde angriperen øvd på opplegget med egne lommebøker og flyttet 2 til 6 dollar om gangen. Tre og et halvt minutt senere forlater 167 464 ether og 1,6 milliarder dollar i USDT-stablecoins en av Binances hot wallets, den analytikerne kaller Binance 14. Om morgenen anslo børsen skaden til rundt 6,3 milliarder dollar. Eksterne analytikere kommer foreløpig til mindre, mellom 5,3 og 5,9 milliarder dollar. Forrige rekord, tyveriet fra børsen Bybit i februar 2025, var på rundt 1,5 milliarder dollar.
Likevel er ikke størrelsen det merkeligste. Nesten halvparten av byttet, rundt 3 milliarder dollar, ble stoppet i løpet av noen timer. Ikke av politiet, og ikke av «selve blokkjeden», men av en håndfull selskaper som har en frysknapp. Kryptovaluta ble oppfunnet nettopp for at ingen skulle ha en slik.
En fullmakt til fjorten dollar
En børs oppbevarer kundenes penger i to typer lommebøker. Cold wallets er frakoblet og rommer hovedreserven. Hot wallets er alltid tilkoblet: de daglige uttakene går gjennom dem, så de har alltid en arbeidssaldo. På verdens største børs går den saldoen i milliarder.
Nøkkelen til angrepet var en funksjon som heter EIP-7702. Den kom til Ethereum 7. mai 2025 med Pectra-oppgraderingen. Enkelt sagt er den en fullmakt: en vanlig lommebok gir et eksternt program lov til å handle på sine vegne. Den ble laget for bekvemmelighetens skyld, for å samle flere handlinger i ett klikk eller la noen andre betale avgiften. Bare selve lommeboken kan signere en slik fullmakt. Den gjelder til eieren trekker den tilbake.
Transaksjonen til 14,46 dollar var nøyaktig en slik fullmakt. Den inneholdt 50 av dem, og hver overlot Binance 14 til et «sweeper»-program angriperen hadde lagt ut fire timer tidligere. Én av femti virket. Tenk deg et sjekkhefte der en fullmakt bare gjelder for en sjekk med ett bestemt nummer. En hot wallet skriver slike «sjekker» uten stans, så det neste nummeret er vanskelig å gjette. Femti signaturer på rad ser ut som en måte å sørge for at én av dem treffer.
Sweeperen tømte Binance 14 i én enkelt operasjon og lot 1 ether bli igjen. I løpet av de neste 12 minuttene rant penger fra ti andre av børsens hot wallets på fire nettverk til samme adresse. Slik rekonstruerte Blockaid, et sikkerhetsselskap for blokkjeder, angrepet.
Hvordan angriperen fikk lommebokens signatur, er fortsatt uklart. Ifølge Binances foreløpige redegjørelse begynte det med en kompromittert bærbar PC som tilhørte en DevOps-ingeniør, en av dem som driver servere og utrulling av programvare. Via den PC-en kom inntrengeren seg inn i en tjenestecontainer og la inn uautoriserte uttak derfra. Børsen sier at den ikke har funnet tegn til at noen privatnøkkel til lommebøkene har lekket. Hvis det stemmer, trengte tyven aldri å stjele en nøkkel. Han fikk børsens eget system til å signere fullmakten for seg.
// Tidslinje
- En transaksjon med 50 fullmakter for lommeboken Binance 14 sendes, avgift 14,46 dollar.
- 167 464 ETH, 1,6 milliarder USDT og rundt 60 andre tokener forlater Binance 14 i én operasjon.
- Via den fortsatt delegerte lommeboken trekkes 780 millioner USDC ut av en nabolommebok hos børsen.
- Circle fryser mer enn 800 millioner USDC, Tether mer enn 1,567 milliarder USDT.
- Binance stanser innskudd og uttak, anslår skaden til 6,3 milliarder dollar og peker på en hacket ingeniørs PC som sannsynlig årsak.
Knappen bitcoin ikke har
USDT og USDC kalles stablecoins. Det er digitale dollar utstedt av to private selskaper, Tether og Circle, som hver lover å løse inn tokenet sitt mot en dollar. Én av egenskapene deres kommer sjelden opp. Utstederen kan sperre hvilken som helst adresse i nettverket. I vilkårene for USDC forbeholder Circle seg uttrykkelig retten til å blokkere overføringer til og fra en adresse. Tether kan det samme.
Den natten gjorde de det. Tethers toppsjef Paolo Ardoino skrev at selskapet hadde frosset mer enn 1,567 milliarder USDT. Circles toppsjef Jeremy Allaire sa at mer enn 800 millioner USDC var blokkert i samarbeid med politiet. Ripple stoppet rundt 200 millioner dollar av sin stablecoin, World Liberty Financial rundt 27 millioner. Til og med Arbitrum, et nettverk som vanligvis beskrives som desentralisert, frøs 74,56 millioner ARB-tokener etter vedtak i sitt sikkerhetsråd.
// Natten til 29. oktober i tall
Ether og bitcoin var en annen historie. Ingen utsteder, ingen knapp. Analyseselskapet Glassnode talte 17 985 bitcoin blant de stjålne eiendelene, rundt 1,45 milliarder dollar. Etheren fra det første uttaket ble også hos angriperen. Ingen på jorden kan reversere en overføring signert med riktig nøkkel. For en tyv er det bitcoins beste egenskap. Hvordan angriperen kom seg til børsens separate bitcoin-lommebøker, har Binance ennå ikke opplyst. Teorien om tjenestecontaineren, der systemet selv signerte uttakene, ville forklart det.
En redningsmann med vetorett
Det er egentlig absurd. Det største tyveriet i kryptohistorien ble nesten halvt stoppet av verktøy som «ekte» kryptovaluta ikke skal ha. Bitcoin oppførte seg akkurat slik skaperen ville: en signert overføring er endelig. De digitale dollarene oppførte seg som en bank.
Knappen som tok halvannen milliard fra en tyv, virker mot hvem som helst. Et selskap trykker på den, ikke en domstol. Det tar minutter. Den som eier USDT, har ikke en dollar på en konto, men Tethers løfte om å løse inn tokenet, og det løftet kommer med et forbehold. Mange vil synes byttet er rimelig: banker blokkerer også mistenkelige overføringer. Det er bare det at en stablecoin ligger nærmere en bankkonto enn kontanter i lommen, og denne natten viste forskjellen bedre enn noe foredrag.
Hva det betyr for Binance-kunder
Ifølge børsen selv har Binance over 335 millioner registrerte brukere. Natten til hacket stanset den innskudd og uttak, og om morgenen 30. oktober hadde den ikke sagt når de gjenåpnes. Binances medgrunnlegger Yi He lovet at børsen «vil dekke alle hackingtap» fra forsikringsfondet SAFU og egne midler. Grunnleggeren Changpeng Zhao fulgte tyveriet nesten som tilskuer. «Det ser ut som et hack mot Binance», skrev han på X, og la i samme innlegg til at han ikke lenger leder børsen, men venter at brukernes midler dekkes fullt ut.
Siden februar 2026 har SAFU-fondet vært oppbevart i bitcoin, 15 000 av dem. Med prisen 30. oktober er det rundt 1,2 milliarder dollar. Hvis børsens eget anslag stemmer, er den ufrosne delen av tapet, rundt 3,3 milliarder dollar, nesten tre ganger større. Så det meste av hullet må fylles med børsens egne penger. Fondet selv har for øvrig færre bitcoin enn angriperen tok.
Markedene reagerte umiddelbart, selv om svake resultater fra teknologiselskaper også tynget dem. Bitcoin falt under 77 000 dollar, det laveste på seks uker. BNB, børsens eget token, mistet over 8 % på ett døgn.
Hvem som sto bak, er ukjent. Blokkjedeetterforskeren ZachXBT og selskapet Blockaid pekte ut Nord-Korea som sannsynlig gjerningsmann, men ingen har offisielt tilskrevet angrepet noen ennå. FBI tilskrev Bybit-tyveriet til Nord-Korea. Ifølge Blockaid finansierte angriperen de første operasjonene gjennom Tornado Cash, en mikser som visker ut sporet etter overføringer. Binance lover en detaljert teknisk etteranalyse når fakta er bekreftet.
I årevis har kryptomiljøet kranglet om hvorvidt penger trenger en stoppknapp. På én natt reddet en den om lag 3 milliarder dollar. Striden vil trolig flytte seg nå: hvem avgjør, og etter hvilke regler, når den skal trykkes?
