Binance förlorade 6 miljarder dollar, en frysknapp räddade nästan hälften

Klockan 20.20.59 UTC den 29 oktober 2026 landade en transaktion med en avgift på 14,46 dollar i Ethereum-nätverket. Den flyttade inga pengar. Värdefältet visar noll. Tidigare samma dag hade angriparen repeterat upplägget på egna plånböcker och flyttat 2 till 6 dollar åt gången. Tre och en halv minut senare lämnade 167 464 ether och 1,6 miljarder dollar i USDT-stablecoins en het plånbok hos Binance som analytiker kallar Binance 14. På morgonen uppgav börsen skadan till ungefär 6,3 miljarder dollar. Externa analytiker räknar hittills med mindre, mellan 5,3 och 5,9 miljarder. Det tidigare rekordet, stölden från börsen Bybit i februari 2025, uppgick till cirka 1,5 miljarder dollar.

Men storleken är inte det märkligaste. Nästan hälften av bytet, omkring 3 miljarder dollar, stoppades inom några timmar. Inte av polisen och inte av “själva blockkedjan”, utan av en handfull företag som har en frysknapp. Kryptovalutor uppfanns just för att ingen skulle ha en sådan.

En fullmakt för fjorton dollar

En börs förvarar kundernas pengar i två slags plånböcker. Kalla plånböcker är offline och rymmer huvudreserven. Heta plånböcker är alltid uppkopplade: dagens uttag går genom dem, så de håller alltid ett arbetssaldo. På världens största börs räknas det saldot i miljarder.

Nyckeln till attacken var en funktion som heter EIP-7702. Den kom till Ethereum den 7 maj 2025 med uppgraderingen Pectra. Enkelt uttryckt är den en fullmakt: en vanlig plånbok ger ett utomstående program rätt att agera å dess vägnar. Den skapades för bekvämlighetens skull, för att samla flera åtgärder i ett enda klick eller låta någon annan betala avgiften. Bara plånboken själv kan signera en sådan fullmakt. Den gäller tills ägaren återkallar den.

Transaktionen för 14,46 dollar var precis en sådan fullmakt. Den innehöll 50 stycken, och var och en överlät Binance 14 till ett “sweeper”-program som angriparen hade lagt ut fyra timmar tidigare. En av de femtio fungerade. Tänk dig ett checkhäfte där en fullmakt bara gäller för en check med ett visst nummer. En het plånbok skriver sådana “checkar” i ett nonstop, så nästa nummer är svårt att gissa. Femtio signaturer i rad ser ut som ett sätt att försäkra sig om att någon av dem träffar rätt.

Sweepern tömde Binance 14 i en enda operation och lämnade kvar 1 ether. Under de följande 12 minuterna flödade pengar från tio av börsens övriga heta plånböcker i fyra nätverk till samma adress. Så här rekonstruerade Blockaid, ett säkerhetsföretag för blockkedjor, attacken.

Hur angriparen fick plånbokens signatur är fortfarande oklart. Enligt Binances preliminära redogörelse började det med en komprometterad bärbar dator som tillhörde en DevOps-ingenjör, den sortens anställd som sköter servrar och driftsättning av programvara. Via den datorn nådde inkräktaren en tjänstecontainer och skickade därifrån obehöriga uttag. Börsen säger att den inte funnit några tecken på att någon plånboksnyckel läckt. Om det stämmer behövde tjuven aldrig stjäla en nyckel. Han fick börsens eget system att signera fullmakten åt sig.

Knappen som bitcoin saknar

USDT och USDC kallas stablecoins. Det är digitala dollar som ges ut av två privata företag, Tether och Circle, och vart och ett lovar att lösa in sin token mot en dollar. En av deras egenskaper nämns sällan. Utgivaren kan blockera vilken adress som helst i nätverket. I villkoren för USDC förbehåller sig Circle uttryckligen rätten att blockera överföringar till och från en adress. Tether har samma möjlighet.

Den natten gjorde de det. Tethers vd Paolo Ardoino skrev att företaget hade frusit över 1,567 miljarder USDT. Circles vd Jeremy Allaire sa att över 800 miljoner USDC hade blockerats i samordning med brottsbekämpande myndigheter. Ripple stoppade omkring 200 miljoner dollar av sin stablecoin, World Liberty Financial omkring 27 miljoner. Till och med Arbitrum, ett nätverk som brukar beskrivas som decentraliserat, frös 74,56 miljoner ARB-tokens genom beslut av sitt säkerhetsråd.

Ether och bitcoin var en annan sak. Ingen utgivare, ingen knapp. Analysföretaget Glassnode räknade 17 985 bitcoin bland de stulna tillgångarna, omkring 1,45 miljarder dollar. Etherna från den första tömningen blev också kvar hos angriparen. Ingen på jorden kan ogöra en överföring som signerats med rätt nyckel. För en tjuv är det bitcoins bästa egenskap. Hur angriparen nådde börsens separata bitcoinplånböcker har Binance ännu inte avslöjat. Teorin om tjänstecontainern, där systemet självt signerade uttagen, skulle förklara det.

En räddare med vetorätt

Det är ju absurt. Den största stölden i kryptohistorien stoppades till nästan hälften av verktyg som “riktiga” kryptovalutor inte ska ha. Bitcoin betedde sig precis som dess skapare ville: en signerad överföring är slutgiltig. De digitala dollarna betedde sig som en bank.

Knappen som tog en och en halv miljard från en tjuv fungerar mot vem som helst. Ett företag trycker på den, inte en domstol. Det tar minuter. Den som äger USDT har inte en dollar på ett konto utan Tethers löfte att lösa in token, och det löftet kommer med ett förbehåll. Många kommer att tycka att bytet är rimligt: banker blockerar också misstänkta överföringar. Men en stablecoin ligger närmare ett bankkonto än kontanter i fickan, och den här natten visade skillnaden bättre än någon föreläsning.

Vad det betyder för Binances kunder

Enligt börsen själv har Binance över 335 miljoner registrerade användare. Under hackets natt stoppade den insättningar och uttag, och på morgonen den 30 oktober hade den inte sagt när de skulle öppna igen. Binances medgrundare Yi He lovade att börsen “kommer att täcka alla förluster från hacket” med sin försäkringsfond SAFU och egna pengar. Grundaren Changpeng Zhao följde stölden nästan som åskådare. “Det ser onekligen ut som ett hack mot Binance”, skrev han på X och noterade i samma inlägg att han inte längre leder börsen men förväntar sig att användarnas medel ersätts fullt ut.

Sedan februari 2026 förvaras SAFU-fonden i bitcoin, 15 000 stycken. Till kursen den 30 oktober är det ungefär 1,2 miljarder dollar. Om börsens egen uppskattning stämmer är den ofrysta delen av förlusten, omkring 3,3 miljarder, nästan tre gånger större. Största delen av hålet måste alltså fyllas med börsens egna pengar. Själva fonden håller för övrigt färre bitcoin än angriparen tog.

Marknaderna reagerade genast, även om svaga vinstrapporter från techbolag också tyngde dem. Bitcoin föll under 77 000 dollar, en sexveckorslägsta. BNB, börsens egen token, tappade över 8 procent på ett dygn.

Vem som låg bakom är okänt. Blockkedjedetektiven ZachXBT och företaget Blockaid pekade ut Nordkorea som trolig gärningsman, men ingen har officiellt tillskrivit attacken någon. FBI tillskrev Bybit-stölden Nordkorea. Enligt Blockaid finansierade angriparen de första operationerna via Tornado Cash, en mixer som döljer spåret efter överföringar. Binance lovar en detaljerad teknisk efterhandsanalys när fakta har kontrollerats.

I åratal har kryptovärlden bråkat om huruvida pengar behöver en stoppknapp. På en enda natt räddade en omkring 3 miljarder dollar. Debatten kommer nog att flytta sig nu: vem bestämmer, och efter vilka regler, när man ska trycka på den?