Den 29 oktober 2026 tömde en hackare cirka 6,15 miljarder USD från Binance på 31 minuter. Detta är ett av de största stölderna i kryptons och internets historia.
Binance uppskattade först förlusten till 6,3 miljarder USD. Blockchain-analysföretaget BitOK räknade på transaktionsnivå och kom fram till 6,15 miljarder USD över nio blockkedjor.
Hackaren tog aldrig Binance privata nycklar. Istället fick hackaren Binances egna system att godkänna stölderna. Den här guiden följer händelsen steg för steg och förklarar alla tekniska termer. Alla tider är i UTC.
Grunderna: Så flyttar en börs pengar
Het plånbok är börsens onlineplånbok som alltid är ansluten så uttag går snabbt.
Signera. Varje överföring måste godkännas med plånbokens privata nyckel, ett hemligt nummer. Börser använder automatiska system för att signera tusentals utbetalningar varje dag.
Nonce är en Ethereum-plånboks transaktionsräknare. En aktiv plånboks nonce ökar hela tiden.
Frysbara mynt. Företag som Tether (USDT) och Circle (USDC) kan frysa adresser. Ingen kan frysa mynt som BTC, ETH eller TRX.
28 oktober: Förberedelse före attacken
Varje blockchain-transaktion kostar en liten avgift. För att fylla sina plånböcker utan spår använde hackaren Tornado Cash, en mixer som blandar många användares mynt så uttag inte kan kopplas till insättningar.
Sex Tornado Cash-uttag finansierade hackarens plånbok och två assistenter.
29 oktober, 02:28–16:47 UTC: Två generalrepetitioner
Innan hackaren rörde Binance övade hackaren på sina egna plånböcker, precis som en tjuv testar sin dyrk på sin egen dörr hemma först.
Verktyget var ett smartkontrakt, alltså ett program på Ethereum som gör exakt vad koden säger. Detta kontrakt byggdes för att tömma alla plånböcker som ger det tillåtelse. (Ethereums EIP-7702-funktion gör en sådan tillåtelse möjlig; mer om det nedan.)
- 02:28 — hackaren publicerar en testversion av tömningsprogrammet.
- 13:51–14:24 — första repetitionen. Hackaren sätter in små summor USDT och USDC i två egna plånböcker, ger testprogrammet tillåtelse och startar det. Båda plånböckerna töms. Verktyget fungerar.
- 15:59 — hackaren publicerar slutversionen, den som senare används på Binance.
- 16:20–16:47 — andra repetitionen, testet upprepas med slutversionen.
Slutversionen hade en extra funktion: den kunde få en plånbok att göra vad som helst, inte bara skicka tokens. Den kvällen kunde den beordra en Binance-plånbok att betala ut 823 miljoner USDC. Sådant skräddarsytt verktyg tyder på att hackaren redan visste hur Binance-plånböckerna fungerade.
“Skillnaden mellan versionerna var avgörande. Huvudkontraktet innehöll en funktion som kunde utföra godtyckliga kommandon för en plånbok som gett kontroll till det. Hackaren använde sedan den funktionen för att tömma 823 miljoner USDC från en Binance smartplånbok,” förklarade BitOK.
29 oktober, 20:04 UTC: 31 minuters tömning
Från 20:04:52 till 20:35:53 tömde hackaren Binances heta plånböcker på XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum och Avalanche. Bytet bestod av:
- 18 270,2 BTC,
- 197 540 ETH,
- 2,49 miljarder USDT,
- 823 miljoner USDC,
- 233,46 miljoner XRP,
- 970 522 SOL och dussintals andra tokens.
Alla överföringar signerades av Binances egna plånböcker. BitOK kände igen dessa genom ovanligt höga avgifter — 2 till 2,7 gånger högre än vanligt, transaktionstyper som Binances utbetalningsprogram inte brukar använda, och på Ethereum även fejkade överföringar bland riktiga kundutbetalningar.
Hackaren kom in på en DevOps-ingenjörs laptop och använde sedan en servicemiljö (ett program i Binances system) för att skicka fejkade uttagsorder.
20:20 UTC: Tricket med 50 nycklar
Detta var kvällens smartaste drag. Målet var en aktiv Ethereum hetplånbok som hette Binance 14.
Planen. Med EIP-7702 kan en plånbok signera en fullmakt, alltså ett godkännande, så ett smartkontrakt får agera i plånbokens namn. Om Binance 14 signerade en sådan till den skadliga kontraktet, kunde hackaren styra plånboken.
Problemet. Fullmakten fungerar bara om den har plånbokens aktuella transaktionsnummer, alltså noncen. Binance 14 betalade kunder hela tiden, så numret ändrades hela tiden. Ett godkännande med fel nummer ignoreras helt.
Tricket. Klockan 20:20:59 bad angriparen Binance signeringssystem att signera 50 transaktioner samtidigt, alla med olika nummer. Det är som att försöka använda 50 nycklar på ett lås på samma gång: bara en måste passa. En passade. Binance 14 började nu ta order från angriparens kontrakt men fortsatte att fungera normalt, så pengar fortsatte att komma in.
Utbetalningen. Några minuter senare tömdes 65 olika tokens i en enda transaktion, värda mer än 2,2 miljarder USD, inklusive 1,615 miljarder USDT och 167 464 ETH. Klockan 20:41 och 20:59 skickade kontraktet också ut 823 miljoner USDC från en annan Binance-plånbok.
Binance 16. En annan varm plånbok blev rånad på ett enklare sätt. Binance system tog emot nio falska överföringar, signerade dem och skickade ut dem samtidigt som riktiga kundutbetalningar. De innehöll 28 005,6 ETH och 55,7 miljoner USDT.
20:30–21:14 UTC: Kapplöpningen mot ofrysbara mynt
På Ethereum lämnade 500 miljoner USDT huvudmottagaradressen inom sex minuter. Mellan 20:34 och 21:09 bytte angriparen 435 miljoner USDT till ETH på Uniswap, en decentraliserad börs som styrs av kod. De satte också in 60 miljoner USDT på Aave, en utlåningsplattform, och lånade 19 762 ETH mot det, och lämnade den frysbara säkerheten kvar.
På Tron lämnade 612,7 miljoner USDT plånboken Binance-Hot 7. I 16 byten på SunSwap, Trons viktigaste decentraliserade börs, förvandlade angriparen 234 miljoner USDT till 638,2 miljoner TRX.
Kapplöpningen om att frysa tillgångar
För att frysa USDT behövde Tether tre godkännanden från sin multisignaturplånbok, en lösning som kräver flera underskrifter. Varje frysning tog upp till 2 minuter 36 sekunder, och väntande förfrågningar syntes på kedjan. Angriparen kunde se en frysning komma och hinna först: en plånbok skickade vidare 130 miljoner USDT bara 48 sekunder innan tillgången frystes. Men på en adress väntade angriparen för länge och förlorade nästan 175 miljoner USDT.
Alla 823 miljoner USDC låg kvar på en adress och frystes i en enda transaktion.
| Fryst av Tether och Circle | Belopp |
|---|---|
| Ethereum USDT | 1,38 miljarder USD |
| Ethereum USDC | 823 miljoner USD |
| Tron USDT | 378,7 miljoner USD |
| Avalanche USDt | 8,4 miljoner USD |
| Totalt | 2,59 miljarder USD |
Andra utgivare frös USD1, XAUt, PAXG, wBETH och FDUSD, och BEAMs utgivare brände 984 miljoner stulna tokens. Arbitrum Security Council, ett akutråd med 12 medlemmar, tog 8 426 ETH och 74,56 miljoner ARB.
Totalt blev cirka 2,79 miljarder USD frysta, brända eller tagna. Trots det hade redan 669 miljoner USDT blivit ETH och TRX.
21:43–00:10 UTC: Plånboken som fortsatte att bli rånad
Binance 14 var fortfarande under angriparens kontroll.
- 21:43:59 — en vanlig Binance-påfyllning skickar 200 miljoner USDT till Binance 14. Tolv sekunder senare skickar kontraktet iväg det. USDT hamnar på en redan fryst adress, men nästan 370 ETH försvinner.
- 22:39 — en ny utdelning tar 128,49 ETH.
- 23:56 — 2 961,91 ETH skickas iväg en minut efter att de anlände.
- 00:10:35, 30 oktober — Binance avbryter till sist kontrollen över plånboken.
Angriparen hade kontroll över plånboken i nästan fyra timmar.
Vart de 18 270 BTC tog vägen
Klockan 20:20:06 skickade 11 transaktioner iväg 18 270,2 BTC från en Binance varm plånbok. Avgifterna var dubbelt så höga som vanligt. Mynten delades ut på 19 adresser, där 17 av dem hade 1 000 BTC vardera. Den 30 oktober hade inga mynt förflyttats. Bitcoins publika register gör att mynten går att spåra, men ingen kan frysa dem.
30 oktober, 04:02: Bitget-kopplingen
BitOK:s största upptäckt: stulna Binance-medel skickades till samma Ethereum-adress som redan tog emot pengar från Bitget-attacken i september 2026.
Angriparen flyttade TRX och USDT via THORChain, som är ett protokoll som byter mynt mellan blockkedjor, och fick ETH till 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Den adressen hade redan fått ETH som spårats till Bitget-attacken. Det kom från Bitcoin-adresser på Bitgets offentliga lista över angriparplånböcker, som varit aktiva sedan 23 oktober, och började som ZEC, ett mynt som aldrig stulits från Binance.
Vid 06:20 hade den tagit emot åtta utbetalningar som kopplas till Bitget (349,46 ETH) och fem till Binance (13,63 ETH), och skickade sedan de blandade pengarna till nya plånböcker. En gemensam adress identifierar inte vem som ligger bakom attackerna.
Var det Nordkorea?
Båda attackerna innebar intrång i interna system utan att stjäla privata nycklar, och Bitget anklagade Nordkorea för deras attack. BitOK nämner också egenskaper som de kopplar till nordkoreanska grupper: övningar, finansiering via Tornado Cash, snabba byten bort från frysta tokens och förberedelser under UTC+9-arbetstider.
“Den nyfunna delade tvättningsadressen är starkare bevis på samarbete än bara likheter i metoder. BitOK bedömer att de två stölderna kan kopplas till samma nordkoreanska grupp och att en aktör styrde de tvättade pengarna. Detta är dock bara en analys, ingen bekräftelse på deltagarnas riktiga identitet,” säger BitOK.
Binance svarar
Binance stoppade uttag från sina Bitcoin- och Tron-hot wallets runt 20:36, men insättningar fortsatte. Binance lovade att täcka alla kunders förluster via sin SAFU-nödfond och egna resurser.
På marknaden likviderades positioner med hävstång till ett värde av 1,58 miljarder USD på 24 timmar, enligt Coinglass.
Vad håller angriparna nu?
Vid 06:20 den 30 oktober kopplade BitOK angriparen till:
- 197 460 ETH,
- 18 270,2 BTC,
- 233,46 miljoner XRP,
- ungefär 970 500 SOL,
- 675,9 miljoner TRX,
- och 1,61 miljoner AVAX.
ETH, BTC, XRP och SOL var tillsammans värda ungefär 2,95 miljarder USD.
Angriparna tog kontroll över det system som signerar Binances uttag. BitOK delade lärdomar från Binance-attacken till kryptobranschen.
“Händelsen hos Binance visar varför endast säkerhet för privata nycklar inte räcker. Börser behöver också kontrollera signeringsrättigheter, skydda mot misstänkta uttag, snabbt ta bort komprometterade tillstånd och ständigt övervaka tillgångsförflyttningar över nätverk.”
