Binance afsætter over 6,34 mia. dollars af virksomhedens midler til at dække tab efter hackerangrebet

Binance oplyste i et opslag på sin officielle X-konto den 30. oktober 2026, at virksomheden allerede har afsat over 6,34 mia. US$ af sine midler til at dække tabene efter sikkerhedshændelsen den 29. oktober 2026, og at 5 mia. dollars af disse midler allerede består af præcis de tokenaktiver, der blev ramt.

Børsen oplyste, at den er ved at købe det resterende beløb gennem markederne og OTC-kanaler for at matche formen på de resterende tokenaktiver og dække eventuelle mangler på aktiver. Det kan tage længere tid, fordi nogle tokens kan have lav likviditet, og afvikling via OTC også tager tid. Børsen understregede, at tallene ikke omfatter indefrosne eller beskyttede aktiver, som fortsat er genstand for løbende inddrivelse og verifikation. Omkring 3 mia. dollars er indtil videre blevet indefrosset, og virksomheden takkede sine branchepartnere.

Virksomheden oplyste, at den er begyndt at tilbageføre de berørte aktiver til brugerne og fortsat samarbejder med retshåndhævende myndigheder, udstedere, blockchain-efterretningsfirmaer og branchepartnere om at spore, indefryse og inddrive yderligere midler. Binance sagde, at virksomheden fortsat vil bruge sine egne ressourcer til at dække bekræftede mangler, og at alle brugermidler i sidste ende vil blive offentligt verificeret gennem virksomhedens Proof of Reserves.

Kompromitteret konto og suspendering af udbetalinger

I en officiel opdatering om sikkerhedshændelsen, der blev offentliggjort den 30. oktober, oplyste Binance, at den indledende undersøgelse tyder på, at hændelsen kan skyldes, at en DevOps-ingeniørs bærbare computer blev kompromitteret. Det gav en angriber adgang til en servicecontainer og gjorde det muligt at indsende uautoriserede udbetalingstransaktioner. Virksomheden oplyste, at den ikke har fundet tegn på, at private nøgler til nogen wallets er blevet lækket. Den anslog de samlede tab til omkring 6,3 mia. dollars, oplyste, at omkring 3 mia. dollars indtil videre er blevet indefrosset on-chain sammen med blockchainpartnere, og sagde, at alle tab vil blive dækket af SAFU-fonden og virksomhedens egne midler. Brugernes midler er sikre, fastslog Binance.

Som en øjeblikkelig sikkerhedsforanstaltning oplyste Binance, at virksomheden midlertidigt havde suspenderet udbetalinger, mens sikkerhedskontrollerne blev gennemført, tilbagekaldt tilladelsen for den berørte adresse og inddraget retshåndhævende myndigheder og blockchain-efterretningspartnere i arbejdet med at spore og inddrive midlerne. Meddelelsen blev opdateret senere den 30. oktober for at præcisere, at indbetalinger ikke er berørt og fortsat fungerer som normalt.

Medadministrerende direktør Richard Teng skrev i et opslag, at angriberen ikke blot benyttede én ingeniørs tilladelser, og at der ikke var tale om en enkelt »handling med ét klik«. Han tilføjede, at undersøgelsen ikke har udpeget nogen enkeltperson som ansvarlig. Teng oplyste, at udbetalingerne var suspenderet, mens Binance gennemfører en omfattende sikkerhedsopdatering af udbetalingstjenesten og de tilhørende adresser. »Kort sagt – dine penge er sikre, og vi dækker alle tab,« skrev han.

I en efterfølgende opdatering om undersøgelsen oplyste Binance, at den senere undersøgelse havde afdækket yderligere indbrudspunkter ud over den muligvis kompromitterede bærbare computer, og beskrev angrebet som komplekst. Virksomheden oplyste, at udstrømningen af midler ophørte, da udbetalingerne blev sat på pause, at omkring 3 mia. dollars indtil da var blevet indefrosset, og at arbejdet fortsat fulgte planen om at genoptage udbetalingstjenesten inden for de forventede 45 timer.

On-chain-fund og indefrysning af aktiver

TRM Labs oplyste i en analyse, at en angriber flyttede cirka 6,36 mia. dollars ud af Binance-wallets på tværs af ti blockchains. Størstedelen blev flyttet på omkring 20 minutter fra kl. 20.05 UTC den 29. oktober, og en anden bølge omkring kl. 23.05 UTC nåede Binance-wallets på Avalanche og Polygon (POL ). TRM oplyste, at det gør hændelsen til det største kryptotyveri, der er registreret, omkring fire gange større end Bybit-hacket på 1,5 mia. dollars i februar 2025. Ved de aktuelle priser er de stjålne aktiver omkring 6,23 mia. dollars værd.

TRM vurderede med høj sikkerhed, at angrebet blev udført af TraderTraitor, som virksomheden beskrev som Nordkoreas elitehackerenhed, og bemærkede, at FBI havde udpeget den samme gruppe som ansvarlig for Bybit-hacket. Chainalysis oplyste i sine egne resultater, at virksomhedens efterforskere vurderer, at udnyttelsen, som omfattede cirka 6,4 mia. dollars, blev udført af TraderTraitor. De stærkeste beviser kom frem, da efterforskerne i realtid så midler stjålet fra Binance blive blandet sammen med midler stjålet ved Bitget-angrebet måneden før, som var blevet tilskrevet nordkoreanske aktører. Chainalysis oplyste, at midler begyndte at forlade Binances hot wallets på tværs af flere blockchains omkring kl. 16.20 Eastern Time den 29. oktober.

På Ethereum (ETH ), brugte angriberen en EIP-7702-delegering, en mekanisme, der gør det muligt for en almindelig wallet at overdrage kontrollen over sin adfærd til en smart contract ved at underskrive en godkendelse, ifølge TRM’s rapport. TRM oplyste, at angriberen på forhånd havde klargjort 50 forhåndsunderskrevne godkendelser for at omdanne en Binance-hot wallet til en sweeper, som angriberen selv kontrollerede. Binance-wallets på de ni andre kæder sendte derimod midler gennem almindelige, underskrevne overførsler. Ifølge TRM peger dette mønster på, at Binances infrastruktur til underskrift af transaktioner fra hot wallets var blevet kompromitteret.

TRM fastsatte værdien af hver overførsel ud fra aktivets pris på det tidspunkt, hvor det blev taget, og udarbejdede dermed følgende opgørelse fordelt på blockchains:

TRM oplyste, at udstrømningen fra Ethereum omfattede 200.630 ETH og 185 andre tokens, at udstrømningen af Bitcoin i alt var på 18.270 BTC, at udstrømningen fra Tron var på i alt 612,7 millioner USDT og 46,4 millioner TRX, at XRP Ledger mistede 233,46 millioner XRP, at udstrømningen fra Solana var på i alt 970.500 SOL, og at det samlede tal for Arbitrum, Optimism og Base omfattede 74,6 millioner ARB, der blev taget på Arbitrum.

TRM oplyste, at Tether frøs cirka 1,77 milliarder USDT, Circle frøs cirka 825 millioner USDC, Ripple frøs 40,5 millioner RLUSD, og World Liberty Financial frøs 27,8 millioner USD1, mens Arbitrums (ARB ) sikkerhedsråd brugte sine nødbeføjelser til at gennemtvinge to overførsler fra angriberens wallet på Arbitrum. Dermed blev 8.426 ETH og 74,6 millioner ARB, til en værdi af cirka 30 millioner dollar, flyttet uden for angriberens rækkevidde. Ifølge TRM betød det, at det samlede beløb, der var indefrosset on-chain, nåede op på cirka 2,7 milliarder dollar pr. kl. 00.30 UTC den 30. oktober. TRM bemærkede, at Binance havde oplyst kl. 23.35 UTC den 29. oktober, at det verificerede samlede beløb, der var indefrosset, var nået op på 2,54 milliarder dollar. Chainalysis oplyste, at cirka 2,8 milliarder dollar indtil videre var blevet indefrosset, og at de første indefrysninger var begyndt senest kl. 17.14 østamerikansk tid den 29. oktober.

TRM oplyste, at angriberen stadig kontrollerer mere end 420.000 ETH og 18.270 BTC, aktiver til en værdi af cirka 2,4 milliarder dollar, som ligger uden for enhver udsteders rækkevidde. TRM forventer, at næste fase af hvidvaskningen vil involvere broer mellem blockchains, byttetjenester og OTC-mæglere. Chainalysis oplyste, at angriberen flyttede stablecoins for 500 millioner dollar til en dedikeret wallet og vekslede stablecoins for 325 millioner dollar til ETH for 285 millioner dollar over knap 20 minutter, mens vedkommende forsøgte hurtigt at konvertere aktiver, der kunne indefryses. Chainalysis oplyste også, at de observerer hvidvaskningsmønstre, de ikke har set før, herunder tusindvis af transaktioner på kort tid, hvilket tyder på automatisering, samt adresser, der modtager præcis 1 TRX, før de modtager og videresender yderligere midler.

Binance oplyste, at virksomheden vil dele en detaljeret teknisk gennemgang af hændelsesforløbet, når undersøgelsen er afsluttet, og fakta er fuldt verificeret, samt offentliggøre en opdateret Proof of Reserves, når afhjælpningen er gennemført.